Captcha Anti-Spam - reCAPTCHA, hCaptcha & Turnstile. Captcha Anti-Spam protège les formulaires de votre boutique (connexion, inscription, mot de passe oublié, contact, newsletter, avis produit et commande sans compte) contre les robots et le spam, avec le fournisseur de votre choix : Google reCAPTCHA v2/v3, hCaptcha ou Cloudflare Turnstile. La vérification se fait côté serveur en HTTPS, chaque formulaire a son propre interrupteur, et vous pouvez exempter des adresses IP de confiance ou les clients connectés. Aucun code, aucune modification du thème.
Captcha Anti-Spam protège les formulaires de votre boutique (connexion, inscription, mot de passe oublié, contact, newsletter, avis produit et commande sans compte) contre les robots et le spam, avec le fournisseur de votre choix : Google reCAPTCHA v2/v3, hCaptcha ou Cloudflare Turnstile. La vérification se fait côté serveur en HTTPS, chaque formulaire a son propre interrupteur, et vous pouvez exempter des adresses IP de confiance ou les clients connectés. Aucun code, aucune modification du thème.
1. Installation
- Dans le back office, allez dans Modules → Gestionnaire de modules → Téléverser un module et sélectionnez le ZIP du module.
- Une fois l'installation terminée, cliquez sur Configurer pour ouvrir l'écran des réglages.
.local, .test, localhost) sont toujours autorisés. Dès qu'une nouvelle version est disponible, elle est signalée directement dans le module.Si, à la place de la confirmation, vous lisez « Upload failed », PrestaShop a peut-être désactivé le module sans vous le dire : vos réglages et vos données restent en place. Comment mettre à jour un module, et que faire en cas de « Upload failed ».
2. Configuration : étape par étape
L'écran Configurer est organisé en panneaux : Fournisseur de captcha, Formulaires protégés, Avancé et Limitation des tentatives. Chaque panneau a son propre bouton Enregistrer.
Fournisseur de captcha commencez ici
L'interrupteur général, votre fournisseur et ses clés.
- Activer la protection : interrupteur général du module. Désactivé, aucun captcha n'est affiché ni vérifié sur le front office.
- Fournisseur : choisissez Google reCAPTCHA v2 (case à cocher ou invisible), reCAPTCHA v3, hCaptcha ou Cloudflare Turnstile. Les clés se créent dans l'espace du fournisseur.
- Clé du site : la clé publique affichée dans la page. Elle peut être vue sans risque.
- Clé secrète : la clé privée, utilisée seulement pour la vérification côté serveur. Elle n'arrive jamais au navigateur.
- Seuil de score reCAPTCHA v3 : le score minimum accepté pour reCAPTCHA v3 (0,0 = robot, 1,0 = humain). Valeur habituelle :
0.5. - Thème du widget : Clair ou Sombre, pour s'accorder à votre boutique.
- Position du badge : En bas à droite, En bas à gauche ou Dans la page (pour reCAPTCHA v3, la version invisible et Turnstile).
Formulaires protégés
Activez le captcha formulaire par formulaire. N'activez que ceux que vous voulez vraiment protéger.
- Connexion, Inscription, Mot de passe oublié, Formulaire de contact, Newsletter, Avis produit et Commande sans compte : chacun a son interrupteur indépendant.
Avancé facultatif
Le réglage fin de la vérification. Les valeurs par défaut sont raisonnables : vous pouvez les laisser telles quelles.
- Bloquer en cas de panne : si le service de captcha est injoignable, activé, l'envoi est bloqué ; désactivé, il passe.
- Exempter les clients connectés : ni affichage ni vérification du captcha pour les clients identifiés.
- Délai de vérification (s) : le temps d'attente maximum de la réponse du fournisseur (1 à 30).
- Liste blanche d'IP de confiance : une IP par ligne (ou séparées par des virgules). Ces adresses passent sans captcha.
- Vérifier le nom d'hôte : refuse les jetons résolus sur un autre domaine (rejeu, fermes à jetons). Recommandé : activé.
- Nom d'hôte attendu (facultatif) : impose le nom d'hôte sur lequel le captcha doit être validé. Laissez vide pour utiliser automatiquement le domaine de la boutique ; séparez plusieurs hôtes par des virgules (par exemple un domaine de CDN ou de prévisualisation).
- Vérifier l'action : pour reCAPTCHA v3 et Turnstile, refuse un jeton produit pour un autre formulaire. Recommandé : activé.
Limitation des tentatives facultatif
Bloque temporairement une IP après trop d'échecs de captcha sur le même formulaire : une protection de plus contre la force brute.
- Activer la limitation : met le limiteur en service.
- Nombre d'échecs autorisés : les échecs tolérés par IP et par formulaire avant un blocage temporaire (1 à 1000).
- Fenêtre (minutes) : la durée de la fenêtre glissante sur laquelle les échecs sont comptés (1 à 1440).
3. Vérifier que tout fonctionne
- Ouvrez une page protégée du front office (la page de connexion ou de contact, par exemple) et vérifiez que le widget du captcha apparaît.
- Envoyez le formulaire sans résoudre le captcha : il doit être refusé avec un message anti-spam.
- Pour reCAPTCHA v3 et Turnstile, vérifiez que le badge flottant s'affiche à la position choisie.
- Si vous avez mis votre IP en liste blanche ou activé « Exempter les clients connectés », vérifiez que le captcha est bien ignoré dans ces cas.
4. Questions fréquentes
Quel fournisseur choisir ?
Les quatre conviennent. reCAPTCHA v2 affiche un test visible ; reCAPTCHA v3 et Turnstile sont invisibles et fonctionnent au score ; hCaptcha est l'alternative qui met la vie privée en avant. Créez la clé du site et la clé secrète correspondantes dans l'espace de ce fournisseur.
Est-ce que cela ralentit ma boutique ?
Non. La vérification a lieu côté serveur, uniquement quand un formulaire protégé est envoyé, et les IP de confiance comme les clients connectés peuvent en être totalement exemptés.
Dois-je modifier mon thème ?
Non. Le module insère le widget par les hooks standard et fonctionne avec n'importe quel thème.
Que se passe-t-il si le service de captcha tombe ?
C'est vous qui décidez. Avec Bloquer en cas de panne activé, l'envoi est bloqué ; désactivé, le formulaire passe et aucun visiteur légitime ne reste coincé.