Pourquoi des captchas apparaissent avec un proxy et comment les réduire

Le captcha via un proxy n'est pas une punition pour le proxy lui-même, mais une question du système de protection « êtes-vous humain ? ». Avec un proxy, il apparaît plus souvent pour trois raisons : l'adresse est partagée avec d'autres personnes et programmes, elle a déjà un historique, et les autres signaux du navigateur la contredisent souvent. Il est impossible de se débarrasser totalement des captchas — c'est justement pour cela qu'ils ont été créés — mais on peut faire en sorte qu'ils apparaissent nettement moins souvent. Voyons ce qu'en disent Google, Yandex et Cloudflare eux-mêmes, pourquoi les proxies augmentent le risque de vérification et quelles mesures aident réellement, et lesquelles ne font qu'aggraver la situation.

Ce que disent les services eux-mêmes

Google : « trafic inhabituel depuis votre réseau »

Google affiche cette page lorsque des requêtes automatiques vers la recherche proviennent du réseau. Dans son aide, il énumère les causes : programmes malveillants sur l'ordinateur, réseau partagé à l'école ou au bureau où quelqu'un envoie des requêtes automatiques, VPN dont d'autres utilisateurs font la même chose, tunnels IPv6 et fournisseur d'accès dont les abonnés partagent des adresses. Les recommandations y figurent aussi : résoudre le reCAPTCHA, vérifier l'ordinateur contre les programmes malveillants, contacter l'administrateur réseau, supprimer ou remplacer le VPN — selon Google, certains VPN ne permettent pas de distinguer le trafic légitime des abus — et contacter son fournisseur d'accès.

Les proxies ne sont pas nommés explicitement dans l'aide, mais le mécanisme est le même : vous partagez une adresse avec d'autres, et Google ne voit pas vous, mais tout le trafic provenant de cette adresse.

Yandex : « beaucoup de requêtes similaires »

Dans l'aide de Yandex, la cause du captcha est unique : le service reçoit beaucoup de requêtes similaires et veut s'assurer qu'elles sont envoyées par un humain, pas par un robot. Pour un proxy, cela signifie que ce n'est pas seulement votre rythme qui compte, mais aussi celui de tous ceux qui utilisent la même adresse.

reCAPTCHA v3 : une évaluation au lieu d'images

La troisième version de reCAPTCHA n'affiche aucun défi : selon la documentation de Google, elle n'interrompt jamais l'utilisateur, mais attribue un score de 0,0 à 1,0, où 1,0 signifie une interaction probablement légitime et 0,0 un probable bot. Par défaut, Google suggère aux sites un seuil de 0,5. Ce qu'il faut faire d'un score faible — afficher une vérification, demander une confirmation de connexion ou bloquer — c'est le site qui décide.

Cloudflare : une évaluation et trois types de vérification

Cloudflare évalue chaque requête sur une échelle de 1 à 99 : 1 — requête automatique, 99 — provenant d'un humain. L'évaluation comprend des heuristiques (comparaison avec une base d'empreintes connues), du machine learning qui attribue la majorité des scores, et des vérifications JavaScript qui détectent les navigateurs headless et autres outils d'automatisation. Le visiteur reçoit une vérification lorsqu'une règle de pare-feu, du module de protection anti-bots ou de limitation de fréquence se déclenche. Il existe trois types de vérification :

• non interactive — le navigateur exécute du JavaScript, généralement en moins de cinq secondes, rien n'est demandé à l'humain ;
• gérée — Cloudflare choisit lui-même le type de vérification ; la plupart des gens la passent automatiquement et voient « Succès » ;
• interactive — nécessite une action ; Cloudflare lui-même conseille aux sites d'utiliser la vérification gérée à la place.

Après une vérification réussie, le navigateur reçoit un cookie cf_clearance et n'est plus vérifié pendant un certain temps. C'est important pour les proxies, et on comprendra pourquoi ci-dessous.

Pourquoi le captcha apparaît plus souvent via un proxy

1. L'adresse est partagée et a un historique. Même mécanisme que pour le VPN dans l'aide de Google : si des requêtes automatiques ont été envoyées depuis cette adresse avant vous, le soupçon pèse sur tous ceux qui l'utilisent. Les proxies partagés bon marché en souffrent le plus.
2. Le type d'adresse. Les systèmes de protection savent quelles adresses appartiennent à des hébergeurs. Une IP de serveur pour un moteur de recherche ou un réseau social — c'est déjà une raison de regarder de plus près : les gens des datacenters ne restent pas assis. La façon dont fonctionnent les types d'adresses est expliquée dans l'article proxies résidentiels, datacenter et mobiles.
3. La fréquence. « Beaucoup de requêtes similaires » — c'est la formulation directe de Yandex. Un programme qui ouvre des pages plus vite qu'un humain recevra un captcha depuis n'importe quelle adresse.
4. Les contradictions entre les signaux. IP d'Allemagne, mais fuseau horaire et langue du navigateur de Moscou ; adresse mobile, mais empreinte de navigateur de bureau. Chaque telle contradiction fait baisser le score. Pour savoir quels signaux trahissent les systèmes de protection, voir les articles comment fonctionnent les systèmes anti-bots et qu'est-ce que l'empreinte TLS.
5. Pas d'historique ni de cookies. Un navigateur qui arrive chaque fois « à zéro » et depuis une nouvelle adresse ressemble à un nouveau visiteur à chaque visite. Il perd à la fois le cf_clearance et la confiance accumulée.
6. L'automatisation. Les navigateurs headless et les navigateurs pilotés par programme se trahissent via JavaScript — Cloudflare le désigne explicitement comme un mécanisme de détection à part.

Ce qui aide vraiment

• Choisir le bon type d'adresse. Pour les sites à protection stricte — proxies résidentiels, mobiles ou résidentiels statiques (ISP) plutôt que datacenter. Les adresses mobiles des opérateurs sont partagées par des milliers d'abonnés, et il n'est pas rentable pour les sites de les bloquer.
• Ne pas utiliser de proxies partagés. Une adresse dédiée ne répond que de votre comportement, pas de celui des autres.
• Conserver l'adresse plutôt que la changer à chaque requête. Une session sticky préserve à la fois l'adresse et les cookies après une vérification réussie. Une rotation à chaque requête pour les sites avec Cloudflare signifie une nouvelle vérification à chaque requête (rotation d'IP et sessions sticky).
• Réduire le rythme. Des pauses entre les requêtes et un parallélisme raisonnable éliminent la cause principale selon Yandex. Les règles générales sont dans l'article robots.txt, limites et collecte respectueuse des données.
• Harmoniser les signaux. Le fuseau horaire, la langue et la géolocalisation du navigateur doivent correspondre au pays de l'IP, et WebRTC ne doit pas révéler votre véritable adresse. Les navigateurs antidetect le font automatiquement (qu'est-ce qu'un navigateur antidetect).
• Conserver les cookies entre les sessions. Un profil de navigateur avec un historique passe les vérifications plus facilement qu'un nouveau à chaque fois.
• Vérifier l'adresse avant de travailler. Listes noires, type d'IP dans les bases, fuites — la procédure de vérification est décrite dans l'article comment tester un proxy.

Ce qui n'aide pas

• Changer d'adresse après chaque captcha. Une nouvelle adresse du même pool a généralement la même réputation, et le changement constant est en soi suspect.
• Acheter les proxies les moins chers « en gros ». Mille adresses datacenter partagées donneront mille captchas.
• Résoudre automatiquement le captcha en contournant la protection. De tels services existent, mais c'est un contournement direct de la protection du site et souvent une violation de ses règles : Google, par exemple, classe les requêtes automatiques vers la recherche comme interdites sans autorisation. Si un site distingue aussi obstinément les humains des programmes, il vaut mieux chercher une API officielle pour les tâches automatisées.

Si le captcha apparaît sans proxy

L'aide de Google indique où chercher : programme malveillant sur l'ordinateur, réseau partagé au travail ou dans les études, VPN ou fournisseur d'accès qui fait passer de nombreux abonnés par une même adresse. L'internet mobile fait aussi passer des milliers de personnes par des adresses partagées, c'est pourquoi le captcha revient parfois pour l'activité des autres. Vérifiez votre ordinateur, désactivez le VPN et les extensions qui envoient des requêtes en votre nom, et essayez un autre réseau.

En bref : symptôme, cause, que faire

Pour le cas particulier des sous-réseaux IPv6, que les sites limitent en bloc, voir l'article proxies IPv6.

Questions fréquentes

Pourquoi Google affiche-t-il un captcha alors que je ne fais que quelques requêtes ?

Parce que Google évalue tout le trafic depuis votre adresse, pas seulement le vôtre. Si l'adresse est partagée — VPN, proxy, réseau de bureau, fournisseur d'accès — les requêtes automatiques d'autres personnes vous retombent dessus. L'aide de Google le dit explicitement.

Changer d'IP permet-il de se débarrasser du captcha ?

Ponctuellement, parfois oui, mais si la nouvelle adresse vient du même pool, elle a généralement la même réputation. Le changement constant d'adresse sur les sites avec Cloudflare réinitialise en plus la vérification déjà passée.

Quels proxies reçoivent le moins souvent des captchas ?

Les adresses résidentielles dédiées, mobiles et résidentielles statiques avec session persistante. Les proxies datacenter et partagés reçoivent le plus souvent des captchas.

Pourquoi Cloudflare me vérifie-t-il encore et encore ?

Après la vérification, Cloudflare délivre un cookie cf_clearance. Si l'adresse change à chaque requête ou si le navigateur ne conserve pas les cookies, cette marque est perdue et la vérification se répète.

Que signifie le score reCAPTCHA v3 ?

C'est un nombre de 0,0 à 1,0 : plus il est proche de 1,0, plus le comportement ressemble à celui d'un humain. Par défaut, Google conseille aux sites un seuil de 0,5, et c'est le site lui-même qui décide quoi faire d'un score faible.