Contrôles JS côté client

Optional browser checks

Behavior checks are off by default. The code contains pointer, movement, and scrolling checks, plus optional canvas, WebGL, and audio routines. Evaluation happens in the browser; results can affect local scoring and SCaptcha logs. This documentation therefore makes no blanket no-fingerprinting claim.

Pipeline de décision

Pendant que la page est ouverte, SCaptcha suit la télémétrie d’interaction : comptes et amplitude des mouvements souris/tactile, boîte englobante, entropie de direction, variance de vitesse et d’intervalle, présence et uniformité du défilement, nombre de clics, durée de survol, inactivité du clavier après 15 s, changements de visibilité et délai de première interaction (<500 ms).

Au clic, le client évalue des marqueurs d’automatisation à fort signal tels que navigator.webdriver, HeadlessChrome dans l’UA, les globales d’automatisation (__webdriver_evaluate, _phantom, etc.), les indicateurs de marque d’UA pour Playwright/Puppeteer et une liste de blocage de sous‑chaînes pour les motifs IA/crawler.

Les contrôles d’environnement ne s’exécutent qu’après activation. Les API absentes ou limitées pour la confidentialité restent neutres ; les rendus génériques Chromium/ANGLE, Mesa ou llvmpipe ne signalent pas seuls une automatisation.

Les signaux d’empreinte et de timing (temps canvas toDataURL sous 5 ms, hash d’empreinte WebGL et nombre d’extensions, hash OfflineAudioContext, uniformité de la cadence requestAnimationFrame) sont échantillonnés par session pour réduire la stabilité, puis intégrés au score.

Seuils et résultats

Si la confiance >= botThreshold, l’action d’escalade configurée (défi ou blocage) s’exécute immédiatement. Si la confiance >= challengeThreshold, le défi de secours s’affiche sauf si l’escalade est définie sur none.

Le blocage définit un état d’erreur et enregistre la raison ; le défi ouvre la superposition de secours liée au payload PoW.

Le mode Under‑Attack relève les seuils et assouplit les exigences de gestes afin que les utilisateurs légitimes puissent passer rapidement lors des pics de trafic.

Contrôles de comportement et UX

Le mouvement du pointeur ne concerne que la souris et le défilement seulement les pages défilables ; clavier et toucher légitimes ne simulent pas la souris.

La télémétrie inclut les comptes et l’amplitude des mouvements, l’entropie de direction, la durée de survol, le nombre de clics, le délai de première interaction (<500 ms) et l’inactivité du clavier après 15 s.

Escalade et journalisation

L’escalade écrit une liste de raisons et le score de confiance dans le payload d’analytique afin que vous puissiez vérifier précisément pourquoi une session a été défiée ou bloquée.

L’escalade vers un défi demande le secours image/audio basé sur code. Le serveur conserve le défi et les jetons de preuve dans la session pendant 5 minutes, et le PoW n’est accepté que lorsque le jeton de preuve correspond.

L’escalade par blocage arrête la vérification et enregistre le résultat dans les journaux de requêtes. Les événements client comme l’escalade, le défi et la vérification sont stockés dans le payload JS pour permettre une analyse détaillée.

Notes d’accessibilité

Si votre audience est uniquement clavier ou utilise des vues intégrées, assouplissez les exigences de défilement ou de pointeur et appuyez‑vous davantage sur les signaux de timing ou d’environnement.

Désactivez les contrôles audio ou WebGL pour les navigateurs verrouillés ou les extensions de confidentialité strictes afin d’éviter les faux positifs.

Préférez l’escalade vers un défi plutôt que le blocage lorsque l’accessibilité ou la diversité des appareils est élevée.

Le mode flottant peut améliorer l’UX des formulaires, mais testez‑le avec les lecteurs d’écran et le zoom, car le placement de l’ancre peut affecter l’ordre du focus.

Analyses et conservation

L’analyse des requêtes est activée par défaut et peut stocker des données opérationnelles corrélables : IP, agent utilisateur, requête, réseau, localisation, motifs et télémétrie transmise. La conservation est de 90 jours par défaut et réglable de 1 à 3 650 jours. La désactivation n’efface ni les lignes ni les exports existants.