DPDPA

Scope

SCaptcha est auto-hébergé et ne nécessite pas de données personnelles pour vérifier les utilisateurs. Vous restez le fiduciary des données pour toute métadonnée de sécurité que vous choisissez de conserver.

This page maps SCaptcha 2.3.0 behavior to the named framework. It is not a certification or legal advice.

Contrôle du data fiduciary

Puisque SCaptcha s’exécute dans votre infrastructure, vous conservez le contrôle de la collecte, de la conservation et de l’accès.

La journalisation optionnelle peut être désactivée ou minimisée pour correspondre à votre posture de confidentialité.

Limitation de finalité et minimisation

SCaptcha traite les données uniquement pour la prévention des abus et la protection de la disponibilité.

Proof-of-Work et les contrôles de comportement ne nécessitent pas de données personnelles, et les entrées Sentinel sont optionnelles.

Garanties de sécurité

Déployez SCaptcha dans un environnement sécurisé et contrôlé, et maintenez TLS activé pour tout le trafic.

Restreignez l’accès aux logs et aux analyses conformément aux garanties de la Section 8.

Liste de mise en œuvre

Évitez de collecter des données personnelles, documentez votre finalité de sécurité et fixez des durées de conservation courtes.

Examinez toute recherche externe pour les implications de transfert et laissez-la désactivée sauf nécessité.

SCaptcha 2.3.0 behavior

Chaque défi utilise un sel indépendant de 32 octets généré par un mécanisme cryptographiquement sûr. L’installation WoltLab valide le sel, le hachage, l’algorithme, la solution et le HMAC dans la session émettrice. Le défi expire après 60 secondes, sans fournisseur CAPTCHA externe.

Désactivé par défaut. Une fois activé, SCaptcha envoie l’adresse IP publique à proxycheck.io pour obtenir des indices proxy, VPN ou Tor. SCaptcha 2.3.0 envoie tag=0 par défaut ; l’administrateur peut activer la journalisation du fournisseur. L’IP est transmise dans les deux cas.

Le marqueur avant envoi et la preuve texte ou audio facultative durent 5 minutes. Under-Attack utilise un cookie signé lié à l’agent utilisateur pendant 5 à 30 minutes (10 par défaut). Sentinel peut conserver un refus décidé par le serveur pendant 10 minutes et reste désactivé par défaut.

L’analyse des requêtes est activée par défaut et peut stocker des données opérationnelles corrélables : IP, agent utilisateur, requête, réseau, localisation, motifs et télémétrie transmise. La conservation est de 90 jours par défaut et réglable de 1 à 3 650 jours. La désactivation n’efface ni les lignes ni les exports existants.

What operators need to review

Document enabled features, limit access to security logs, and assess optional external services separately. SCaptcha does not replace legal review or accessibility testing of the complete website.

Enable only the options you need. Update privacy and cookie notices, restrict access to analytics and logs, and test the actual form integration before launch.