Si vous exploitez un site web dans l'UE, votre CAPTCHA mérite un examen attentif. Il s'agit souvent de Google reCAPTCHA. Il reste le choix par défaut pour la protection contre les bots et charge des scripts Google dans votre page. Depuis le 2 avril 2026, Google agit pour ce service en tant que sous-traitant selon sa propre FAQ (docs.cloud.google.com/recaptcha/docs/faq) ; savoir si et comment vous pouvez utiliser reCAPTCHA reste néanmoins une question d'évaluation juridique, et en pratique cette évaluation porte souvent sur le consentement.
En résumé : reCAPTCHA ne doit pas entrer dans votre page sans examen. Cela concerne tous ceux dont les formulaires portent l'activité — éditeurs SaaS, boutiques en ligne, tunnels de génération de leads et sites du secteur public.
Pourquoi le RGPD et le CAPTCHA sont incompatibles
Le RGPD repose sur un principe central : minimiser la collecte de données et protéger la vie privée. Beaucoup de CAPTCHA traditionnels s'accordent mal avec ce principe. Ils chargent des scripts tiers, analysent le comportement — mouvements de souris, clics — et traitent souvent le résultat sur des serveurs situés hors de l'UE.
Cela soulève plusieurs questions que vous devez examiner : l'existence d'une base légale solide sans consentement, la sécurisation d'un transfert hors de l'UE après l'arrêt Schrems II et la description transparente du traitement. Ce que beaucoup d'entreprises oublient : un outil de protection contre les bots fait partie du registre des traitements, au même titre que tout autre sous-traitant.
Quelles règles s'appliquent réellement
Trois parties du règlement décident si votre CAPTCHA pose problème — et elles s'appliquent dans cet ordre.
Article 6 — existe-t-il une base légale ? Charger un script tiers qui profile le visiteur est un traitement. L'intérêt légitime peut porter une simple défense anti-spam, mais il cesse de porter dès que l'outil construit des profils comportementaux inter-sites. Il vous faut alors un consentement, et celui-ci doit exister avant que le script ne se charge — c'est précisément le point auquel veiller lors de l'intégration.
Article 28 — qui est le sous-traitant ? Votre fournisseur de CAPTCHA traite des données personnelles pour votre compte. Vous avez donc besoin d'un contrat de sous-traitance avec lui, et l'outil doit figurer dans votre registre des traitements — comme votre prestataire de messagerie ou votre outil de mesure d'audience.
Articles 44 et suivants — où vont les données ? Tout transfert hors de l'UE exige un mécanisme juridique, et depuis l'arrêt Schrems II le mécanisme seul ne suffit plus : vous devez en outre évaluer si les lois de surveillance du pays de destination le vident de sa substance. Une grande partie de cette évaluation disparaît lorsque le fournisseur est lui-même établi dans l'UE et y conserve les données.
Qu'est-ce qui rend un CAPTCHA conforme au RGPD ?
Le CAPTCHA charge-t-il un script tiers dans votre page ?
- OuiConsentement requis avant le chargement
- NonLa requête seule n'exige pas de consentement
Stocke-t-il ou lit-il des cookies ou des identifiants d'appareil ?
- OuiConsentement requis
- NonL'intérêt légitime peut suffire
Avant de choisir une alternative, il faut savoir ce que « conforme au RGPD » signifie réellement. Cinq exigences en décident :
- Aussi peu de données personnelles que possible, rien de stocké en clair
- Stockage des données dans l'UE
- Pas de cookies de tracking ni de profils intersites
- Une base légale que vous pouvez documenter
- Traitement totalement transparent
Deux critères supplémentaires séparent le simplement conforme du réellement bon : une expérience invisible qui ne demande rien au visiteur, et une accessibilité conforme aux WCAG.
Vérifier votre propre site en dix minutes
Pour un premier passage, vous n'avez pas besoin d'un avocat, mais de l'onglet réseau.
- Ouvrez une page de formulaire et enregistrez le trafic réseau. Toute requête vers
google.com/recaptcha,hcaptcha.comou un hôte comparable signifie qu'un tiers voit vos visiteurs. - Regardez quand elle part. Si elle se charge avant que le visiteur n'ait accepté quoi que ce soit, le consentement comme base légale est déjà perdu.
- Cherchez les cookies et le stockage.
_GRECAPTCHAet consorts en sont la partie visible ; les entréeslocalStoragecomptent aussi. - Relisez votre propre politique de confidentialité. Si l'outil n'y est pas nommé, il est utilisé sans être déclaré.
- Ouvrez votre registre des traitements. La plupart listent la mesure d'audience et la messagerie — et oublient complètement la protection anti-bots.
Tout ce que vous trouvez ici se corrige. Ce qui ne se corrige pas, c'est la partie que personne n'a jamais cherchée.
Les alternatives — et ce qu'elles coûtent vraiment
Les informations ci-dessous proviennent des pages officielles des éditeurs, consultées le 4 octobre 2026. Elles changent ; les sources sont indiquées à chaque fois.
FriendlyCaptcha est un CAPTCHA allemand axé sur la confidentialité, qui vérifie en arrière-plan. L'offre Starter coûte 9 €/mois, Advanced 200 €/mois, et Enterprise est sur demande. Il est gratuit pour les projets non commerciaux (un domaine, 1 000 requêtes par mois) et pour les projets open source (50 domaines, 50 000 requêtes par mois). Nous n'avons pas pu vérifier les limites de requêtes des offres payantes sur la page tarifaire officielle — demandez-les à l'éditeur. Source : friendlycaptcha.com/free-captcha/.
Cloudflare Turnstile est gratuit, avec des vérifications illimitées — réellement gratuit, pas une période d'essai, et sans que votre site doive passer par Cloudflare. L'offre gratuite limite les fonctions plutôt que le volume : jusqu'à 20 widgets, 10 noms d'hôte par widget, sept jours d'analyse. Il ne charge aucun script Google et réduit l'interaction au minimum : en mode Managed, il affiche une case à cocher en cas de risque, sans image ni texte à déchiffrer. Le mode Invisible exige une mention renvoyant au « Turnstile Privacy Addendum ». Cloudflare reste une entreprise américaine. Source : developers.cloudflare.com/turnstile/plans/.
Google reCAPTCHA (désormais intégré à « Google Cloud Fraud Defense ») vous offre 10 000 évaluations par mois dans le palier Essentials ; vous devez enregistrer un moyen de paiement. Dans le palier Premium, 10 001 à 100 000 évaluations coûtent 8 $ forfaitaires, puis 1 $ par tranche de 1 000 ; Enterprise vient au-dessus. Les tâches d'images sont disponibles dans tous les paliers. Depuis le 2 avril 2026, Google agit en tant que sous-traitant selon sa propre FAQ. Ici, le prix n'est pas la question — le chemin des données vers Google l'est. Source : docs.cloud.google.com/recaptcha/docs/compare-tiers et /faq.
hCaptcha dispose d'un palier Basic gratuit. Pro coûte 99 $/mois en paiement annuel ou 139 $ au mois, et Enterprise est sur demande. Le mode passif sans tâche visible n'est disponible qu'en Pro et Enterprise ; dans le palier Basic, une vérification visible demeure. Source : hcaptcha.com/pricing.
SilentShield est une protection contre les bots invisible par défaut et respectueuse de la vie privée, avec stockage des données sur nos serveurs en Allemagne : dans le cas normal aucune interaction (seulement un petit calcul lorsque le résultat est incertain), pas de cookies, pas de suivi intersites, pas de profils, et un mode Zero-PII activable qui laisse entièrement de côté les caractéristiques du navigateur et de l'appareil. L'offre gratuite couvre 500 requêtes par mois sur un domaine ; Basic coûte 9 €/mois pour 5 000 requêtes, Pro 29 €/mois pour 25 000 requêtes sur cinq domaines, et Enterprise est individuel.
Comparaison rapide
| Outil | Prix d'entrée | Inclus | Interaction | Transfert de données |
|---|---|---|---|---|
| reCAPTCHA | gratuit | 10 000 évaluations | Tâche d'images possible | |
| hCaptcha | gratuit / 99 $ par mois (annuel) | non vérifié | Énigme ; passif uniquement Pro/Enterprise | non vérifié |
| Turnstile | gratuit | vérifications illimitées | le plus souvent aucune ; case à cocher en cas de risque | Cloudflare (entreprise américaine) |
| FriendlyCaptcha | 9 € par mois | non vérifié | Vérification en arrière-plan | non vérifié |
| SilentShield | gratuit / 9 € par mois | 500 / 5 000 requêtes | aucune par défaut ; calcul en cas de résultat incertain | Serveurs en Allemagne ; sans CDN avec le point de terminaison UE |
Lisez honnêtement la première colonne : sur le seul critère du prix, Turnstile l'emporte. Il est gratuit, il n'a pas de plafond de volume, et pour un petit site sans exigence de conformité, difficile d'argumenter contre.
Là où SilentShield est le choix le plus faible
Tout comparatif où l'auteur gagne à chaque ligne mérite la méfiance. Voici les trois lignes où ce n'est pas le cas.
Notre script est plus gros que celui de Turnstile. Le module comportemental de SilentShield pèse 45,0 Ko compressés, 48,9 Ko avec son chargeur (nouvelle mesure du 23 septembre 2026). Le 4 septembre 2026, nous avons mesuré dans un navigateur ce que chaque éditeur livre réellement : Turnstile 27,5 Ko, reCAPTCHA 423 Ko, hCaptcha 742 Ko. Turnstile est donc le plus léger des quatre et nous arrivons deuxièmes. Nous chargeons de façon asynchrone après le rendu, rien de ce que le visiteur attend n'est bloqué — mais si chaque kilo-octet compte sur votre page, c'est un vrai argument contre nous.
Nous ne sommes pas gratuits au volume. Turnstile ne coûte rien, quel que soit le volume. Notre offre gratuite s'arrête à 500 requêtes par mois. Si le prix est votre seul critère, ce n'est pas nous.
Nous sommes plus jeunes. reCAPTCHA tourne depuis plus d'une décennie et a vu des schémas d'attaque que nous n'avons pas vus. Ce n'est pas rien, et aucun positionnement n'y change quoi que ce soit.
Ce que vous obtenez pour ces 9 €, c'est un autre marché : aucun script Google ne se charge, aucun cookie n'est posé, le visiteur ne voit par défaut aucune tâche — seulement un petit calcul lorsque le résultat est incertain — et, avec le point de terminaison UE, la vérification s'effectue directement sur nos serveurs en Allemagne, sans CDN. Si cela vaut plus pour vous que la gratuité, nous sommes le meilleur choix. Sinon, prenez Turnstile — c'est une décision défendable, et cet article ne fera pas semblant du contraire.
Conformité ou conversion ? Vous n'avez plus à choisir
La plupart des entreprises y voient une décision juridique. Ce n'en est pas une : c'est une décision de croissance. Le CAPTCHA traditionnel coûte des conversions, ajoute de la friction et dégrade l'expérience mobile, tandis qu'une solution invisible et respectueuse de la vie privée retire cette friction du formulaire — sans pour autant vous dispenser de l'évaluation juridique.
SilentShield mise sur les deux : pas de cookies, pas de suivi intersites, pas de profils ; l'adresse IP sert uniquement à la vérification et n'est pas stockée en clair — et une vérification qui reste invisible par défaut et n'affiche un petit calcul que lorsque le résultat est incertain. Conçu pour le SaaS moderne et les entreprises européennes.
Améliorez votre protection anti-bots — dans le respect de la vie privée
Vous n'avez pas à jouer avec la conformité RGPD, et vous n'avez pas à sacrifier vos conversions.
Découvrez comment SilentShield fonctionne — et remplacez votre CAPTCHA