Les CAPTCHA ont été conçus comme un test que les humains réussissent et que les ordinateurs échouent. Vingt ans plus tard, cette description est difficile à défendre. Des recherches publiées montrent que des systèmes automatisés égalent ou dépassent les humains sur la plupart des types de CAPTCHA, tandis que les humains passent encore plusieurs secondes, parfois presque une minute, sur chaque défi.
Alors, les CAPTCHA arrêtent-ils encore les bots ? La recherche apporte une réponse plus précise : ils arrêtent rarement un opérateur déterminé, mais ils ajoutent un coût et une friction, tant pour les attaquants que pour les utilisateurs légitimes. Cette étude rassemble les mesures derrière cette réponse : combien de temps les CAPTCHA prennent aux humains, à quelle fréquence les machines les résolvent, ce que les agents d’IA parviennent à faire aujourd’hui, et comment la défense est passée des puzzles au scoring de risque.
Chaque chiffre ci-dessous provient du texte ou des tableaux des articles d’origine. Plusieurs résultats récents sont des préprints, ce que nous signalons. Ceci est un résumé de recherches publiées, pas un guide pour résoudre les CAPTCHA.
Points clés à retenir
- Les humains paient en secondes. Dans la plus grande étude de laboratoire récente, les temps de résolution moyens allaient de 3,6 à 42,7 secondes par CAPTCHA, selon le type. Dans un déploiement en production, les défis d’images ont pris en moyenne 10,3 secondes aux personnes, contre 1,85 seconde pour une case à cocher.
- Les machines égalent ou dépassent les humains en précision. La même étude de laboratoire a comparé ses résultats humains avec des résultats de bots issus de recherches antérieures et a conclu que « les bots peuvent surpasser les humains, tant en termes de temps de résolution que de précision, sur tous ces types de CAPTCHA ».
- Les agents d’IA généralistes restent en retrait, les solveurs spécialisés non. Dans un benchmark de 2025, le meilleur agent généraliste a résolu 40 % des CAPTCHA interactifs contre 93,3 % pour les humains. Les systèmes conçus pour des familles spécifiques de CAPTCHA rapportent des résultats proches ou supérieurs au niveau humain.
- Le véritable mécanisme est le coût. Dès 2010, des chercheurs concluaient qu’un CAPTCHA « réduit le profit attendu d’un attaquant du coût de résolution du CAPTCHA » plutôt qu’il n’empêche l’accès automatisé.
- Les défenses sont passées en coulisses. Les principaux fournisseurs évaluent désormais les requêtes sans afficher de puzzle, et ne montrent un défi que lorsque le score est douteux.
Ce que les CAPTCHA coûtent aux humains
La mesure la plus détaillée des CAPTCHA modernes est une étude USENIX Security de 2023 réalisée par Searles et ses collègues. Dans celle-ci, 1 400 participants ont résolu 14 000 CAPTCHA répartis sur dix types.
| Type de CAPTCHA | Temps de résolution humain (secondes) |
|---|---|
| Case à cocher (clic) | 3,1 à 4,9 |
| Texte déformé | 9 à 15,3 |
| Sélection d’images (reCAPTCHA) | 15 à 26 |
| Sélection d’images (hCaptcha) | 18 à 32 |
| Basé sur un jeu | 18 à 42 |
| Puzzle à glissière | 28 à 30 |
Source : Searles et al. (2023), Tableau 3. Les fourchettes couvrent les différents contextes de l’étude.
La précision humaine était loin d’être parfaite : environ 81 % sur les défis d’images, et entre 50 % et 85 % selon les types où la précision pouvait être mesurée. Présenter le CAPTCHA comme faisant partie d’une inscription de compte, plutôt que comme une tâche isolée, a ralenti les gens, de 26,7 % en moyenne selon les types.
Les gens abandonnent aussi. Dans une étude de suivi au sein du même article, 30 % des participants ont abandonné avant de terminer, et ceux qui voyaient les CAPTCHA comme faisant partie d’une inscription de compte étaient 120 % plus susceptibles d’abandonner. Il s’agissait de participants rémunérés, donc ces chiffres décrivent l’abandon de tâche plutôt que des ventes perdues, mais la tendance est claire.
Une étude de 2025 menée par Searles, Prapty et Tsudik a mesuré la même chose en production. Sur 13 mois, plus de 3 600 utilisateurs réels d’un service de compte universitaire sont passés par reCAPTCHA v2 sans savoir qu’ils étaient étudiés :
| Mesure | Résultat |
|---|---|
| Sessions résolues par la seule case à cocher | 79,98% |
| Temps de résolution moyen, case à cocher | 1,85 seconde |
| Temps de résolution moyen, défi d’image | 10,3 secondes |
| Défis d’images réussis | 92,96% |
| Répondants au sondage trouvant les défis d’images agaçants | 40% (moins de 10% pour la case à cocher) |
Les auteurs ont également estimé le temps humain total consacré à reCAPTCHA sur sa durée de vie à 819 millions d’heures, soit une valeur d’au moins 6,1 milliards de dollars à un salaire horaire de 7,50 dollars. Ils décrivent cette estimation comme une borne inférieure approximative construite sur des hypothèses, notamment un chiffre de 2010 de 100 millions de CAPTCHA par jour maintenu constant, donc elle doit être lue comme un ordre de grandeur. À titre de comparaison, les créateurs de reCAPTCHA ont rapporté en 2008 que les gens résolvaient plus de 100 millions de CAPTCHA par jour, « des centaines de milliers d’heures humaines par jour ».
Ce que les machines accomplissent
La résolution automatisée a suivi chaque génération de CAPTCHA. L’étude de 2023 a comparé ses résultats humains avec des résultats de bots rapportés dans des recherches antérieures :
| Type de CAPTCHA | Précision humaine (étude 2023) | Précision des bots (études antérieures) | Temps de résolution des bots |
|---|---|---|---|
| Case à cocher (clic) | non mesurée directement | 100% | 1,4 s |
| Puzzle à glissière | non mesurée directement | 96% | 5,3 s |
| Texte déformé | 50% à 85% | 99,8% | moins d’1 s |
| Sélection d’images (reCAPTCHA) | 81% | 85% | 17,5 s |
| Sélection d’images (hCaptcha) | 71% à 81% | 98% | 14,9 s |
Source : Searles et al. (2023), Tableau 3 et section 5.5, citant des études antérieures pour les résultats des bots.
Les chiffres sur les bots proviennent de différents articles réalisés dans des conditions différentes, il ne s’agit donc pas d’une confrontation directe contrôlée. Mais la conclusion des auteurs est directe : les bots « peuvent surpasser les humains, tant en termes de temps de résolution que de précision ». Le texte déformé est tombé en premier ; une équipe de recherche de Google a rapporté une précision de 99,8 % sur la catégorie la plus difficile des puzzles de texte reCAPTCHA en 2014.
Une étude de 2024 de l’ETH Zurich a rapporté qu’un système automatisé a réussi chaque session reCAPTCHA v2 qu’il a tentée, parfois après plusieurs tours d’images, et a eu besoin d’un nombre de défis similaire à un testeur humain (une seule personne, dans leur comparaison). Sa découverte la plus révélatrice concerne ce que le système mesure réellement : les auteurs ont conclu que reCAPTCHA v2 « se fonde fortement sur les données de cookies et d’historique de navigateur pour évaluer si un utilisateur est humain ou non ». Dans leurs tests, un navigateur sans historique avait besoin de bien plus de défis qu’un navigateur avec un historique établi. La tâche visuelle, en d’autres termes, compte moins que ce à quoi le navigateur ressemble déjà.
Ce que les agents d’IA accomplissent aujourd’hui
Depuis 2024, des chercheurs ont testé des modèles et agents d’IA généralistes sur des CAPTCHA, avec des résultats mitigés.
| Étude | Statut | Résultat |
|---|---|---|
| Open CaptchaWorld (2025) | Préprint | Le meilleur agent web généraliste a résolu 40,0 % de 225 CAPTCHA interactifs ; humains 93,3% |
| MCA-Bench (2026) | AAAI 2026 | Un modèle de vision affiné a obtenu 0,025 sur la sélection arithmétique contre 0,78 pour les humains, mais 0,985 sur les mots déformés contre 0,84 pour les humains |
| Oedipus (2024) | Préprint | Les modèles généralistes ont résolu 12 % à 21 % des CAPTCHA de raisonnement sans aide, et 51 % à 64 % avec un cadre de décomposition de tâches |
| VIPERStrike (2026) | Accepté, USENIX Security 2026 | Jusqu’à 93,2 % sur des CAPTCHA de raisonnement visuel de six fournisseurs, contre 87,6 % à 95,4 % pour un petit groupe de volontaires humains |
La tendance est cohérente. Les agents prêts à l’emploi peinent sur les défis interactifs à plusieurs étapes. Les systèmes conçus pour une famille spécifique de CAPTCHA comblent la majeure partie de l’écart avec les humains, et sur des tâches visuelles simples les dépassent. Un résultat encourageant pour les défenseurs : dans l’article VIPERStrike, le fait de randomiser le libellé des invites de défi a réduit le taux de réussite de chaque solveur dans un test préliminaire, de 4,5 à 20,5 points de pourcentage.
La dissuasion est un coût, pas un mur
Si les machines peuvent résoudre les CAPTCHA, pourquoi existent-ils encore ? Une étude USENIX Security de 2010 menée par Motoyama et ses collègues a répondu à cette question avant l’ère de l’IA. En mesurant le marché du travail humain de résolution de CAPTCHA, ils ont trouvé une résolution disponible à des prix de détail « aussi bas que 1 $ pour mille », avec un temps de réponse médian de 14 secondes et une précision de 86 % à 89 % dans la plupart des services testés. Leur conclusion encadre encore le débat :
« Dans l’absolu, les CAPTCHA n’empêchent pas l’accès automatisé à grande échelle à un site. » Un CAPTCHA « réduit le profit attendu d’un attaquant du coût de résolution du CAPTCHA ».
Cela fait du CAPTCHA un contrôle économique. Il fonctionne lorsque la valeur de chaque action automatisée est faible par rapport au coût de passage du défi, comme la création massive de comptes ou le spam, et échoue lorsque chaque action a de la valeur. Il coûte aussi à chaque utilisateur légitime les mêmes secondes et la même frustration.
Des recherches récentes en préprint placent la résolution par IA dans la même fourchette de coût : les auteurs d’Oedipus ont estimé quelques dollars à environ vingt dollars pour cent CAPTCHA de raisonnement résolus, selon le modèle et le type, ce qu’ils ont décrit comme du même ordre de grandeur que le travail humain.
Des puzzles aux scores de risque
L’industrie a largement accepté cela, et a déplacé la décision hors de la vue.
- Google reCAPTCHA v3 « renvoie un score pour chaque requête sans friction pour l’utilisateur », de 0,0 (très probablement un bot) à 1,0 (très probablement une bonne interaction), avec un seuil par défaut de 0,5. La documentation de Google suggère d’utiliser le score pour décider quoi faire, comme exiger une authentification à deux facteurs sur une connexion risquée ou envoyer un commentaire risqué en modération, plutôt que de bloquer purement et simplement.
- Cloudflare Turnstile « fonctionne sans montrer de CAPTCHA aux visiteurs », en exécutant en arrière-plan de petits défis non interactifs de navigateur et en n’escaladant vers une case à cocher qu’en cas de besoin.
Le puzzle est devenu le recours, affiché lorsque le score en arrière-plan est incertain. Cela correspond à la découverte de l’ETH Zurich sur l’historique du navigateur, et à l’évolution plus large de la défense anti-bot décrite dans notre article sur l’évolution de la défense anti-bot au-delà des CAPTCHA.
Ce que cela signifie
Pour les propriétaires de sites, la recherche suggère de traiter les CAPTCHA comme une couche d’élévation de coût parmi d’autres, pas comme une porte fermée :
- Montrez des défis uniquement sur les actions qui méritent d’être protégées, comme les inscriptions, les connexions et les paiements, et uniquement lorsqu’un score de risque est douteux.
- Mesurez ce que les défis vous coûtent. L’abandon dans les études ci-dessus atteignait largement des dizaines de pourcents.
- Attendez-vous à ce qu’un opérateur déterminé passe, et combinez les défis avec des limites de débit, des contrôles au niveau du compte et des vérifications côté serveur sur les actions elles-mêmes.
Pour les équipes de données, un CAPTCHA est un signal clair : le site a jugé votre trafic comme automatisé et ne le veut pas sur ce chemin à ce rythme. La bonne réponse est de ralentir, de vérifier si une API officielle ou une licence de données existe, et de rester dans les limites de ce que le site autorise, pas de chercher un moyen de contourner le défi. Nos bonnes pratiques de web scraping et notre guide sur robots.txt et les opt-outs IA expliquent comment lire ces signaux.
FAQ
Les CAPTCHA fonctionnent-ils encore ?
En tant que barrière stricte, pas de manière fiable : la recherche montre que les systèmes automatisés égalent ou dépassent la précision humaine sur la plupart des types de CAPTCHA. En tant que coût qui ralentit les abus automatisés à faible valeur, comme les inscriptions massives, ils ont encore un rôle, surtout combinés avec un scoring de risque en arrière-plan.
Combien de temps les CAPTCHA prennent-ils aux humains pour être résolus ?
Dans une étude de 2023 portant sur 1 400 personnes, les temps de résolution moyens allaient de 3,6 à 42,7 secondes selon le type. Dans un déploiement en production de reCAPTCHA v2, une case à cocher a pris 1,85 seconde en moyenne et un défi d’image 10,3 secondes.
L’IA peut-elle résoudre les CAPTCHA ?
Les agents d’IA généralistes restent à la traîne par rapport aux humains sur les CAPTCHA interactifs ; dans un benchmark de 2025, le meilleur agent a résolu 40 % contre 93,3 % pour les humains. Les systèmes conçus pour des types spécifiques de CAPTCHA rapportent des résultats proches du niveau humain.
Pourquoi les CAPTCHA sont-ils remplacés ?
Parce qu’ils coûtent du temps et des conversions aux utilisateurs réels tandis que les bots déterminés passent. Les fournisseurs évaluent désormais les requêtes en arrière-plan et ne montrent un défi que lorsque le score est incertain.
En résumé
Les CAPTCHA ne séparent plus les humains des machines de manière fiable ; sur la plupart des types, les machines sont désormais au moins aussi précises. Ce qu’ils font encore, c’est ajouter un coût : des secondes et de la frustration pour les personnes, de l’argent et des efforts pour le trafic automatisé. Cela les rend utiles là où chaque action automatisée vaut peu, et faibles là où elle vaut beaucoup. L’industrie a répondu en déplaçant la vraie décision vers un scoring de risque invisible et en gardant le puzzle comme recours.
Sources et références
- Searles, A. et al. (2023). An Empirical Study & Evaluation of Modern CAPTCHAs. USENIX Security 2023.
- Searles, A., Prapty, R. T. et Tsudik, G. (2025). Understanding reCAPTCHAv2 via a Large-Scale Live User Study. NDSS Symposium on Usable Security and Privacy (USEC) 2025.
- Plesner, A., Vontobel, T. et Wattenhofer, R. (2024). Breaking reCAPTCHAv2. COMPSAC 2024.
- Motoyama, M. et al. (2010). Re: CAPTCHAs: Understanding CAPTCHA-Solving Services in an Economic Context. USENIX Security 2010.
- von Ahn, L. et al. (2008). reCAPTCHA: Human-Based Character Recognition via Web Security Measures. Science 321.
- Goodfellow, I. et al. (2014). Multi-digit Number Recognition from Street View Imagery using Deep Convolutional Neural Networks.
- Luo et al. (2025). Open CaptchaWorld. Préprint.
- Wu et al. (2026). MCA-Bench. AAAI 2026.
- Deng et al. (2024). Oedipus. Préprint.
- Qi et al. (2026). VIPERStrike. Accepté à USENIX Security 2026.
- Google, documentation reCAPTCHA v3 ; Cloudflare, documentation Turnstile.