Un captcha PrestaShop est aujourd’hui la protection de base contre les robots qui envoient du spam par le formulaire de contact, créent de faux comptes, devinent les mots de passe de vos clients et inscrivent des inconnus à votre newsletter. PrestaShop n’a pas de captcha intégré : chaque formulaire de la boutique est donc ouvert aux scripts automatiques. La solution la plus confortable est Google reCAPTCHA v3 : invisible, elle note chaque visite en arrière-plan et ne demande jamais aux clients de recopier des lettres ou de cliquer sur des feux tricolores. Voici ce que font les robots dans une boutique en ligne, les différents types de captcha et comment ajouter reCAPTCHA à PrestaShop étape par étape.
- Pourquoi les robots visent-ils les boutiques en ligne ?
- Ce que font les robots dans les formulaires PrestaShop
- Types de captcha : du texte déformé à la note invisible
- Pourquoi Google reCAPTCHA v3 ?
- Installer reCAPTCHA sur PrestaShop étape par étape
- Un captcha ne suffit pas
- Sources
- Questions fréquentes
Pourquoi les robots visent-ils les boutiques en ligne ?
Selon le rapport Imperva Bad Bot Report 2025, le trafic automatisé représente désormais 51 % de tout le trafic web, et les robots malveillants à eux seuls environ 37 %. C’est la première fois en dix ans que l’automatisation dépasse les humains, et le rapport attribue cette hausse aux outils d’IA, qui rendent les robots plus rapides à créer et plus difficiles à détecter.
Un robot n’a pas besoin de connaître votre boutique. Les scanners parcourent tout le web, reconnaissent PrestaShop à ses adresses typiques (/connexion, /nous-contacter, index.php?controller=authentication) et au code de ses pages, puis envoient les formulaires automatiquement, des centaines de fois par jour. Une petite boutique qui reçoit quelques commandes par semaine subit le même spam qu’une grande : pour un robot, tout formulaire sans protection est une cible aussi facile.
Ce que font les robots dans les formulaires PrestaShop
Chaque formulaire public attire un abus différent. L’OWASP, la communauté dédiée à la sécurité des applications web, les répertorie dans son catalogue des menaces automatisées ; le tableau reprend celles que nous voyons le plus souvent dans les boutiques PrestaShop.
| Formulaire | Ce que fait le robot | Conséquence pour la boutique |
|---|---|---|
| Contact | envoie des publicités, des liens vers des arnaques et du hameçonnage | une boîte mail et un SAV encombrés, le risque de cliquer sur un faux lien |
| Inscription | crée de faux comptes avec des liens dans les champs prénom et nom | une base clients polluée, des e-mails de bienvenue envoyés à des inconnus |
| Connexion | essaie des couples e-mail et mot de passe volés sur d’autres sites (credential stuffing) | des comptes clients piratés, avec leurs adresses et leur historique de commandes |
| Réinitialisation du mot de passe | demande des centaines de liens de réinitialisation | une vague d’e-mails vers les clients, une réputation d’expéditeur dégradée |
| Newsletter | inscrit les adresses d’autres personnes, parfois des milliers en une heure | une fausse liste d’abonnés, des plaintes pour spam, vos e-mails dans les indésirables |
Les dégâts sur vos e-mails sont les plus sournois. Chaque fausse inscription, réinitialisation de mot de passe ou inscription à la newsletter est un e-mail envoyé depuis votre domaine à quelqu’un qui ne l’a jamais demandé. Quand les destinataires le signalent comme spam, Gmail et Outlook se mettent à classer aussi vos confirmations de commande et vos factures dans les indésirables.
Les robots sont-ils déjà dans votre boutique ?
- Clients → Clients : triez par date d’inscription. Des comptes avec des liens ou des caractères étranges dans le nom, créés en série à la même heure, sont des robots.
- SAV : des messages du formulaire de contact en langues étrangères, remplis de liens ou sans rapport avec votre offre.
- Paramètres avancés → E-mail : si vous gardez les logs des e-mails, vous y verrez des séries soudaines d’e-mails de bienvenue et de réinitialisation.
- Abonnés à la newsletter : dans la configuration du module Inscription à la newsletter ; des centaines de nouvelles adresses en un jour ne sont presque jamais des clients.
Types de captcha : du texte déformé à la note invisible
Un CAPTCHA est un test qui distingue un humain d’un programme. Il est passé au fil des ans des simples énigmes à l’analyse du comportement, car les robots, aidés désormais par l’IA, ont appris à résoudre ce qui devait leur résister.
| Type | Ce que voit le client | Inconvénients |
|---|---|---|
| Texte déformé ou calcul | un champ où recopier des caractères | fatigant pour les clients, et les logiciels de reconnaissance de texte s’y améliorent sans cesse |
| Champ piège caché (honeypot) | rien | n’arrête que les robots les plus simples, qui remplissent tous les champs |
| reCAPTCHA v2 « Je ne suis pas un robot » | une case à cocher, parfois des images à identifier | une étape de plus, et les images agacent, surtout sur mobile |
| reCAPTCHA v3 | rien, au plus un petit badge dans un coin | la boutique doit interpréter la note elle-même, et les données de visite partent chez Google |
Dans une boutique, chaque étape de plus à l’inscription ou à la connexion a un coût : une partie des clients abandonne devant des images à identifier. Le captcha d’une boutique doit donc avant tout rester invisible pour les humains.
Pourquoi Google reCAPTCHA v3 ?
reCAPTCHA est le service de captcha le plus utilisé du web, et la version 3 est selon nous le meilleur choix pour une boutique PrestaShop. Voici pourquoi :
- Aucune énigme. reCAPTCHA v3 n’interrompt jamais un achat. Son script observe en arrière-plan la façon dont le visiteur utilise la page et, à l’envoi d’un formulaire, Google renvoie une note de 0.0 (très probablement un robot) à 1.0 (très probablement une personne).
- L’échelle de Google. La note s’appuie sur les signaux d’un très grand nombre de sites protégés par reCAPTCHA. Un robot qui attaque des milliers de boutiques laisse des traces qu’une boutique seule ne verrait jamais.
- Votre boutique décide. Vous fixez vous-même le seuil. Google conseille 0.5 pour commencer, et chaque formulaire reçoit son propre nom d’action : un jeton créé pour la newsletter ne fonctionne pas à la connexion.
- Des jetons à usage unique. Un jeton expire au bout de deux minutes et ne peut être vérifié qu’une fois ; un robot ne peut donc pas réutiliser mille fois un bon jeton.
- Une offre gratuite. L’offre Essentials est gratuite jusqu’à 10 000 évaluations par mois. Une évaluation est comptée quand un formulaire est vérifié, pas à chaque page vue : la plupart des boutiques restent largement sous cette limite.
D’autres services existent, comme Cloudflare Turnstile ou hCaptcha, et il est bon de les connaître. reCAPTCHA v3 l’emporte par l’alliance d’une note invisible, d’un seuil réglable et du plus grand volume de données. N’oubliez pas que le script de Google transmet des données de visite à Google : mentionnez-le dans la politique de confidentialité de la boutique.
Conseil : ne commencez pas avec un seuil élevé. Vérifiez vos formulaires pendant quelques jours sans rien bloquer, regardez les notes de vos vrais clients, puis activez le blocage avec un seuil de 0.5.
Installer reCAPTCHA sur PrestaShop étape par étape
Coller le script de Google dans le thème ne suffit pas : il faut créer un jeton à chaque envoi de formulaire, puis le vérifier sur le serveur avant que PrestaShop n’enregistre le message, ne crée le compte ou n’envoie un e-mail. Le module reCAPTCHA v3 invisible le fait pour vous sur PrestaShop 1.7.8, 8 et 9, multiboutique comprise. La mise en place prend quelques minutes.
Étape 1. Créez les clés chez Google
Connectez-vous à la console d’administration reCAPTCHA avec un compte Google, choisissez une clé basée sur un score (v3) et ajoutez les domaines de la boutique, par exemple votreboutique.fr ; les sous-domaines comme www sont inclus automatiquement. Google affiche ensuite deux clés : la clé du site et la clé secrète.
Étape 2. Installez le module et collez les clés
Envoyez le fichier ZIP dans Modules → Gestionnaire de modules → Installer un module et cliquez sur Configurer. Collez les deux clés dans la section Clés Google reCAPTCHA et enregistrez. Le module les teste aussitôt auprès de Google et vous dit si la clé correspond au domaine de la boutique : une faute de frappe ou une clé v2 au lieu d’une v3 apparaît à l’enregistrement, et non le jour où vos clients ne peuvent plus se connecter.
Étape 3. Choisissez les formulaires protégés
Dans Formulaires protégés, chaque formulaire a son propre interrupteur : formulaire de contact, connexion, inscription, réinitialisation du mot de passe et newsletter. La connexion et l’inscription sont aussi protégées pendant la commande, formulaire invité compris. Quand un formulaire est arrêté, le client garde ce qu’il a saisi dans les formulaires de contact et d’inscription.
Étape 4. Activez le mode test et choisissez le seuil
Activez le Mode test pendant quelques jours. Le module vérifie alors chaque formulaire sans en bloquer aucun, et inscrit ceux qu’il aurait arrêtés, avec leur note, dans Paramètres avancés → Logs. Réglez ensuite le Seuil de score (de 0.1 à 0.9, 0.5 recommandé) et désactivez le mode test. Pour Quand Google ne répond pas, gardez « Laisser passer le formulaire » : si Google ne répond pas en 3 secondes, le formulaire du client passe et le problème est consigné.
Étape 5. Le badge et la politique de confidentialité
Google exige que les visiteurs soient informés de l’usage de reCAPTCHA. Vous pouvez garder le petit badge dans le coin de la page ou le masquer : le module affiche alors sous chaque formulaire protégé la mention exigée par Google, avec les liens vers ses règles de confidentialité et ses conditions. Le script de Google ne se charge que lorsqu’un visiteur commence à remplir un formulaire protégé, il ne ralentit donc pas les autres pages. Ajoutez aussi reCAPTCHA à votre politique de confidentialité ; notre politique de confidentialité en donne un exemple. Il s’agit d’une information générale, pas d’un conseil juridique.
Un captcha ne suffit pas
reCAPTCHA protège vos formulaires, mais n’arrête ni les scanners qui cherchent des failles connues dans les modules, ni les attaques contre le back-office ou le serveur. Ces menaces demandent des logiciels à jour et une protection au niveau du serveur :
- les failles CVE, les signes d’intrusion et que faire après une attaque sont détaillés dans notre guide Sécurité PrestaShop ;
- fail2ban, Cloudflare, la limitation des requêtes et la protection contre les DDoS sont expliqués dans Sécuriser un serveur PrestaShop ;
- si vous préférez confier la vérification de la boutique à quelqu’un, découvrez notre audit de sécurité de la boutique.
Sources
- Imperva Bad Bot Report 2025 : la part des robots dans le trafic web.
- OWASP Automated Threats to Web Applications : le catalogue des menaces automatisées, dont le credential stuffing et la création de comptes.
- Google reCAPTCHA v3 : la note, le seuil de 0.5 et la durée de vie des jetons.
- FAQ Google reCAPTCHA : masquer le badge.
- Offres reCAPTCHA (Google Cloud) : le quota gratuit d’évaluations.
Questions fréquentes
reCAPTCHA v3 gêne-t-il les achats des clients ?
Non. La version 3 n’affiche ni énigme ni case à cocher : la note est calculée en arrière-plan à l’envoi du formulaire. Un client avec une note basse voit un message et peut réessayer, et le mode test vous permet de vérifier les notes de vos vrais clients avant de bloquer quoi que ce soit.
Google reCAPTCHA est-il gratuit ?
L’offre Essentials est gratuite jusqu’à 10 000 évaluations par mois. Le module ne demande une note à Google qu’à l’envoi d’un formulaire protégé : le nombre d’évaluations correspond au nombre de formulaires envoyés, pas aux pages vues. Au-delà de la limite, Google ne renvoie plus de notes jusqu’à la fin du mois ; surveillez le compteur dans la console Google si votre trafic est élevé.
Que se passe-t-il si Google ne répond pas ?
Le module attend la réponse jusqu’à 3 secondes. Par défaut, il laisse alors passer le formulaire et inscrit le problème dans les logs de PrestaShop, pour qu’une panne chez Google ne bloque jamais vos clients. Si vous préférez la sécurité au confort, choisissez de bloquer le formulaire.
reCAPTCHA exige-t-il un consentement aux cookies ?
reCAPTCHA transmet des données de visite à Google et dépose le cookie _GRECAPTCHA : il faut donc le décrire dans votre politique de confidentialité. La nécessité d’un consentement distinct dépend de l’interprétation des règles dans votre pays ; beaucoup de boutiques le considèrent comme une mesure de sécurité nécessaire au fonctionnement des formulaires. Ce n’est pas un conseil juridique ; en cas de doute, consultez un juriste.
Le module fonctionne-t-il sur PrestaShop 1.7, 8 et 9 ?
Oui. reCAPTCHA v3 invisible fonctionne sur PrestaShop 1.7.8 à 9.x avec les modules natifs de formulaire de contact et de newsletter ; en multiboutique, chaque boutique a ses propres clés et réglages. Il ne modifie aucun fichier de PrestaShop et n’utilise aucun override.
Marre du spam dans votre boutique ? Découvrez le module reCAPTCHA v3 invisible ou contactez-nous si vous avez une question sur votre boutique.
Produits de cet article
