Ferme de CAPTCHA

Lorsqu'un client automatisé rencontre un CAPTCHA qu'il ne peut pas résoudre, il transmet le challenge à un service de résolution via une API. Le service renvoie la réponse, que le bot soumet comme s'il l'avait résolue lui-même. Ce découplage signifie que le bot n'a jamais besoin de comprendre le casse-tête ; il lui suffit de le relayer et de payer pour la réponse.

Les fermes à travailleurs humains acheminent les challenges vers des travailleurs qui les résolvent manuellement pour une fraction de centime chacun, souvent dans des opérations à fort volume. Les fermes automatisées utilisent au contraire des modèles d'apprentissage automatique et des solveurs spécialisés devenus de plus en plus performants, en particulier pour les casse-tête d'image et de texte. De nombreux services mêlent les deux approches, n'escaladant vers les humains que lorsque l'automatisation échoue.

Comme la résolution est tarifée par challenge, l'économie favorise l'attaquant dès lors que la valeur extraite par requête réussie dépasse la petite redevance de résolution. C'est pourquoi les CAPTCHAs à eux seuls arrêtent rarement un abus déterminé et bien financé : ils imposent un coût, mais un coût borné et souvent abordable, plutôt qu'une barrière technique dure.

L'existence des fermes de CAPTCHA est l'argument central en faveur d'une détection qui ne dépend pas d'un challenge résoluble. Si l'automatisation sous-jacente peut être identifiée à partir de son environnement, de son comportement et de son contexte réseau, alors sous-traiter la réponse du casse-tête n'aide pas l'attaquant, car la session a déjà été reconnue comme automatisée avant même que le challenge ne soit présenté.