PEBKAC #7518

Un site Internet, semble-t-il assez important, a implémenté un système de "captcha". Rien d'inhabituel, me direz-vous. Le problème : leur méthode consiste à générer un texte en HTML (en clair) et y ajouter une image en arrière-plan. PEBKAC.

PEBKAC #7518 proposé par TD le 09/04/2013 | 15 commentaires | 👍🏽 👎🏽 +283

T'as rien compris, c'est pas un CAPTCHA mais un CAPTMHA (Completely Automated Public Turing test to tell Myopes and Humans Apart) !
Surement pour un site de recrutement pour l'armée de l'air.

Commentaire #88014 écrit par Coproglotte le 09/04/2013 à 17h59 | 👍🏽 👎🏽

Ça peut décourager un script kiddie peu avisé, mais c'vrai que c'pas terrible o/

Commentaire #88015 écrit par Kom.ic le 09/04/2013 à 17h59 | 👍🏽 👎🏽

Je pense qu'il s'agirait d'une entreprise qui aide ses clients à trouver de meilleures solutions financières : http://svedic.org/wp-content/uploads/2013/03/CaptureDNBCaptcha.png

Commentaire #88020 écrit par TD le 09/04/2013 à 18h07 | 👍🏽 👎🏽

Le "Case sensitive" me fait rire aussi.

Commentaire #88023 écrit par Sparamoule le 09/04/2013 à 18h18 | 👍🏽 👎🏽

Mais vous n'avez rien compris!
C'est pour que les systèmes de lectures pour mal-voyants fonctionnent.
Il faut bien que l'ordi puisse lire le CAPTCHA pour le synthétiser vocalement ou l'écrire en braille.

Je -> [].

Commentaire #88034 écrit par Shirluban le 09/04/2013 à 18h36 | 👍🏽 👎🏽

Exact, il faut penser à nos frères et soeurs handicapés tout de même.

Commentaire #88049 écrit par W3C le 09/04/2013 à 20h26 | 👍🏽 👎🏽

...Pourquoi c'est le W3C qui a posté ce message ?

Commentaire #88053 écrit par ROB le 09/04/2013 à 21h01 | 👍🏽 👎🏽

Normalement c'est plutôt Christine A. qui sort ce genre de truc non ?

Commentaire #88060 écrit par Yukotso le 09/04/2013 à 21h44 | 👍🏽 👎🏽

Parce que le W3C déconseille l'usage des captchas parce que c'est très difficile à utiliser pour les mal- voyants.

Commentaire #88063 écrit par aaaa le 09/04/2013 à 22h01 | 👍🏽 👎🏽

C'est parce-que les bots sont habitués à lire une image, voyons! "Think outside the box"

Commentaire #88065 écrit par f le 09/04/2013 à 22h36 | 👍🏽 👎🏽

Cher w3c, la norme WCAG 2.0 prévoit dans sa règle 1.1.1 l'utilisation de CAPTCHA (voir http://www.w3.org/Translations/WCAG20-fr/#text-equiv-all )

Commentaire #88229 écrit par ygnobl le 10/04/2013 à 14h40 | 👍🏽 👎🏽

En alternative aux captchas, quelqu'un a tenté le système Ploum ( http://ploum.net/post/150-the-invisible-captcha-mechanism-icm-against-[...] ) ?

Je me pose la question de l'implémenter sur un de mes projets personnels.

Commentaire #88268 écrit par Geist le 10/04/2013 à 18h26 | 👍🏽 👎🏽

En même temps, sur des petits sites pas trop sensibles, la moindre précaution, même triviale, suffit à bloquer 99 % des spammeurs. Voir par exemple :

http://www.codinghorror.com/blog/2006/10/captcha-effectiveness.html

Où il dit, entre autres, qu'il a un captcha, qui est... toujours le même mot ! Et que ça suffit à bloquer presque tous les spams. Dans la discussion qui suit, quelqu'un raconte aussi que "I ended up adding a single extra required field and that blocks out 99.99% of the spam. [...] It's just a field in the form that says "please type 1234 here"."

C'est un peu la même histoire que pour donner son adresse mail (dans une discussion publique, sur sa page perso à l'époque où ça existait ;-) ) sans que les spammeurs puisse la récupérer : y'a des systèmes très compliqués, ou des adresses jetables, ou je-ne-sais quoi. Et il y a des trucs tout cons genre "at" au lieu de @, qui suffisent en pratique à bloquer 99% (voir plus). Parce que le modèle des spammeurs fonctionne sur le fait que leurs coûts sont quasi-nuls. Augmenter leur coût de epsilon, et ils vont voir ailleurs, une adresse ou un commentaire ne leur rapporte pas assez pour justifier l'effort.

Bon, là, par contre, si ils pensent sérieusement avoir implémenté un système solide, y'a pas photo... y'a PEBKAC !

Commentaire #88281 écrit par Mufman le 10/04/2013 à 20h01 | 👍🏽 👎🏽

J'ai quelques sites protégés par CAPTCHA, mais les spammeurs ont une arme redoutable pour passer les sécurités : Les p'tits n'étrangers pas chers qui créent des comptes à la chaine pour que les spammeurs puissent faire leur pub sur ces comptes bidons avant qu'ils ne soient fermés.

J'ai cherché à m'en protéger, mais c'est juste trop difficile. Ils utilisent des proxy, des noms de comptes presque crédibles, et créent des comptes par vagues sur plusieurs jours. :(

Commentaire #88440 écrit par OzoneGrif le 11/04/2013 à 19h01 | 👍🏽 👎🏽

Peut-être une nouvelle forme de captcha pour contrer les bots : Si vous êtes un humain Ne répondez pas à ce CAPTCHA.

Commentaire #94838 écrit par ygnobl le 30/05/2013 à 07h28 | 👍🏽 👎🏽