ALTCHA vs CAPTCHA.eu : Open Source ou CAPTCHA géré ?

ALTCHA et CAPTCHA.eu résolvent le même problème : la protection contre les robots sans cookies ni surcharge de confidentialité de reCAPTCHA, mais ils le font de manière fondamentalement différente. ALTCHA est open-source et auto-hébergé. CAPTCHA.eu est un service géré et hébergé par l'UE. Le bon choix dépend de la quantité d'infrastructure que votre équipe souhaite posséder et de ce que votre situation de conformité exige réellement.

Temps de lecture estimé : 12 minutes

---

---

Ce que sont les deux solutions

ALTCHA et CAPTCHA.eu utilisent tous deux la vérification par preuve de travail pour protéger les sites web contre les robots. Ni l'un ni l'autre ne crée de cookies pour la fonction CAPTCHA, ni ne montre aux utilisateurs des puzzles en images, et tous deux se positionnent comme des alternatives à reCAPTCHA respectueuses de la vie privée. L'approche sous-jacente est similaire. Le modèle de distribution ne l'est pas.

ALTCHA est un projet open-source sous licence MIT. Le widget de base est gratuit. Pour une protection de niveau production, les équipes déploient ALTCHA Sentinel : un backend auto-hébergé qui ajoute des CAPTCHA adaptatifs, une intelligence des menaces, une classification par apprentissage automatique et une limitation du taux. Sentinel s'exécute sur votre propre infrastructure Docker ou Kubernetes. Vous êtes propriétaire du déploiement, des données et du temps de disponibilité.

CAPTCHA.eu est un service SaaS géré. Vous intégrez un widget JavaScript et CAPTCHA.eu se charge de la vérification, de l'infrastructure, de la veille sur les menaces et de la disponibilité à partir de centres de données situés en Autriche. Pas de serveur à déployer, pas de backend à maintenir, pas de travail d'exploitation au-delà de l'intégration initiale.

---

Comparaison côte à côte

DOSSIER	ALTCHA (auto-hébergé)	CAPTCHA.EU (géré)
Approche de la vérification	Preuve de travail (core) ; PoW adaptatif + classification ML (Sentinel). Widget v3 utilise les algorithmes Argon2 et Scrypt liés à la mémoire qui neutralisent l'accélération GPU/ASIC par les fermes de robots.	Preuve de travail + analyse du signal contextuel par demande
Modèle d'hébergement	Auto-hébergé sur votre infrastructure (Docker, Kubernetes, AWS, Azure).	Entièrement géré, hébergé en Autriche (UE)
Localisation des données	Quel que soit l'endroit où vous vous déployez : vous le contrôlez	Autriche sur tous les plans commerciaux, par défaut
Cookies	Aucun dans le mode par défaut. Une configuration optionnelle des cookies existe dans l'API du widget mais n'est pas activée par défaut	Aucune pour la fonction CAPTCHA
Source ouverte	Oui : widget et noyau sous licence MIT	Non : SaaS à source fermée
Complexité de la mise en place	Déploiement de Docker ou de Kubernetes requis pour Sentinel.	Extrait JavaScript + clé API, aucun serveur n'est nécessaire
Maintenance	Vous gérez les mises à jour, les correctifs de sécurité et le temps de fonctionnement.	Entièrement géré, pas de maintenance de votre côté
Plugin WordPress	Plugin officiel (V2, version 2026)	Plugin officiel
Plugin TYPO3	Non disponible	Plugin officiel (EXT:form + PowerMail)
Plugin Keycloak	JAR communautaire (flux d'enregistrement uniquement)	JAR officiel (connexion, enregistrement et réinitialisation du mot de passe)
WCAG 2.2 AA	Autodéclaration de conformité	Certifié de manière indépendante par le TÜV Autriche
RGPD DPA	Sans objet (vous l'hébergez)	DPA standard disponible
Modèle de tarification	Base gratuite ; Sentinel Professional 99 €/mois, Enterprise 799 €/mois (avril 2026, hors infrastructure). Essai gratuit de 30 jours disponible	Basé sur l'utilisation ; niveau gratuit disponible, plans payants à partir de captcha.eu/pricing
Clients de référence	Agences et entreprises publiques (non nommées publiquement)	ÖBB, OeNB, DGUV, A1, MG (nommés publiquement)

---

Hébergement et localisation des données

Il s'agit de la différence la plus importante pour les équipes européennes, et elle s'applique dans les deux sens en fonction de votre situation.

Avec ALTCHA, vous contrôlez entièrement l'emplacement des données de vérification. Si votre organisation a des exigences strictes en matière de résidence des données (par exemple, une agence gouvernementale qui ne peut traiter aucune donnée sur une infrastructure tierce), le modèle auto-hébergé d'ALTCHA est structurellement la bonne réponse. Aucun tiers ne reçoit de données de demande parce qu'il n'y a pas de tiers.

Avec CAPTCHA.eu, les demandes de vérification sont traitées en Autriche pour tous les plans commerciaux. L'Autriche est un État membre de l'UE, le RGPD s'applique donc, il n'y a pas de transferts de données vers les États-Unis et le lieu de traitement est fixe et documentable. Pour la plupart des exploitants de sites web européens, il s'agit de la voie la plus simple : vous orientez votre DPD vers un centre de données autrichien connu plutôt que vers votre propre déploiement.

---

Modèle de sécurité et réponse aux menaces

Les deux solutions utilisent la preuve de travail au niveau de la couche de base, ce qui signifie qu'aucune ne repose sur les cookies, le profilage comportemental intersite ou l'empreinte digitale de l'utilisateur. C'est le point de départ commun. Là où les deux solutions divergent, c'est dans la manière dont les renseignements sur les menaces sont mis à jour lorsque les habitudes des bots changent.

ALTCHA Sentinel comprend des renseignements sur les menaces : bases de données de réputation IP, classification ML et analyse des signatures d'interaction humaine. Cependant, pour maintenir ces défenses à jour, vous devez mettre à jour Sentinel sur votre propre infrastructure. Lorsque ALTCHA publie une nouvelle version avec une détection améliorée des robots, vous la déployez. Lorsqu'un nouveau modèle de menace émerge, le temps de réponse dépend de la cadence de correction de votre équipe.

CAPTCHA.eu met à jour les renseignements sur les menaces et l'analyse des signaux de manière centralisée. Tous les sites protégés bénéficient des améliorations simultanément, sans qu'aucune action ne soit requise de la part des clients individuels. Il s'agit du compromis classique entre la gestion et l'auto-hébergement en matière de sécurité : l'auto-hébergement vous donne le contrôle ; la gestion vous donne la rapidité de réaction.

Une véritable force technique de l'ALTCHA mérite d'être soulignée : Widget v3, publié en avril 2026, rend les attaques automatisées plus coûteuses en obligeant les attaquants à dépenser plus de mémoire et de puissance de calcul par tentative de vérification. Techniquement, cela fonctionne grâce à des algorithmes liés à la mémoire appelés Argon2 et Scrypt, qui neutralisent l'accélération matérielle GPU et ASIC, les outils que les fermes de robots utilisent pour traiter les défis à moindre coût et à grande échelle. Il s'agit d'un choix de conception réfléchi qui va au-delà de la simple preuve de travail. CAPTCHA.eu utilise une approche différente (analyse du signal contextuel par requête plutôt que renforcement informatique côté client), mais l'architecture d'ALTCHA v3 est une véritable avancée que toute personne évaluant sérieusement les deux devrait comprendre.

Pour la plupart des exploitants de sites web, les modèles de bots évoluent plus rapidement que les cycles de correctifs internes. Pour les équipes axées sur la sécurité et dotées de capacités DevOps dédiées, le contrôle qu'offre l'auto-hébergement peut l'emporter sur la commodité des mises à jour gérées.

---

Frais d'installation, de maintenance et d'exploitation

C'est là que la différence pratique devient la plus visible pour les petites équipes.

Le widget ALTCHA open-source est vraiment facile à intégrer : un extrait de JavaScript, un appel de vérification backend, et le tour est joué. Le défi commence avec Sentinel. La protection ALTCHA de niveau production nécessite le déploiement et l'exploitation d'un conteneur Docker ou Kubernetes, la configuration de PostgreSQL ou Redis pour la persistance et le clustering, la gestion de TLS, la mise en place d'une surveillance et la gestion des mises à jour lorsque de nouvelles versions sont livrées. Pour une équipe disposant d'une infrastructure DevOps existante, cela est gérable. Pour une équipe de développement composée de deux personnes ou une équipe web du secteur public sans service d'exploitation dédié, il s'agit d'un véritable engagement permanent.

CAPTCHA.eu ne nécessite aucun déploiement de serveur. Vous ajoutez un extrait de JavaScript, configurez vos clés API, et l'intégration est terminée. Les administrateurs WordPress et TYPO3 peuvent installer un plugin officiel sans écrire de code. Les mises à jour, la mise à l'échelle de l'infrastructure et le temps de fonctionnement sont gérés par CAPTCHA.eu.

---

RGPD et documentation de conformité

Les deux solutions sont conçues pour la conformité au RGPD, mais le processus de documentation de la conformité est différent pour chacune d'entre elles.

Avec ALTCHA, parce que vous vous hébergez vous-même, il n'y a pas de relation de traitement des données à documenter. ALTCHA ne traite aucune donnée en votre nom. Cela simplifie vos enregistrements au titre de l'article 30 : le composant CAPTCHA est une infrastructure interne, et non un sous-traitant tiers. Pour les DPD qui préfèrent des relations minimales avec les tiers, il s'agit d'un véritable avantage.

Avec CAPTCHA.eu, vous concluez un accord sur le traitement des données (DPA) qui désigne l'Autriche comme lieu de traitement et la protection des robots comme objectif. Cela ajoute une ligne à votre liste de sous-traitants, mais cela donne à votre DPD une relation documentée et vérifiable avec le sous-traitant plutôt qu'un système interne auto-hébergé qu'il doit auditer lui-même.

En ce qui concerne l'accessibilité, les deux solutions sont conformes à la norme WCAG 2.2 AA. CAPTCHA.eu a fait certifier cette conformité de manière indépendante par le TÜV Autriche. ALTCHA déclare lui-même sa conformité. Pour les marchés publics dans le secteur public, les soins de santé ou les contextes financiers réglementés, la différence entre une certification indépendante et une auto-déclaration est importante. De nombreux cadres de passation de marchés exigent spécifiquement une certification par une tierce partie plutôt qu'une auto-déclaration.

---

Intégration des plates-formes

La disponibilité de l'intégration est l'une des différences pratiques les plus évidentes entre les deux solutions, en particulier pour les utilisateurs de TYPO3 et de Keycloak.

WordPress : Tous deux disposent de plugins officiels. ALTCHA a lancé WordPress V2 en 2026. CAPTCHA.eu a un plugin WordPress officiel depuis le début de l'histoire de la plateforme. Les deux fonctionnent.

TYPO3 : CAPTCHA.eu a des extensions officielles pour EXT:form et PowerMail. ALTCHA n'a pas d'extension TYPO3. Pour les sites TYPO3 (courants dans le secteur public et les entreprises de DACH), CAPTCHA.eu est la seule option des deux.

Keycloak : CAPTCHA.eu dispose d'un JAR officiel qui couvre les trois flux d'authentification : connexion, enregistrement et réinitialisation du mot de passe, et qui supporte Keycloak 22.0.3 et les versions ultérieures. ALTCHA dispose d'un JAR maintenu par la communauté qui couvre uniquement l'enregistrement et nécessite un backend Sentinel auto-hébergé. Pour les équipes IAM qui utilisent Keycloak en production, la couverture plus large du flux de CAPTCHA.eu et les exigences moins élevées en matière de version constituent une différence significative. Voir notre Guide d'intégration de Keycloak pour plus de détails sur l'installation.

Autres plateformes : CAPTCHA.eu fournit des intégrations officielles pour une série de plateformes supplémentaires, y compris Shopware, Symfony, et d'autres. L'écosystème d'intégration d'ALTCHA est principalement dirigé par la communauté en dehors de WordPress.

---

Comparaison des coûts

La comparaison des coûts entre une solution auto-hébergée et une solution gérée est plus complexe qu'il n'y paraît à première vue, car les coûts d'infrastructure et de DevOps de l'auto-hébergement sont réels même lorsque la licence est gratuite.

Le widget ALTCHA open-source est gratuit. ALTCHA Sentinel, qui fournit une protection adaptative de niveau production, nécessite une licence payante. Le prix de Sentinel commence à 99 €/mois pour le plan professionnel et à 799 €/mois pour le plan entreprise (facturation mensuelle, à partir d'avril 2026 ; consultez altcha.org/docs/v2/sentinel/pricing/ pour les tarifs actuels). Un essai gratuit de 30 jours est disponible. Les coûts d'infrastructure ne sont pas inclus dans le prix de la licence.

Vous payez séparément l'infrastructure sur laquelle Sentinel s'exécute : un serveur ou un conteneur d'exécution, un stockage persistant et toute redondance que vous configurez. Pour les déploiements à haute disponibilité, cela signifie généralement la mise en cluster avec PostgreSQL, ce qui ajoute à la complexité et au coût de l'infrastructure. Pour une équipe qui utilise déjà Kubernetes, le coût marginal de l'infrastructure est faible. Pour une équipe qui doit provisionner une nouvelle infrastructure pour Sentinel spécifiquement, la comparaison des coûts change.

La tarification de CAPTCHA.eu est basée sur l'utilisation, avec un niveau gratuit disponible et des plans payants qui s'échelonnent en fonction du volume de demandes vérifiées. L'infrastructure est incluse dans le prix. Il n'y a pas de coûts d'hébergement séparés, pas de temps d'exploitation nécessaire, et pas de frais de gestion de version.

---

Lequel choisir ?

---

---

Questions fréquemment posées

---

Lecture associée

---