# Cinq téléchargements en moins d’une minute

Galaxie Sécurité · Cédric Merlin, CTO · https://merlin-cedric.fr/securite/captcha/

Bloquer les robots d’un formulaire public sans captcha tiers : jeton signé à usage unique, champ leurre, limite de débit qui survit aux redéploiements.

## Le problème

Un robot téléchargeait les guides gratuits d’un site par son formulaire public : six en deux jours, dont cinq en moins d’une minute.

## La contrainte

Bloquer les robots sans captcha tiers qui piste les visiteurs.

## Ce que j’ai fait

1. **Audit.** Un captcha était bien dans le code, mais jamais activé.
2. **Jeton signé.** Le serveur signe chaque formulaire, et un jeton ne sert qu’une fois.
3. **Champ piège.** Invisible pour un humain, rempli par les robots.
4. **Limite de débit.** Elle tient même après un redéploiement.

## Le résultat

Les robots échouent, les visiteurs ne voient aucune différence.

## Stack

HMAC, Node.js

---
Page : https://merlin-cedric.fr/securite/captcha/ · Contact : contact@merlin-cedric.fr