Notes de version de SCaptcha 2.3.0
Version publiée le 8 septembre 2026. Voici les nouveautés de SCaptcha 2.3.0.
Nouveaux défis et réutilisation limitée
- Chaque défi Proof-of-Work utilise un sel indépendant de 32 octets généré de façon cryptographiquement sûre. Sel, hachage, algorithme, solution et HMAC sont validés dans la session WoltLab émettrice ; le défi expire après 60 secondes et ne fonctionne pas dans une autre session.
- Les défis 2.2.x émis juste avant la mise à jour ne restent valides que jusqu’à leur expiration normale. Le marqueur avant envoi, à usage unique et lié au chemin, ainsi que les preuves texte/audio expirent après 300 secondes.
- La réutilisation du formulaire, le cookie Under-Attack et le cookie de refus Sentinel restent distincts. Under-Attack dure 300 à 1 800 secondes (600 par défaut), Sentinel 600 secondes.
Données proxy, cache et journaux du fournisseur
- La normalisation proxycheck.io v3 conserve risque, confiance, times_seen, dates d’observation, état de détection/déréférencement, type de réseau et état du fournisseur. Une métadonnée absente ou invalide ne vaut pas un résultat sain.
- Sentinel exige un nombre positif, au moins 50 % de confiance et des observations récentes exploitables. Les résultats déréférencés, anciens, nuls ou peu fiables sont ignorés.
- Les succès sont mis en cache 3 600 secondes, les résultats volatils ou déréférencés 900. Les échecs sont cachés de 120 à 900 secondes ; deux essais limités sont prévus et les lignes de plus de 24 heures sont supprimées.
- SCaptcha envoie tag=0 par défaut. L’administrateur peut activer les journaux de détections positives ; l’IP reste transmise pour la requête et une panne du fournisseur n’est pas un résultat sain.
Analyses et conservation
- L’analyse locale reste activée par défaut et peut enregistrer des données opérationnelles corrélables : heure, résultat, URI, IP, agent utilisateur, navigateur/appareil, réseau, localisation, motifs, données Sentinel et télémétrie transmise.
- La durée est de 90 jours par défaut et réglable de 1 à 3 650. Seules les lignes antérieures à la date limite sont supprimées. Désactiver l’analyse arrête la collecte sans effacer les lignes ou exports existants.
Navigateurs et accessibilité
- Le score comportemental et Sentinel restent désactivés par défaut ; audio, WebGL, animation frame et canvas ne s’exécutent qu’avec leurs options. Les signaux indisponibles restent neutres.
- Les rendus génériques Chromium/ANGLE, Mesa et llvmpipe ne suffisent pas à signaler une automatisation. Le pointeur ne concerne que la souris et le défilement seulement les pages défilables ; clavier et toucher ne simulent pas la souris.
Contexte externe daté
- Au 8 septembre 2026, les lignes directrices 02/2026 de l’EDPB sur l’anonymisation restaient en consultation publique jusqu’au 30 octobre 2026. Elles ne sont présentées ni comme droit ni comme lignes directrices définitives.
- Chrome 153 est sorti le 8 septembre 2026 et a lancé le cycle stable de deux semaines annoncé. La compatibilité doit être vérifiée à chaque version.