Télécharger les sites web qui utilisent VAPTCHA

À propos de VAPTCHA

La protection contre les robots est un achat que le propriétaire d’un site fait une fois puis oublie, ce qui en fait un indice d’une rare franchise sur les attaquants auxquels un site s’attend. VAPTCHA se range dans la catégorie Security et fonctionne en observant les mouvements du visiteur plutôt qu’en lui faisant déchiffrer des caractères déformés. Le test consiste en un geste, un glissement ou une forme à tracer, et le verdict découle du comportement plutôt que de la réponse.

En octobre 2026 nous détectons le service sur 38 sites, et dans chaque cas l’installation a été délibérée. Un widget de vérification n’est ni fourni d’office par un hébergeur ni hérité d’un thème. Quelqu’un l’a ajouté à un formulaire de connexion, à une page d’inscription ou à une page de paiement parce que ce formulaire faisait l’objet d’abus. Chaque domaine de la liste est donc un site doté d’un formulaire qui vaut la peine d’être attaqué, ce qui constitue une population bien plus ciblée et plus utile qu’une liste de sites qui se contentent de proposer une connexion.

Pour ce produit, la version déclarée ne vaut presque rien comme signal, et nos relevés montrent pourquoi. La seule valeur de version que nous ayons jamais enregistrée pour lui est 3. Un service de vérification hébergé se met à jour au rythme du fournisseur, et le numéro que porte un script d’intégration désigne la génération de l’API plutôt qu’une mouture qu’un client aurait choisi d’installer. Personne ne devrait donc lire ici le champ de version comme la preuve d’un cycle de mises à jour ou d’une culture de l’application des correctifs.

Pour un fournisseur qui vend de la lutte contre la fraude, de la protection contre le piratage de comptes ou de la vérification d’identité, la liste de domaines est un ensemble d’acheteurs qui ont déjà admis que les abus sont une ligne du budget. Pour un chercheur, l’intérêt est autre. Choisir un service fondé sur le geste plutôt que les solutions par défaut fournies avec les frameworks courants renseigne sur les publics et les langues que sert un exploitant, car les tests à base de caractères passent mal d’un système d’écriture à l’autre, alors que les tests gestuels n’ont pas ce problème.

Nous enregistrons VAPTCHA comme fournisseur, une licence Proprietary, une première version en 2016 et une implémentation en JavaScript, et rien de plus sur l’entreprise qui se trouve derrière le produit. D’anciens articles consacrés à ce service lui attribuent un pays d’origine. Nos données ne comportent aucun champ de ce type, et aucune répartition par pays ni concentration par domaine de premier niveau n’y figure non plus, si bien qu’un acheteur qui a besoin de savoir où ces sites exercent leur activité devrait calculer cette répartition à partir de la liste de domaines plutôt que de se fier à une phrase de synthèse écrite ailleurs.

Une requête par domaine vous dira si un site que vous connaissez déjà utilise le service. La liste répond à la question qui sert au dimensionnement d’un marché, à savoir l’ensemble des exploitants qui ont jugé qu’un test gestuel valait la friction qu’il ajoute à leurs formulaires.