Créer des clés reCAPTCHA pour des sites Web

Cette page explique comment créer des clés reCAPTCHA (également appelées clés) pour vérifier les interactions des utilisateurs sur vos pages Web.

Les clés reCAPTCHA représentent la configuration de reCAPTCHA un site Web. La configuration inclut des options importantes, telles que l'affichage ou non des tests CAPTCHA.

Avant de commencer

• Préparez votre environnement pour reCAPTCHA.
• Assurez-vous de disposer du rôle Identity and Access Management suivant: Administrateur reCAPTCHA Enterprise (roles/recaptchaenterprise.admin).
• Choisissez le type de clé le plus adapté à votre cas d'utilisation.

Créer une clé reCAPTCHA

Vous pouvez utiliser un nombre illimité de clés reCAPTCHA pour un projet Google Cloud. Il est préférable d'en créer un Clé reCAPTCHA par site Web.

Nous vous recommandons de créer des clés reCAPTCHA distinctes pour les environnements de préproduction et de production. Sinon, vous risquez de polluer l'analyse des risques reCAPTCHA avec des données de votre environnement de test.

La façon la plus simple de créer une clé reCAPTCHA consiste à utiliser la console d'administration reCAPTCHA. Vous pouvez aussi utiliser la console Google Cloud, l'API reCAPTCHA Enterprise ou la Google Cloud CLI.

Console d'administration

1. Accédez à la console d'administration reCAPTCHA.

   Accéder à la console d'administration reCAPTCHA

2. Dans le champ Libellé, saisissez un nom permettant d'identifier votre site.
3. Si vous souhaitez créer une clé basée sur un score, sélectionnez Sur la base d'un score (v3). Si vous souhaitez créer une clé de case à cocher, sélectionnez Défi (v2).
4. Pour ajouter un domaine, saisissez votre nom de domaine et cliquez sur .

   Pour ajouter un domaine supplémentaire, vous pouvez répéter cette étape. Vous pouvez ajouter jusqu'à 250 domaines.

5. Si vous ne connaissez pas la console Google Cloud, lisez les conditions d'utilisation, puis cochez la case.
6. Cliquez sur Envoyer.

Si vous débutez avec la console Google Cloud, un projet Google Cloud est créé et les API nécessaires sont activées pour que vous puissiez commencer. Si vous avez déjà un projet Google Cloud, les API nécessaires sont activées pour que votre projet puisse être lancé.

Cloud Console

1. Dans la console Google Cloud, accédez à la page reCAPTCHA.

   Accéder à reCAPTCHA

2. Vérifiez que le nom de votre projet s'affiche dans le sélecteur de projet en haut de la page.

   Si le nom de votre nouveau projet n'apparaît pas, cliquez sur le sélecteur de projet, puis sélectionnez votre projet.

3. Cliquez sur Créer une clé.
4. Dans le champ Nom à afficher, saisissez un nom à afficher pour la clé.
5. Dans le menu Sélectionner le type de plate-forme, sélectionnez Site Web.

   La section Liste de domaines s'affiche.

6. Saisissez le nom de domaine de votre site Web :

   1. Dans la section Liste de domaines, cliquez sur Ajouter un domaine.
   2. Dans le champ Domaine, saisissez le nom de votre domaine.

   3. Facultatif : pour ajouter un domaine supplémentaire, cliquez sur Ajouter un domaine et saisissez le nom d'un autre domaine dans le champ Domaine. Vous pouvez ajouter jusqu'à 250 domaines.

      Pour les sites Web, la clé reCAPTCHA est unique aux domaines et aux sous-domaines que vous spécifiez. Vous pouvez spécifier plusieurs domaines si vous diffusez votre site Web à partir de plusieurs domaines. Si vous spécifiez un domaine (par exemple, examplepetstore.com), vous n'avez pas besoin de spécifier ses sous-domaines (par exemple, subdomain.examplepetstore.com).

      Pour utiliser une clé sur plus de 250 domaines, cliquez sur l'option Désactiver la validation du domaine. reCAPTCHA ignorera alors la liste des domaines. Vous devez effectuer vous-même la validation du domaine en examinant le champ tokenProperties.hostname dans les évaluations que vous créez.

7. Selon le type de clé reCAPTCHA que vous souhaitez créer pour votre site Web, effectuez l'action appropriée :

Créer des clés reCAPTCHA basées sur des scores

Remarque:La création d'une clé basée sur des scores est l'option par défaut dans le console Google Cloud.

1. Facultatif : si vous souhaitez désactiver la validation du domaine ou autoriser les pages AMP, développez la section Pare-feu d'application Web (WAF), validation de domaine, pages AMP et défi.
   
   1. Pour protéger la clé reCAPTCHA pour votre domaine et vos sous-domaines, assurez-vous que l'option Désactiver la validation du domaine est désactivée.

      La désactivation de la validation de domaine est un risque pour la sécurité, car il n'existe aucune restriction sur le site. Par conséquent, votre clé reCAPTCHA est accessible et utilisée par n'importe quel utilisateur.

      
   2. Si vous souhaitez autoriser la clé basée sur des scores à fonctionner avec AMP (Accelerated Mobile Pages), activez l'option Autoriser cette clé pour qu'il fonctionne avec les pages AMP.

   3. Pour votre environnement hors production, si vous souhaitez spécifier un score que la clé doit renvoyer lorsqu'une évaluation est créée pour celui-ci, procédez comme suit :

      1. Cliquez sur le bouton Il s'agit d'une clé de test.
      2. Dans le champ Score (Score), spécifiez une note comprise entre 0 et 1,0.
      
   4. Cliquez sur Créer une clé.

   La nouvelle clé est répertoriée sur la page Clés reCAPTCHA.

Créer des clés reCAPTCHA avec case à cocher

Nous vous déconseillons d'utiliser des clés de case à cocher, car elles augmentent la friction des utilisateurs et n'améliorent pas la précision de manière significative.

1. Développez les sections Pare-feu d'application Web (WAF), validation du domaine, pages AMP et question d'authentification. .
   
2. Pour protéger la clé reCAPTCHA de votre domaine et de vos sous-domaines, vérifiez que l'option Désactiver la validation du domaine l'option est désactivée.

   La désactivation de la validation de domaine est un risque pour la sécurité, car il n'existe aucune restriction sur le site. Par conséquent, votre clé reCAPTCHA est accessible et utilisée par n'importe quel utilisateur.

   
3. Activez le bouton Utiliser une case à cocher.
   
4. Sélectionnez l'option Test de sécurité appropriée.

   L'option "Test de sécurité" contrôle la probabilité qu'un utilisateur soit invité à effectuer un test secondaire dans lequel il doit sélectionner des images d'une catégorie identifiée (par exemple, des images de motos ou d'escaliers).

   

   Pour renforcer la protection contre les fraudes, sélectionnez l'option Renforcer la difficulté (plus efficace contre les robots).

   Si vous sélectionnez Test le plus facile, les utilisateurs seront moins susceptibles d'être soumis au test visuel.

5. Dans votre environnement hors production, si vous voulez spécifier un score, vous devez indiquer la clé à renvoyer lorsqu'une évaluation est créée pour celui-ci, procédez comme suit:

   1. Cliquez sur le bouton Il s'agit d'une clé de test.
   2. Dans le champ Score, indiquez un score compris entre 0 et 1.
   3. Sélectionnez le type de défi approprié.
      • Auto affiche parfois le défi.
      • No CAPTCHA (Aucun CAPTCHA) n'affiche aucun test.
      • Le test insoluble affiche les images, mais le test n'est pas réussi.
      
   4. Cliquez sur Créer une clé.

   La nouvelle clé est répertoriée sur la page Clés reCAPTCHA.

gcloud

Pour créer des clés reCAPTCHA, utilisez la commande gcloud recaptcha keys create.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

• DISPLAY_NAME: nom de la clé. Généralement un nom de site.
• INTEGRATION_TYPE : type d'intégration. Selon le type de clés, spécifiez les valeurs suivantes :
  • score pour les clés basées sur un score.
  • checkbox pour les clés de case à cocher.
  Remarque : Nous vous déconseillons d'utiliser CHECKBOX, car cela augmente la friction des utilisateurs et n'améliore pas la précision de manière significative. Pour en savoir plus, consultez les questions fréquentes.
• DOMAIN_NAME: domaines ou sous-domaines des sites Web autorisés à utiliser la clé.

  Spécifiez plusieurs domaines sous la forme d'une liste d'éléments séparés par une virgule.

  Pour utiliser une clé sur plus de 250 domaines, spécifiez --allow-all-domains pour désactiver la validation du domaine. reCAPTCHA ignore alors la liste de domaines. Vous devez effectuer vous-même la validation du domaine en examinant tokenProperties.hostname dans les évaluations que vous créez.

  La désactivation de la validation de domaine est un risque pour la sécurité, car il n'existe aucune restriction sur le site. Par conséquent, votre clé reCAPTCHA est accessible et utilisée par n'importe quel utilisateur.

  Remarque : La clé reCAPTCHA est unique aux domaines et aux sous-domaines que vous spécifiez. Vous pouvez spécifier plusieurs domaines si vous diffusez votre site Web à partir de plusieurs domaines. Si vous spécifiez un domaine (par exemple, examplepetstore.com), vous n'avez pas besoin de spécifier ses sous-domaines (par exemple, subdomain.examplepetstore.com).

Exécutez la commande gcloud recaptcha keys create :

Linux, macOS ou Cloud Shell

gcloud recaptcha keys create \
        --web \
        --display-name=DISPLAY_NAME  \
        --integration-type=INTEGRATION_TYPE \
        --domains=DOMAIN_NAME

Windows (PowerShell)

gcloud recaptcha keys create `
        --web `
        --display-name=DISPLAY_NAME  `
        --integration-type=INTEGRATION_TYPE `
        --domains=DOMAIN_NAME

Windows (cmd.exe)

gcloud recaptcha keys create ^
        --web ^
        --display-name=DISPLAY_NAME  ^
        --integration-type=INTEGRATION_TYPE ^
        --domains=DOMAIN_NAME

La réponse contient la clé reCAPTCHA que vous venez de créer.

REST

Pour obtenir des informations de référence sur les types de clés et les types d'intégration, consultez les sections Clé et Type d'intégration.

Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :

• DISPLAY_NAME : nom de la clé. Généralement un nom de site.
• INTEGRATION_TYPE : type d'intégration. Selon le type de clés, spécifiez les valeurs suivantes :
  • score pour les clés basées sur un score.
  • checkbox pour les clés de case à cocher.
  Remarque : Nous vous déconseillons d'utiliser CHECKBOX, car cela augmente la friction des utilisateurs et n'améliore pas la précision de manière significative. Pour en savoir plus, consultez les questions fréquentes.
• DOMAIN_NAME: domaines ou sous-domaines des sites Web autorisés à utiliser la clé.

  Spécifiez plusieurs domaines sous la forme d'une liste d'éléments séparés par une virgule.

  Pour utiliser une clé sur plus de 250 domaines, spécifiez --allow-all-domains afin de désactiver la validation du domaine. reCAPTCHA ignore alors la liste de domaines. Vous devez effectuer vous-même la validation du domaine en examinant le champ tokenProperties.hostname dans les évaluations que vous créez.

  La désactivation de la validation du domaine représente un risque de sécurité, car il n'y a des restrictions sur le site, afin que votre clé reCAPTCHA soit accessible et utilisée par quiconque.

  Remarque : La clé reCAPTCHA est unique aux domaines et aux sous-domaines que vous spécifiez. Vous pouvez spécifier plusieurs domaines si vous diffuser votre site Web à partir de plusieurs domaines. Si vous spécifiez un domaine (par exemple, examplepetstore.com), vous n'avez pas besoin de spécifier ses sous-domaines (par exemple, subdomain.examplepetstore.com).

Méthode HTTP et URL :

POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys

Corps JSON de la requête :

{
  "displayName": "DISPLAY_NAME",
  "webSettings": {
    "allowedDomains": "DOMAINS",
    "integrationType": "TYPE_OF_INTEGRATION"
  }
}

Pour envoyer votre requête, choisissez l'une des options suivantes :

curl

Remarque : La commande suivante suppose que vous vous êtes connecté à la CLI gcloud avec votre compte utilisateur en exécutant la commande gcloud init ou gcloud auth login, ou en utilisant Cloud Shell, qui vous connecte automatiquement à la CLI gcloud. Vous pouvez exécuter la commande gcloud auth list pour vérifier quel est le compte actuellement actif.

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante :

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys"

PowerShell

Remarque : La commande suivante suppose que vous vous êtes connecté à la CLI gcloud avec votre compte utilisateur en exécutant la commande gcloud init ou gcloud auth login. Vous pouvez exécuter la commande gcloud auth list pour vérifier quel est le compte actuellement actif.

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante :

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys" | Select-Object -Expand Content

Vous devriez recevoir une réponse JSON de ce type :

{
  "name": "projects/project-id/keys/6Ldqgs0UAAAAAIn4k7YxEB-LwEh5S9-Gv6IIWB8m",
  "displayName": "DISPLAY_NAME",
  "webSettings": {
    "allowAllDomains": false,
    "allowedDomains": [
      DOMAINS
    ],
    "allowAmpTraffic": false,
    "integrationType": "SCORE",
    "challengeSecurityPreference": "CHALLENGE_SECURITY_PREFERENCE_UNSPECIFIED"
  }
}

Remarque : Une fois que vous avez créé des clés reCAPTCHA, vous pouvez les modifier ou les supprimer. Vous ne pouvez pas récupérer des clés supprimées. Par ailleurs, vous ne pouvez pas migrer reCAPTCHA clés d'un projet Google Cloud vers un autre projet Google Cloud.

(Facultatif) Trouver une ancienne clé secrète reCAPTCHA

Si vous souhaitez intégrer une application tierce qui n'utilise pas l'API reCAPTCHA Enterprise, vous avez besoin de l'ancienne clé secrète.

Pour chaque clé de site que vous créez, reCAPTCHA crée un l'ancienne clé secrète reCAPTCHA (ancienne clé secrète), que vous pouvez à utiliser avec votre application tierce.

Remarque : Nous vous déconseillons d'utiliser une ancienne clé secrète sur votre interface utilisateur, car elle sera visible par vos utilisateurs et les pirates informatiques peuvent abuser de votre application.

Pour trouver l'ancienne clé secrète, procédez comme suit :

1. Dans la console Google Cloud, accédez à la page reCAPTCHA.

   Accéder à reCAPTCHA

2. Dans la section Clés reCAPTCHA, recherchez la clé reCAPTCHA que vous avez créée, puis cliquez dessus.

   

3. Sur la page Détails de la clé, dans l'onglet Intégration, cliquez sur Utiliser l'ancienne clé. Une boîte de dialogue s'ouvre avec des instructions sur l'utilisation de l'ancienne clé secrète.

   

Étape suivante

• Installez des clés basées sur des scores sur vos pages Web.
• Installer des clés de case à cocher sur vos pages Web