Keycloak reCAPTCHA Alternative pour les équipes européennes (2026)

Keycloak est livré avec reCAPTCHA intégré dans son flux d'enregistrement. Pour les organisations européennes, cette option par défaut crée des cookies, des transferts de données vers les États-Unis et un fardeau de documentation sur la vie privée pour les trois flux les plus importants : la connexion, l'enregistrement et la réinitialisation du mot de passe. Ce guide explique comment remplacer reCAPTCHA dans Keycloak par une alternative sans cookies, hébergée dans l'UE, et présente la configuration exacte pour chaque flux d'authentification.

Temps de lecture estimé : 14 minutes

---

En bref

---

---

Pourquoi reCAPTCHA crée-t-il des problèmes spécifiques dans Keycloak ?

La plupart des discussions sur les reCAPTCHA portent sur les formulaires de contact. La situation de Keycloak est tout à fait différente. Il s'agit d'un système de gestion des identités et des accès : la couche qui contrôle qui peut se connecter, créer un compte ou récupérer un mot de passe dans vos applications. Cela signifie que reCAPTCHA s'applique ici aux flux d'authentification, et non aux pages de marketing.

Pour les organisations européennes qui utilisent Keycloak en production, cela pose trois problèmes plus graves que pour un formulaire de site web classique.

Les déploiements de Keycloak dans les entreprises et le secteur public font l'objet des évaluations les plus strictes. Les DPO, les comités d'achat et les architectes de la sécurité posent des questions plus difficiles sur les scripts tiers dans les pages d'authentification que dans n'importe quelle autre partie d'un site web. Un CAPTCHA qui n'introduit pas de cookies, pas de routage de données américaines et un profil d'examen par des tiers beaucoup plus simple est structurellement plus facile à défendre et plus rapide à approuver.

Le cookie _grecaptcha fonctionne sur les pages d'authentification. Google a confirmé que ce cookie persiste après le changement de modèle de processeur d'avril 2026. Sur une page de connexion que les employés ou les clients doivent remplir avant de pouvoir accéder à un service, ils ne peuvent pas vraiment refuser un cookie qui protège le flux même qu'ils doivent utiliser. Ce problème est plus difficile à résoudre que le même cookie sur un formulaire de contact.

La vérification passe par l'infrastructure de Google. Pour les organisations des secteurs réglementés tels que la santé, la finance ou le secteur public, le traitement des données personnelles via l'infrastructure américaine nécessite une documentation de transfert active en vertu du RGDP. Pour un système d'authentification qui gère les informations d'identification, cela ajoute des frais généraux de gouvernance que les équipes chargées de la sécurité et de la conformité préfèreraient éviter complètement.

---

Comparaison des alternatives CAPTCHA de Keycloak

Plusieurs fournisseurs de CAPTCHA proposent des plugins Keycloak, mais le marché est beaucoup plus restreint que pour WordPress ou TYPO3. La plupart des extensions communautaires ne fonctionnent pas lors des mises à jour majeures de Keycloak et ne bénéficient que d'une maintenance limitée. L'écosystème CAPTCHA de Keycloak est beaucoup plus petit que celui de WordPress ou TYPO3. En pratique, la plupart des équipes qui évaluent une couche CAPTCHA moderne pour Keycloak se tournent vers CAPTCHA.eu, Friendly Captcha, l'ancien reCAPTCHA et un petit nombre d'options gérées par la communauté telles que les intégrations ALTCHA ou hCaptcha.

SOLUTION	COOKIES	LOCALISATION DES DONNÉES	FLUX COUVERTS	TYPE DE PLUGIN	EXIGENCE DE VERSION
CAPTCHA.eu	Non	Autriche (UE)	Connexion, enregistrement, réinitialisation du mot de passe	JAR officiel	Keycloak 22.0.3+ (en anglais)
Captcha convivial	Non	Point de terminaison dédié uniquement à l'UE dans le cadre du plan avancé. Les niveaux inférieurs peuvent utiliser une infrastructure mondiale.	Connexion, enregistrement, réinitialisation du mot de passe	Plugin officiel	Keycloak 26.1.0+ et Java 17+ requis
hCaptcha	Oui	Basé aux États-Unis	Inscription uniquement	JAR communautaire	Entretien limité
ALTCHA	Non	Votre propre infrastructure	Inscription uniquement	JAR communautaire	Backend auto-hébergé requis
reCAPTCHA v2	Oui (_grecaptcha)	Basé aux États-Unis	Enregistrement (uniquement intégré)	Intégré	La connexion et la réinitialisation nécessitent des extensions personnalisées

---

Les trois flux à protéger

Keycloak organise l'authentification en flux configurables, qui sont des séquences indépendantes que vous modifiez séparément dans la console d'administration. Comprendre ce que fait chaque flux vous aide à décider lesquels protéger en premier et pourquoi.

Le flux du navigateur (connexion) est la page de connexion standard que les utilisateurs voient lorsqu'ils accèdent à une application protégée par Keycloak. Elle représente le volume de trafic le plus élevé et constitue la cible principale des attaques par bourrage d'identifiants et par force brute : des tentatives automatisées d'accès à des comptes à l'aide d'identifiants volés ou devinés à grande échelle.

Le flux d'inscription couvre la création de comptes. Sans protection CAPTCHA, les robots créent de faux comptes en masse, ce qui dégrade la qualité du service, fausse les analyses des utilisateurs et permet d'abuser des périodes d'essai, des programmes de parrainage ou des niveaux de gratuité.

Le réinitialiser le flux d'informations d'identification gère la récupération des mots de passe. Les attaquants le ciblent pour déclencher des courriels de récupération à grande échelle, surcharger l'infrastructure de messagerie, dénombrer les noms d'utilisateur existant dans le système ou rechercher des opportunités de prise de contrôle de comptes. C'est le moins discuté des trois et souvent le dernier que les équipes pensent à protéger. Le fait de le laisser ouvert tout en protégeant les deux autres crée une faille.

Une limitation importante à connaître d'emblée : Le reCAPTCHA intégré de Keycloak ne protège que le flux d'enregistrement de manière native. Pour protéger la connexion et la réinitialisation du mot de passe avec reCAPTCHA, vous avez besoin d'extensions personnalisées. CAPTCHA.eu couvre les trois avec le même JAR et suit le même modèle de configuration pour chacun, ce qui est l'une des raisons pour lesquelles les équipes trouvent la migration simple.

---

Quelle version de Keycloak utilisez-vous ?

Avant d'installer quoi que ce soit, vérifiez la version de votre Keycloak. Elle influe sur les alternatives qui s'offrent à vous.

Si vous utilisez Keycloak 26.1.0 ou une version ultérieure avec Java 17 ou une version ultérieure, CAPTCHA.eu et Friendly Captcha sont tous deux disponibles. Tous deux proposent des plugins officiellement maintenus couvrant les trois flux. CAPTCHA.eu prend également en charge Keycloak 22.0.3 et les versions ultérieures, ce qui en fait un outil adapté aux équipes utilisant des installations plus anciennes.

Si vous utilisez une ancienne version de Keycloak (Keycloak 24.x, 25.x, ou toute version inférieure à 26.1.0), le plugin Keycloak de Friendly Captcha n'est pas compatible. Leur plugin requiert explicitement Keycloak 26.1.0+ et Java 17+. CAPTCHA.eu supporte une gamme de versions plus large.

Si vous utilisez Red Hat Build of Keycloak (RHBK) ou l'ancien produit Red Hat SSO, la correspondance des versions diffère de celle de Keycloak en amont. RHBK 24 correspond à peu près à Keycloak 24 en amont. Vérifiez la compatibilité documentée du plugin avant de le mettre en production.

---

Installation : ajout du plugin CAPTCHA.eu à Keycloak

L'installation est une étape unique qui s'applique aux trois flux. Une fois le JAR en place, vous configurez chaque flux séparément dans la console d'administration.

---

Configurer le flux de connexion du navigateur

Si vous préférez ne pas modifier votre thème manuellement, utilisez le thème préconstruit inclus dans la source de l'extension CAPTCHA.eu à l'adresse /theme/captcha.

---

Configurer le flux d'enregistrement

---

Configurer le flux de réinitialisation du mot de passe

---

Notes de déploiement : Docker, Kubernetes et Red Hat SSO

La façon dont vous installez le JAR dépend de la façon dont vous exécutez Keycloak. Les étapes de configuration de la console d'administration sont identiques dans tous les cas. Seul l'emplacement du fichier diffère.

Installation standard (bare-metal ou VM) : Copiez keycloak-captcha.jar directement dans le répertoire providers/ de votre installation Keycloak et redémarrez. Keycloak récupère automatiquement le nouveau fournisseur au démarrage.

Docker : Ajoutez le JAR au moment de la construction en utilisant une instruction COPY dans votre fichier Docker, ou montez-le au moment de l'exécution via un volume. Le répertoire providers à l'intérieur du conteneur est typiquement /opt/keycloak/providers/. Un fichier Docker minimal ressemble à ceci :

FROM quay.io/keycloak/keycloak:latest
COPY keycloak-captcha.jar /opt/keycloak/providers/
RUN /opt/keycloak/bin/kc.sh build

Kubernetes : Montez le JAR à l'aide d'un initContainer qui le copie dans un volume partagé, ou utilisez un ConfigMap si votre cluster prend en charge les données binaires. L'approche de production la plus fiable consiste à construire une image Keycloak personnalisée avec le JAR intégré, puis à y faire référence dans votre manifeste de déploiement. Cela permet d'éviter la complexité du montage de volume et de garder votre déploiement reproductible.

Red Hat Build of Keycloak (RHBK) et Red Hat SSO : RHBK suit la même approche de répertoire de fournisseurs que Keycloak en amont, mais les numéros de version diffèrent. RHBK 24 correspond approximativement à Keycloak 24 en amont. Si vous utilisez Red Hat SSO 7.x, l'ancien produit basé sur une version différente de Keycloak, vérifiez soigneusement la compatibilité des plugins avant de les déployer en production. La page du plugin CAPTCHA.eu documente la compatibilité actuelle ; en cas de doute, testez d'abord sur une zone d'essai.

---

Comment vérifier que la migration a fonctionné ?

Une fois les trois flux configurés, une rapide vérification permet de confirmer que tout fonctionne avant de considérer la migration comme terminée.

Dans le cadre de la Tableau de bord CAPTCHA.eu, Ouvrez votre domaine et vérifiez le journal de vérification. Après avoir soumis chaque flux protégé (connexion, enregistrement, réinitialisation du mot de passe), vous devriez voir les événements de vérification correspondants apparaître dans le journal en quelques secondes. Si un flux n'apparaît pas dans le journal, l'étape CAPTCHA.eu n'est pas active pour ce flux. Retournez dans la console d'administration et vérifiez que le flux est correctement lié.

Sur le site frontend, Pour chaque flux, soumettez une entrée de test à la fois sur ordinateur et sur mobile. La vérification devrait se dérouler silencieusement en arrière-plan, sans qu'aucun défi ne soit visible. Si vous voyez une erreur ou si le formulaire refuse de se soumettre, vérifiez que la clé publique dans les paramètres du plugin correspond à celle de votre tableau de bord CAPTCHA.eu, et que votre snippet FTL fait référence à l'ID de l'élément de formulaire correct pour chaque flux.

Pour Déploiements Kubernetes, Pour vérifier que le JAR est correctement chargé après le redémarrage d'un pod, il suffit de consulter les journaux de démarrage de Keycloak pour y trouver la confirmation de l'enregistrement du fournisseur. Si le fournisseur n'apparaît pas dans les journaux, le JAR n'est pas récupéré. Revérifiez le montage du volume ou la construction de l'image.

---

Liste de contrôle RGDP après le changement de fournisseur

La migration technique couvre la couche CAPTCHA. Ces étapes complètent l'image de conformité.

Mettez à jour votre avis de confidentialité. Supprimez l'entrée reCAPTCHA et remplacez-la par une courte entrée CAPTCHA.eu qui désigne l'Autriche comme lieu de traitement et la protection des robots sur les flux d'authentification comme objectif.

Examinez la configuration de votre gestion du consentement. Si votre déploiement Keycloak comprenait une divulgation de cookies pour reCAPTCHA, supprimez ou révisez cette entrée. Pour CAPTCHA.eu, aucun mécanisme de consentement basé sur les cookies n'est nécessaire pour la couche CAPTCHA elle-même. Les cookies de session et les jetons OIDC sont distincts et ne sont pas affectés.

Mettez à jour vos dossiers de traitement. Remplacez Google en tant que sous-traitant lié au CAPTCHA dans vos enregistrements au titre de l'article 30. Une DPA standard est disponible auprès de CAPTCHA.eu à cette fin.

Confirmez avec vos équipes de sécurité et de DPD. Pour les déploiements dans les entreprises et les secteurs réglementés, confirmez les modifications du flux d'authentification avec votre architecte de sécurité et votre DPO avant la mise en service. Il s'agit d'une pratique courante pour tout changement de système d'authentification.

---

Questions fréquemment posées

---

Lecture associée

---