Un formulaire de contact a un seul travail — permettre à une vraie personne de joindre facilement l'entreprise — et la protection anti-spam est très facile à mal calibrer, au point d'endommager discrètement ce travail en essayant de le protéger. L'échec le plus courant n'est pas une protection trop faible, c'est une protection assez lourde pour qu'un vrai visiteur abandonne le formulaire avant de le terminer, ce qui est un résultat pire que le spam qu'elle devait arrêter.
Pourquoi un seul filtre ne suffit pas
Les soumissions de spam vont de robots automatisés grossiers remplissant chaque champ qu'ils trouvent, à des soumissions plus délibérées d'une personne ciblant manuellement le formulaire d'une entreprise. Une seule défense a tendance à ne couvrir qu'une extrémité de cet éventail : un simple champ piège attrape l'automatisation grossière mais ne fait rien contre un humain déterminé, tandis qu'un défi de type puzzle qui arrête les deux arrête aussi une part significative de vrais visiteurs, surtout sur mobile, où résoudre un puzzle d'images est plus fastidieux que sur ordinateur. Superposer plusieurs vérifications légères, plutôt que de s'appuyer sur une seule lourde, capture une plus grande part du spam réel tout en demandant moins à chaque visiteur réel pris individuellement.
Ce qui fonctionne sans que les visiteurs le remarquent
Un champ caché, invisible pour une personne mais que les robots basiques remplissent quand même parce qu'ils n'affichent pas la page comme le fait un navigateur — toute soumission avec ce champ rempli est discrètement écartée, sans aucune friction pour un vrai visiteur qui ne sait même pas que le champ existe. Chronométrer l'écart entre le chargement d'un formulaire et sa soumission attrape les robots qui remplissent et soumettent un formulaire en moins d'une seconde, plus vite que ce qu'un humain lisant réellement les champs pourrait faire, sans demander à un vrai visiteur de faire quoi que ce soit différemment. Vérifier le contenu d'une soumission par rapport à une courte liste de schémas courants dans le spam — un flot de liens, des caractères hors de ce que le champ devrait contenir — en capture une part significative sans aucun défi visible.
Où une vérification visible a sa place
Une partie du spam déterminé mais peu élaboré passe les vérifications passives, et c'est là qu'une étape visible légère — un simple « sélectionnez chaque image avec une voiture » ou équivalent, montré seulement après que d'autres signaux suggèrent un problème, plutôt qu'à chaque visite — trouve sa place. Montrer cela par défaut à chaque visiteur pénalise tout le monde pour un problème dont la plupart ne font pas partie ; le montrer sélectivement, seulement quand une soumission paraît déjà suspecte, le garde à l'écart des demandes que l'entreprise souhaite réellement recevoir.
À quoi cela ressemble en pratique, tiré de notre propre site
Notre propre formulaire de contact utilise exactement cette approche en couches — un champ piège caché, une vérification du délai de soumission, et une correspondance de motifs dans le contenu, sans aucun puzzle visible montré à un visiteur, sauf si plusieurs signaux se contredisent — car un formulaire réellement rapide à utiliser convertit mieux qu'un formulaire simplement bien protégé, et les deux objectifs n'ont pas à se faire concurrence quand la protection est superposée plutôt que déversée d'emblée sur le visiteur.
La mesure qui compte vraiment
L'indicateur à surveiller n'est pas « combien de spam a été bloqué » — c'est le ratio entre les demandes réelles et utiles qui sont passées et le nombre de personnes ayant commencé le formulaire puis abandonné. Un formulaire qui bloque 100 % du spam mais frustre une part significative des vrais visiteurs a échangé un problème contre un autre plus coûteux.
C'est l'un des détails pratiques derrière le fait de traiter un site comme une partie active de l'entreprise plutôt que comme une page statique. Notre équipe web intègre cette approche en couches dans chaque formulaire qu'elle livre, pas comme une idée ajoutée après coup.
