Ce que fait Advanced Google reCAPTCHA sur votre site
Advanced Google reCAPTCHA, édité par WebFactory Ltd, ajoute un test « êtes-vous humain ? » aux formulaires de WordPress : connexion, inscription, mot de passe oublié et commentaires, ainsi qu’aux formulaires de WooCommerce, d’Easy Digital Downloads et de BuddyPress. La version gratuite propose trois types de test : Google reCAPTCHA v2 (la case à cocher), Google reCAPTCHA v3 (invisible, fondé sur un score) et un captcha mathématique intégré qui ne demande ni clé ni service tiers.
Avec reCAPTCHA, le formulaire charge le script de Google depuis www.google.com/recaptcha, puis l’extension vérifie la réponse auprès de Google avant d’accepter la connexion ou le commentaire. En v3, la version gratuite rejette tout score inférieur à 0,5. L’extension ajoute aussi une limitation des tentatives de connexion, désactivée par défaut, avec un journal des blocages et des échecs de connexion.
Le modèle est freemium. La version payante, WP Captcha PRO, utilise le même dossier d’extension et ajoute hCaptcha, Cloudflare Turnstile, un captcha à icônes, un pare-feu avec listes de blocage dans le cloud, le blocage par pays, la double authentification par e-mail, des liens d’accès temporaires et la personnalisation de la page de connexion. En juin 2026, la version gratuite est passée de 1.35 à 5.39 pour s’aligner sur la numérotation de PRO : ce saut n’est pas une refonte.
Pour quels sites Advanced Google reCAPTCHA est un bon choix
- Blogs envahis de commentaires indésirables : le captcha bloque les robots avant l’enregistrement du commentaire.
- Boutiques WooCommerce ou Easy Digital Downloads qui reçoivent des créations de comptes automatiques : un seul réglage couvre la connexion, l’inscription et, si besoin, la validation de commande.
- Communautés BuddyPress qui veulent filtrer les inscriptions sans extension supplémentaire.
- Petits sites sans budget qui veulent un captcha et une limitation des connexions dans la même extension gratuite.
Ce n’est pas le bon outil pour protéger un formulaire de contact : Contact Form 7, WPForms ou Gravity Forms ne figurent pas dans la liste des formulaires pris en charge, et leur propre réglage de captcha, ou une extension comme Simple Cloudflare Turnstile, s’en charge mieux. Il convient mal aussi à un site qui ne veut pas envoyer de données à Google (l’extension indique elle-même que reCAPTCHA n’est « pas compatible RGPD ») ni à un site qui a déjà une limitation des connexions dans une autre extension de sécurité : deux limitations se gênent.
Points forts et limites d’Advanced Google reCAPTCHA
Points forts
- Trois captchas gratuits. reCAPTCHA v2, reCAPTCHA v3 et un captcha mathématique sans service tiers, au choix selon le site.
- Une couverture large en une extension. Formulaires de WordPress, de WooCommerce, d’Easy Digital Downloads et de BuddyPress, activables un par un.
- Une limitation des connexions incluse. Seuil, période et durée de blocage réglables, avec un journal des blocages et des échecs.
- Des clés testées avant l’enregistrement. Le bouton « Verify Captcha » évite d’enregistrer des clés reCAPTCHA invalides qui bloqueraient la connexion.
Limites
- Pas de formulaires de contact. Seuls les formulaires de WordPress, WooCommerce, Easy Digital Downloads et BuddyPress sont pris en charge.
- Alternatives à Google réservées à PRO. hCaptcha, Turnstile, captcha à icônes et score v3 réglable sont payants.
- Une adresse IP lue sans proxy. L’extension se fie à l’adresse de connexion au serveur : derrière un proxy qui ne transmet pas la vraie adresse, un blocage peut viser l’adresse du proxy.
- Des réglages en anglais. Les libellés des options ne sont pas traduisibles et restent en anglais sur un site en français.
- Plusieurs failles corrigées en 2026. Trois avis de sécurité en 2026, dont deux pour PRO, imposent des mises à jour suivies.
Les réglages d’Advanced Google reCAPTCHA que nous recommandons
L’écran se trouve dans Réglages > Advanced Google reCAPTCHA ; les libellés ci-dessous sont ceux de l’extension, en anglais. Gardez une session d’administrateur ouverte dans un autre navigateur pendant les essais.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| Captcha Captcha > Captcha | « Google reCAPTCHA v3 », ou « Built-in Math Captcha » si vous refusez Google | Le captcha est désactivé par défaut. La v3 ne demande rien au visiteur ; le captcha mathématique n’envoie aucune donnée à un tiers. |
| Captcha Site Key et Captcha Secret Key Même écran | Des clés créées pour la même version de reCAPTCHA, puis « Verify Captcha » | Sans vérification réussie, l’extension n’enregistre pas les réglages du captcha. |
| Login Form, Registration Form, Lost Password Form, Comment Form Captcha > Where To Show | Activés (valeur par défaut) | Ce sont les cibles habituelles des robots ; le réglage de connexion couvre aussi WooCommerce et Easy Digital Downloads. |
| WooCommerce Checkout Form Même écran | Désactivé, sauf vague de commandes frauduleuses | Un captcha au paiement ajoute une étape. Si vous l’activez, passez une commande complète pour tester. |
| Login Protection Login Protection > Basic | Activé, si aucune autre extension ne limite déjà les connexions | Désactivé par défaut. Il bloque une adresse IP après des échecs répétés. |
| Max Login Retries Même écran | Entre 3 (par défaut) et 5 | Assez bas pour gêner les robots, assez haut pour quelques fautes de frappe. |
| Retry Time Period Restriction et Access Lock Length Même écran | 5 et 60 minutes (par défaut) | Un blocage d’une heure freine la force brute sans enfermer longtemps un utilisateur distrait. |
| Show Credit Link Même écran | Désactivé (par défaut) | Ce lien « form protected by » sous le formulaire n’apporte rien à vos visiteurs. |
Avant d’activer Login Protection derrière Cloudflare ou un autre proxy inverse, vérifiez que le serveur reçoit bien l’adresse réelle des visiteurs (voir Cloudflare devant WordPress) ; notre guide pour limiter les tentatives de connexion détaille le choix des seuils.
- Vous vous êtes connecté depuis une fenêtre privée avec le captcha actif.
- Un commentaire de test et une demande de mot de passe oublié passent sans erreur.
- Dans l’onglet Activity, l’adresse IP d’un échec de connexion volontaire est bien la vôtre.
- Votre politique de confidentialité mentionne reCAPTCHA si vous utilisez Google.
Les failles corrigées d’Advanced Google reCAPTCHA
WPScan et Patchstack recensent six failles corrigées, toutes de gravité faible à moyenne pour la version gratuite :
- CVE-2024-12034 : un robot bloqué pouvait débloquer lui-même son adresse IP, corrigé en 1.26.
- CVE-2025-1262 : contournement du captcha mathématique, corrigé en 1.28.
- CVE-2025-2074 : injection SQL limitée avec un compte d’abonné, corrigée en 1.30.
- CVE-2026-5411 et CVE-2026-5415 : envoi de fichiers arbitraires et contournement de l’authentification par un abonné dans WP Captcha PRO, corrigés en 5.39. L’éditeur précise que la version gratuite n’était pas touchée.
- CVE-2026-100518 : contournement de la protection de connexion sans authentification, corrigé en 5.41.
Le geste utile : activer les mises à jour automatiques de l’extension, et sur PRO vérifier que la licence reçoit bien les nouvelles versions. Masquer l’extension avec WP Masquerade Pro, qui retire son dossier et l’identifiant de ses scripts des pages, complique son repérage par les robots qui ciblent ses failles, mais le script de Google reste visible et ce n’est pas un correctif.
Ce que WP Masquerade masque pour Advanced Google reCAPTCHA
Pro Pris en charge par WP Masquerade Pro uniquement
La version gratuite ne connaît pas les traces propres à Advanced Google reCAPTCHA : sans Pro, seules les balises generator restent retirées, comme pour toute extension.
Version gratuite
Pris en charge par WP Masquerade Pro uniquement
Avec Pro
- nom du dossier
- identifiants de balises
Reste visible
- fichiers servis par l’éditeur
www.google.com/recaptcha
Ces traces restent parce que l’extension en a besoin pour fonctionner (scripts, styles, cookies) ou parce qu’elles viennent du serveur.
Questions fréquentes sur Advanced Google reCAPTCHA
Faut-il choisir reCAPTCHA v2 ou v3 ?
La v3 est invisible et ne gêne pas les visiteurs, mais la version gratuite fixe le score minimal à 0,5. La v2 affiche une case à cocher, plus visible, souvent utile si des robots passent la v3. Les clés de Google sont propres à chaque version.
Advanced Google reCAPTCHA est-il compatible avec le RGPD ?
Avec reCAPTCHA, des données du visiteur partent vers Google, et l’extension signale elle-même ces deux options comme non compatibles RGPD. Le captcha mathématique intégré n’utilise aucun service tiers ; notre article sur le RGPD et les journaux de sécurité aide pour la limitation des connexions, qui enregistre des adresses IP.
Je suis bloqué après trop d’échecs, comment rentrer ?
Sur l’écran de blocage, saisissez l’adresse e-mail d’un administrateur : un lien de déblocage valable une heure y est envoyé, trois fois par heure au plus. Sinon, renommez le dossier wp-content/plugins/advanced-google-recaptcha par FTP pour désactiver l’extension.
L’extension protège-t-elle mon formulaire de contact ?
Non : elle couvre la connexion, l’inscription, le mot de passe oublié, les commentaires et les formulaires de WooCommerce, d’Easy Digital Downloads et de BuddyPress. Pour un formulaire de contact, utilisez le captcha de l’extension de formulaire ou une solution de notre page anti-spam WordPress.