Votre formulaire de contact reçoit chaque jour des messages publicitaires, des liens douteux, des textes sans queue ni tête. Les vraies demandes se noient au milieu.
Bloquer le spam sans gêner les vrais visiteurs demande plusieurs barrières légères plutôt qu’une seule lourde. Voici celles que nous posons, avec l’exemple de notre propre site.
Pourquoi un captcha ne suffit plus
Les anciens captchas, où il faut recopier des lettres ou cliquer sur des feux rouges, agacent les visiteurs et ne bloquent plus les robots les mieux équipés.
Une partie du spam est aussi envoyée à la main, par des personnes payées pour ça. Aucun captcha ne les arrête. Il faut d’autres règles.
Les barrières que nous posons
- Une vérification invisible, comme Cloudflare Turnstile : elle juge le navigateur sans rien demander au visiteur, et n’affiche une case à cocher qu’en cas de doute.
- Un champ piège, caché aux humains, que seuls les robots remplissent.
- Une limite d’envois par adresse, par exemple cinq par heure.
- Un filtre de liens : un vrai prospect met rarement plusieurs liens dans son premier message, et jamais dans son nom.
- Une vérification côté serveur de tout cela : une barrière seulement dans la page se contourne facilement.
Un exemple précis : notre propre formulaire
Dès la mise en ligne de notre nouveau site, le spam est arrivé. Nous avons ajouté Turnstile en mode invisible, une limite de cinq envois par heure et par adresse, et un refus des messages qui contiennent plus d’un lien.
Les vrais visiteurs ne voient rien de différent. Le script de vérification ne se charge même que lorsqu’ils commencent à remplir le formulaire, pour ne pas ralentir les pages.
Ne pas perdre de vraies demandes
Une barrière trop stricte est pire que le spam : un prospect refusé ne revient pas. Chaque refus affiche donc un message clair, qui dit quoi corriger, et propose d’écrire directement par e-mail.
Et si les demandes n’arrivent pas du tout
Quand ce ne sont pas les robots le problème, mais des e-mails qui se perdent, voyez la page e-mails du site qui arrivent en spam.
Pour notre travail sur WordPress, voyez notre page agence WordPress.