[Problème] Spam via le formulaire de contact - Captcha V2

[didier l]

Bonjour,

J'ai migré mon site en Joomla 4 et j'ai un formulaire de contact protégé par un captcha Google en version 2.
Ceci ne semble pas une protection suffisante car je reçois depuis hier soir : j'ai reçu 143 messages avec le même sujet "Test, just a test" qui ont tous la même forme :

Ceci est un e-mail de demande via http://xxxxxxxx.org/ de :
Michaelked <tolerjordyn@gmail.com>

tolerjordyn@gmail.com

L'adresse mail utilisée change à chaque fois et comme le débit est assez faible, il semble facile de contourner le captcha !!!

L'utilisation d'un captcha V3 permettra t'il a priori de se protéger de ces attaques ?

Si oui, j'ai bien noté les conseils de plusieurs d'entre vous dont Daneel (https://forum.joomla.fr/forum/joomla-3-x/administration/sécurité/2051029-re-captcha-v2-inefficace?p=2052708#post2052708)

Ce qui a bloqué le développement du recaptcha en v3 pour joomla, c'est certainement l'échange en ajax associé au bouton de déclenchement et une personnalisation du score par formulaire : https://developers.google.com/recaptcha/docs/v3?hl=fr donc réaliser un plugin natif qui fonctionnerait avec tous les formulaires,
c'est un peu compliqué contrairement à une extension de gestion de formulaire tierce comme rsform qui peut proposer facilement l'intégration cette v3

Plugin - Google reCaptcha v3 (Spam Protection)
https://www.rsjoomla.com/support/documentation/rsform-pro/plugins-and-modules/plugin-google-recaptcha-v3-spam-protection.html
The reCAPTCHA v3 is here to help you detect abusive traffic on your website without user interaction. Unlike reCaptca v2, which was displaying a CAPTCHA challenge, reCAPTCHA v3 returns a score so you can choose the most appropriate action for your website.

Merci pour vos conseils !

[daneel]

Bonjour,

Je vais tenter de formuler plus clairement. À ma connaissance, il n'y a pas de recaptcha v3 utilisable comme plugin de captcha de joomla.
Simplement une compatibilité des clés v3 avec la version v2 invisible disponible nativement.

L'alternative gratuite étant d'utiliser n3t multicaptcha et d'activer un ou plusieurs captchas alternatifs comme Friendly Captcha, Hcaptcha et Cloudflare Turnstyle.
Certains sont apparemment plus respectueux du RGPD que Google. De plus, n3t Multicaptcha affichera donc le ou les captchas sélectionnés et ajoute une couche supplémentaire de sécurité en contactant les serveurs antispam et divers réglages. Bref, avec le changement aléatoire de captcha plus les antispam, les formulaires seront mieux protégés.

Pour info, les auteurs de spam utilisent des scripts qui sont alimentés par des résolveurs de recaptcha (v2 et v3) et sont implantés sur plusieurs serveurs généralement détournés avec des proxy afin de brouiller les pistes de l'ip d'origine. Multicaptcha permet de "casser" leurs routines en proposant aléatoirement des captchas et des blocages avec les serveurs antispam.

Et si vous avez vraiment envie d'utiliser Recaptcha V3, il faudra faire l'impasse sur le formulaire de contact natif pour le remplacer par un formulaire RSForm ( gestionnaire de formulaire payant) qui est compatible avec ce recaptcha V3. Ce qui ne résous pas les problèmes avec les autres formulaires natifs ( inscription, etc...).

Par rapport au RGPD, je ne suis pas juriste et je vais éviter de détailler mais il faudrait obtenir le consentement avant d'utiliser les services de google et cela vaut également pour les videos youtube, analytics et google font. Je vous invite à lire des spécialistes sur le sujet :
https://info.haas-avocats.com/droit-...le-par-la-cnil

https://ewatchers.org/question/eprivacy/doit-on-obtenir-le-consentement-des-internautes-pour-utiliser-google-recaptcha-78

https://ewatchers.org/action/action-concernant-la-ville-de-la-seyne-sur-mer-suite-a-l-utilisation-de-google-recaptcha-sur-le-site-la-seyne-fr-182

Actuellement, les sociétés et organismes utilisant recaptcha en France se montre prudent en effectuant une demande de consentement préalable. L'activation étant nécessaire, ceux qui n'acceptent pas les conditions ne peuvent utiliser le formulaire. C'est un peu une histoire sans fin.


De mon avis, recaptcha v3 est à étudier (notamment avec le réglage du score) si vous avez une licence rsform mais attention au RGPD. Dans la plupart des sites, vous avez d'autres captchas et c'est encore mieux de mixer leur solution dans le multicaptcha qui est libre et gratuit.

Les seules remarques sur l'usage du multicaptcha, c'est de faire le bon choix des captchas alternatifs et les réglages avec les bases antispam. Il faut vérifier et tester si le formulaire répond rapidement car selon votre hébergement (notamment les mutualisés un peu trop bridés), vous pouvez avoir quelques ralentissements (cela reste toutefois assez rare).
Comme l'indique Hervé, il faut éviter également de sélectionner toutes les serveurs antispam, par exemple SpamHaus qui peut générer des "faux positifs".

Pour rappel :

https://extensions.joomla.org/extension/access-a-security/site-security/n3t-multi-captcha/

https://extensions.joomla.org/extension/captcha-friendly-captcha/

https://extensions.joomla.org/extension/access-a-security/hcaptcha/

https://extensions.joomla.org/extension/access-a-security/cloudflare-turnstile/

Friendly Captcha est une solution respectueuse de la vie privée qui protège les services en ligne ou les sites web contre le spam. Il est exploité par Interlink, une société allemande, conforme au GDPR.

Limite mensuelle de requêtes incluse dans leur niveau gratuit
Friendly Captcha : 1K
Cloudflare Turnstile: 1M, beta
hCaptcha: 1M, ou 100K pour WAF/DDoS

[didier l]

Bonjour,

J'ai eu quelques soucis à me débarrasser du captcha Google ; je conseille de passer par une phase intermédiaire où l'on désactive le captcha :

• Dans la configuration globale, onglet Site : catpcha par défaut = aucune solution
• Dans composant > contacts > contacts
  • en cliquant sur le bouton paramètres en haut à droite puis dans l'onglet "Formulaire", choisir"Aucune Selection", (même si cette valeur est déjà sélectionnée) et Enregistrer, ce qui désactive le captcha du formulaire de contact
• Cache : tout effacer
• Historique du navigateur : Effacer tout

Voir

https://forum.joomla.fr/forum/joomla-4-x-aa/questions-g%C3%A9n%C3%A9rales-aa/2053336-comment-d%C3%A9sinstaller-le-captcha-google