Télécharger les sites web qui utilisent hCaptcha

À propos de hCaptcha

La protection contre les bots est d’ordinaire ce que l’extension de formulaire ou la plateforme livrait par défaut. hCaptcha n’est généralement pas ce défaut, et c’est le caractère délibéré du choix qui rend cette population intéressante à lire. Quelqu’un a remplacé quelque chose qui fonctionnait déjà, et un remplacement a ses raisons.

hCaptcha est un service de la catégorie Security lancé en 2019 par Intuition Machines, fourni sous la forme d’un widget hébergé sous licence Proprietary et intégré à la page en JavaScript. Le service présente un défi, décide si le visiteur est humain et renvoie un jeton que le site vérifie avant d’accepter un envoi. Sur le plan fonctionnel, il est interchangeable avec l’alternative du fournisseur en place, et c’est précisément pour cela que la décision de changer porte de l’information.

Les motivations se regroupent en quelques familles reconnaissables. Certains exploitants veulent que les signaux de visite cessent d’affluer vers une grande société publicitaire, par principe ou parce qu’une évaluation de confidentialité le leur a demandé. Certains sont en Europe et traitent le transfert de données comme une exposition juridique. Certains ont pris la part de revenus proposée. D’autres ont simplement mal vécu des abus qui passaient à travers le dispositif par défaut. La population obtenue penche vers les exploitants soucieux de confidentialité, les services financiers et de cryptomonnaies, les communautés qui attirent des abus déterminés, et les organisations dont la fonction juridique a un avis sur les fournisseurs. Quiconque vend de l’outillage de confidentialité, de l’hébergement européen, des services de conformité ou des produits anti-abus s’adresse à un public qui a déjà montré sa disposition à remplacer un fournisseur par défaut.

En octobre 2026 nous détectons le widget sur 87 438 sites, dont 49 219 aux États-Unis, et .com porte le plus gros bloc de suffixes. La colonne pays complique un peu la lecture centrée sur la confidentialité, ce qu’il vaut mieux dire que passer sous silence. Une présence forte sur le même marché que le fournisseur en place suggère que la décision tient autant au coût, à l’efficacité contre les abus et à la tolérance envers l’expérience du défi qu’aux préoccupations de protection des données.

Le filtrage par version n’apporte rien d’utile sur cette technologie. Le service expose un marqueur de génération d’interface plutôt qu’un numéro de build, si bien que toutes les détections se ressemblent et qu’il n’y a aucune courbe de mise à niveau à étudier.

La détection connaît ici une limite importante. Le widget ne se charge que sur les pages qui portent un formulaire protégé, si bien qu’un site qui l’emploie uniquement sur un écran de connexion, une étape d’inscription ou une page de paiement peut échapper entièrement à une exploration qui voit la page d’accueil. Le décompte est un plancher, et un plancher biaisé vers les sites qui exposent publiquement un formulaire de contact ou de commentaire.

L’export donne une ligne par site détecté, avec le domaine, le pays, le suffixe et la date de détection. Il inverse la requête habituelle, qui part d’un domaine déjà connu, et permet à la recherche de partir de la technologie.