Discussion :

[Neckara]

Bonjour,

@LooserBoy : On voit mal l'image que tu as mis entre tes balises [EDIT].

Les associations continuent leur combat pour faire ôter ce système du net et recommandent aux développeurs une méthode alternative aux tests visuels de Turing : « si l'utilisateur est déjà inscrit sur le site, il faudrait lui envoyer via courriel un lien d'activation. » Précisons que cette méthode n'est identifiée nul part dans le document du W3C.

Ridicule. Il me suffit d'installer un serveur de mail postfix, de me faire un petit script :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
#parser pour récupérer une URL

wget -i file $url
rm file

Et de créer un alias.
N'importe qui est capable de le faire, c'est encore plus simple que de passer par des captcha...

[sbeex]

Je crois tout simplement que cette association vit dans le monde des bisounours et qu'elle oublie totalement à quoi servent les captchas.

Certes, une personne mal voyante (même une voyante) peut éprouver des difficultés mais ça reste une parade viable face à des robots.

De plus, les captchas sont souvent fournis avec une lecture audio donc plus aucune excuse pour un aveugle...

[sevyc64]

Certes, une personne mal voyante (même une voyante) peut éprouver des difficultés mais ça reste une parade viable face à des robots.

Non!!!
Les robots sont capable de les déchiffrés, souvent bien plus facilement que l'humain. Et pour les rendre résistant aux robot, ils deviennent illisible à l'humain, même avec une bonne vue.

De plus, les captchas sont souvent fournis avec une lecture audio donc plus aucune excuse pour un aveugle...

Tu as déjà essayer la lecture audio ?

La quasi totalité sont en anglais avec un accent déplorable. Ce ne sont pas des mots mais des phonèmes qui sont énoncés. Il n'est pas rare que ou le début, ou la fin soit coupé. Bref la partie audio est rarement une aide... sauf pour les algos de reconnaissance vocale des robots.

[imikado]

Bonjour,

@LooserBoy : On voit mal l'image que tu as mis entre tes balises [EDIT].


Ridicule. Il me suffit d'installer un serveur de mail postfix, de me faire un petit script :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
#parser pour récupérer une URL

wget -i file $url
rm file

Et de créer un alias.
N'importe qui est capable de le faire, c'est encore plus simple que de passer par des captcha...

Dans ce cas la il faut mettre plusieurs lien, un validant le post, l'autre annulant la saisie, le robots cliquera sur les deux

Mais effectivement, comme évoqué précédemment, je préconise soit les questions simple:
Le lapin aime les carottes, les oignons, les chips
Ou des questions de mathématique ou de géométrie simple: combien de coté pour une rectangle, un triangle...

[imikado]

Non!!!
Les robots sont capable de les déchiffrés, souvent bien plus facilement que l'humain. Et pour les rendre résistant aux robot, ils deviennent illisible à l'humain, même avec une bonne vue.

Tu as déjà essayer la lecture audio ?

La quasi totalité sont en anglais avec un accent déplorable. Ce ne sont pas des mots mais des phonèmes qui sont énoncés. Il n'est pas rare que ou le début, ou la fin soit coupé. Bref la partie audio est rarement une aide... sauf pour les algos de reconnaissance vocale des robots.

Comme indiqué par un utilisateur, certains plugin dans les navigateurs permettent de les déchiffrer mieux que nous-même

[sbeex]

Non!!!
Les robots sont capable de les déchiffrés, souvent bien plus facilement que l'humain. Et pour les rendre résistant aux robot, ils deviennent illisible à l'humain, même avec une bonne vue.

Les plus gros sites du monde utilisent les captchas faut croire que ça à quand même une raison d'être. Après si vous êtes plus malin qu'eux...

Je le met sur le site de tous mes clients y compris les miens et cela a considérablement réduit le nombre de spams. Après c'est clair que si quelqu'un veut vraiment spammer un site particulier il peut chercher à contourner spécifiquement le captcha. Je ne dis pas que le captcha c'est LA solution contre toute attaque mais cela y contribue grandement.

Le champ caché c'est absolument bidon, ça ne sécurise rien du tout non plus si on veut spam le site suffit de programmer et de dire de ne pas le remplir ...

Le système de l'email ? Super... je vais dire à tous mes inscrits que je supprime la connexion automatique et qu'il recevront un lien d'activation par email à chaque connexion ? Faut arrêter la folie la ... surtout que comme déjà expliqué c'est très facilement contournable également.

Du coup je serais curieux de voir ce que tu proposes de faire ? Parce que ok c'est pas parfait mais c'est moins pire que de rien faire ...

Tu as déjà essayer la lecture audio ?

La quasi totalité sont en anglais avec un accent déplorable.

1) l'anglais je vois pas le problème c'est une langue enseignée en france aussi non ?

2) En ce qui me concerne je l'ai implémentée et en français ou chaque lettre est prononcée.

Après oui c'est contrable mais à nouveau ca limite les attaques bidons faites avec des outils pré-fabriqués. C'est ca pour moi le vrai but de ce système : empêcher des solutions génériques.

Après il est clair qu'une attaque ciblé sur un site réussira toujours à passer un captcha mais cela requière d'avoir des compétences en informatique ce qui n'est pas toujours le cas des gens qui utilisent des extensions toutes prêtes par exemple.

[Paul TOTH]

..
Le champ caché c'est absolument bidon, ça ne sécurise rien du tout non plus si on veut spam le site suffit de programmer et de dire de ne pas le remplir ...
..
Après oui c'est contrable mais à nouveau ca limite les attaques bidons faites avec des outils pré-fabriqués. C'est ca pour moi le vrai but de ce système : empêcher des solutions génériques.

n'y a-t-il pas contradiction dans ces deux affirmations ?!

je n'ai jamais testé mais à mon avis une case à cocher invisible portant le nom "agree" devrait faire tomber pas mal de robots

[LooserBoy]

@LooserBoy : On voit mal l'image que tu as mis entre tes balises [EDIT].

Flûte! J'ai mis l'url du script de génération du captcha et pas le captcha en lui-même. Sans un compte sur ce jeu, pas d'accès à l'image. Celui-là est moins complexe que celui que j'avais mis hier.

[Neckara]

Dans ce cas la il faut mettre plusieurs lien, un validant le post, l'autre annulant la saisie, le robots cliquera sur les deux

Dans ce cas là, on perd l'intérêt de la vérification par l'e-mail, autant directement proposer plusieurs boutons pour vérifier si c'est un robots ou un humain dans la page d'inscription.

L'envoie d'e-mail pour activer un compte n'a normalement pas pour objectif de lutter contre le spam (même si cela peut dérouter certains robots) mais de vérifier si l'adresse mail existe et appartient bien à la personne qui s'est inscrite.

[imikado]

Dans ce cas là, on perd l'intérêt de la vérification par l'e-mail, autant directement proposer plusieurs boutons pour vérifier si c'est un robots ou un humain dans la page d'inscription.

L'envoie d'e-mail pour activer un compte n'a normalement pas pour objectif de lutter contre le spam (même si cela peut dérouter certains robots) mais de vérifier si l'adresse mail existe et appartient bien à la personne qui s'est inscrite.

Je suis d'accord, mais pour certains cas j'ai reçu un email (validation d'inscription...) et dans le mail écrit en manuscrit on m'indiquait simplement de cliquer ici pour valider le post.

Et plus loin on me faisait remarquer que si j'avais entre temps décidé du contraire ou que cet email ne m'était pas destiné de cliquer pour annuler la demande.

Ce n'est pas un "test" c'est juste un email normal avec une indication humainement compréhensible

[jiber2fr]

Quelqu'un a un retour d'expérience sur la méthode "honeypot" à partager?

Ca marche très bien, mais ça dépend du site en question et de la menace que tu veux éviter. Si tu veux éviter les bots qui parcourent le web pour polluer tous les formulaires qu'ils trouvent, ça fonctionne impecc: personnellement, je cache un champ avec un 'name' qui fait penser que le champ est tout ce qu'il y a de plus normal (du genre 'telephone' ou 'adresse', ou n'importe quelle info dont je n'ai pas réellement besoin). Si le champ est rempli, alors le formulaire est rejeté.

Par contre, ça ne fonctionne pas pour contourner les robots spécifiques à ton site. Par exemple, sur un site pour un jeu-concours, quelqu'un a développé un bot spécifiquement pour ce site (il y avait une espérance de gain à la clé), et a bien entendu contourné le pot de miel. Donc si tu crains que quelqu'un s'intéresse spécifiquement à ton site, je n'ai pas trouvé mieux que le captcha.

[pseudocode]

Le problème avec le Captcha, c'est que ca ne sécurise que l'endroit où on le met.

S'il y en a un seulement au formulaire d'inscription, il peut être contourné une fois par un humain et ensuite le robot a accès au site tant qu'il veut.

S'il y en a un à chaque login, ca devient gênant pour l'utilisateur légitime.

Pour moi, le Captcha ce n'est qu'une première ligne de défense. Elle ne doit pas être trop compliquée, et surtout elle ne doit pas être la seule.

[Tlams]

Gérant plusieurs forums, j'ai eu droit au problèmes de spam/bots.
En fait les vrais bots sont assez faciles à bloquer, le plus dur sont les "bot-humain-russe" ! Là le captcha est totalement inutile...

La seule solution efficace à pratiquement 100% pour les deux, c'est les questions à l'enregistrement. Pas de simples questions car ils les traduisent (Oui, oui!), mais des questions écrites de façon phonétique.
Le seul problème c'est que sa bloque aussi les éventuels internautes "normaux" non-francophones.

Exemple réels:
Kel é la couleur du cask Noir de DarkVador?
le feu és-il chod ou froid?
Complet le nom du présidant francé suivent: François ?????

[imikado]

Le problème avec le Captcha, c'est que ca ne sécurise que l'endroit où on le met.

S'il y en a un seulement au formulaire d'inscription, il peut être contourné une fois par un humain et ensuite le robot a accès au site tant qu'il veut.

S'il y en a un à chaque login, ca devient gênant pour l'utilisateur légitime.

Pour moi, le Captcha ce n'est qu'une première ligne de défense. Elle ne doit pas être trop compliquée, et surtout elle ne doit pas être la seule.

les captcha evites le spam des bots et les eventuels ddos il faut effectivement les mettre sur tout formulaire ajoutant/modifiant des données

[Neckara]

Pour lutter contre le spam de bot, on peut aussi mettre un temps minimum entre chaque post (30 secondes pour DVP par exemple) et interdire le post de message identique.
Cela permet déjà de limiter les effets du spam.

J'avais un petit forum qui n'avait pas reçu de visite depuis quelques mois, il a été floodé d'environ 1 000 messages de spams en 2 jours à peine.
Pouvoir supprimer facilement plusieurs sujets à la suite, pouvoir en supprimer 50 en deux clics est alors très utile

Une autre méthode est de regarder l'adresse mail donnée et de voir si elle a été signalée pour spam sur des sites dédiés à cet effet. cela peut déjà faire un premier tri.

[imikado]

Pour lutter contre le spam de bot, on peut aussi mettre un temps minimum entre chaque post (30 secondes pour DVP par exemple) et interdire le post de message identique.
Cela permet déjà de limiter les effets du spam.

Beaucoup de bots n'envoie pas pleins de posts d'affilé, mais essaie de poster leur message publicitaire sur un maximum de sites

Une autre méthode est de regarder l'adresse mail donnée et de voir si elle a été signalée pour spam sur des sites dédiés à cet effet. cela peut déjà faire un premier tri.

Pour les mails, comme vous l'avez indiqué: un serveur web , des emails auto générés unique et un postmaster pour récupérer le tout

[Neckara]

Beaucoup de bots n'envoie pas pleins de posts d'affilé, mais essaie de poster leur message publicitaire sur un maximum de sites

En effet, mais il suffit d'un seul bot qui poste un message toutes les minutes sur un même forum pour le flooder.
S'il n'y a qu'un bot qui poste un seul message, ce n'est pas si embêtant que ça, il suffit que les modérateurs suppriment le message.

Pour les mails, comme vous l'avez indiqué: un serveur web , des emails auto générés unique et un postmaster pour récupérer le tout

On peut bannir le nom de domaine, ou faire une liste blanche de nom de domaine et valider par administrateur les noms de domaines non-bannis et non présents dans la liste blanche.
Après, l'efficacité de ce système dépendra des systèmes anti-spam des boîtes mails gmail et autres.

[imikado]

En effet, mais il suffit d'un seul bot qui poste un message toutes les minutes sur un même forum pour le flooder.
S'il n'y a qu'un bot qui poste un seul message, ce n'est pas si embêtant que ça, il suffit que les modérateurs suppriment le message.

Effectivement, mais ça demande du temps

On peut bannir le nom de domaine, ou faire une liste blanche de nom de domaine et valider par administrateur les noms de domaines non-bannis et non présents dans la liste blanche.
Après, l'efficacité de ce système dépendra des systèmes anti-spam des boîtes mails gmail et autres.

Idem, mais ça demande du temps pour modérer/nettoyer/filtrer
L'idée des CAPTCHA c'est de limiter ce temps

[Neckara]

Effectivement, mais ça demande du temps

Le temps est négligeable, c'est de la modération de forum.
Le problème ne vient pas vraiment des bots qui ne postent qu'un seul message mais de ceux qui floodent et qui posent donc bien plus de problèmes (même si on peut penser qu'ils sont plus rare).

Idem, mais ça demande du temps pour modérer/nettoyer/filtrer
L'idée des CAPTCHA c'est de limiter ce temps

Cela dépend de la taille du forum mais une fois qu'on a mis gmail, hotmail, yahoo, laposte, etc. dans la liste blanche, les autres noms de domaines sont assez rares.
Après, rien n'empêche d'automatiser le tout, de regarder si le domaine a été signalé plusieurs fois, si on a eu des antécédents etc...

Le problème des CAPTCHA c'est que certains bots les passent très facilement (bon, cela dépend aussi du type de CAPTCHA).

[hasgaard]

Je me pose une question quant au principe de déchiffrage des caractères alphanumériques qui semblent tellement efficaces que cela amène à l'absurde situation actuelle où c'est l'internaute de chair et d'os qui rencontre plus de difficultés pour déchiffrer.

On sait les systèmes automatisés capables de reconnaître des polices de caractères, mêmes déformées dans une image.

Sont-ils capables d'interpréter une série de PNG transparents individuellement insignifiants, mais qui, superposés correctement par css, affichent à l'oeil humain un code tout-à-fait clair. Car, que je sache, ces systèmes n'utilisent pas encore de "screenshots", si ?

Par ailleurs, des systèmes simplistes, même s'ils ne sont 100% efficaces réduisent déjà très fortement le spam. La question est donc, faut-il vraiment appliquer la tolérance zéro quitte à ennuyer les internautes ?