Ce que fait Simple Cloudflare Turnstile sur vos formulaires
Simple Cloudflare Turnstile, publiée sur wordpress.org sous le nom « Simple CAPTCHA with Cloudflare Turnstile » par Elliot Sowersby et RelyWP, ajoute le widget Turnstile de Cloudflare à vos formulaires : connexion, inscription, mot de passe oublié et commentaires de WordPress, connexion et validation de commande WooCommerce, ainsi que Contact Form 7, WPForms, Gravity Forms, Fluent Forms, Formidable, Forminator, les formulaires d’Elementor Pro et une vingtaine d’autres intégrations. Le navigateur du visiteur charge le script de Turnstile depuis challenges.cloudflare.com ; à l’envoi, votre serveur fait vérifier le jeton obtenu par l’API de Cloudflare avant d’accepter le formulaire.
Turnstile est l’alternative de Cloudflare au CAPTCHA classique : de petits tests JavaScript invisibles évaluent le navigateur, et une case à cocher n’apparaît que si le doute persiste. Le service ne demande pas que votre site passe par Cloudflare. Son offre gratuite couvre jusqu’à 20 widgets et un nombre illimité de vérifications ; il suffit de créer une clé de site et une clé secrète dans le tableau de bord Cloudflare.
L’extension elle-même est entièrement gratuite, sans version payante, et le support passe par le forum de wordpress.org. Ses réglages se trouvent dans Réglages > Cloudflare Turnstile, en trois onglets (« Settings », « Analytics », « Import ») ; la traduction française étant très incomplète, les libellés restent en anglais. Après avoir saisi les clés, un bouton « TEST RESPONSE » vérifie qu’elles fonctionnent : tant que ce test n’est pas réussi, Turnstile n’est ajouté à aucun formulaire.
Pour quels sites Simple Cloudflare Turnstile est un bon choix
- Sites vitrines et blogs qui reçoivent des messages ou des commentaires de robots et veulent un filtre sans puzzle d’images.
- Boutiques WooCommerce visées par les créations de comptes automatiques ou les tests de cartes bancaires sur la page de commande.
- Sites qui subissent des attaques par force brute sur
wp-login.php, en complément d’une limitation des tentatives de connexion. - Sites qui quittent Google reCAPTCHA et veulent garder un plan de secours : l’extension peut basculer vers reCAPTCHA v2 si Cloudflare ne répond plus.
Elle n’est pas le bon choix si vous refusez tout script tiers chargé depuis les serveurs de Cloudflare, ou si votre problème est le spam rédigé par des humains : Turnstile vérifie qu’un navigateur réel est derrière l’envoi, pas le contenu du message. Dans ce cas, un filtre de contenu comme Akismet ou une des méthodes de notre guide anti-spam WordPress répond mieux au besoin.
Points forts et limites de Simple Cloudflare Turnstile
Points forts
- Gratuite de bout en bout. Ni l’extension ni l’offre gratuite de Turnstile ne limitent le nombre de vérifications.
- Beaucoup d’intégrations. Formulaires de WordPress, WooCommerce, une dizaine d’extensions de formulaires, des extensions d’adhésion et de forum se règlent depuis un seul écran.
- Peu de gêne pour les visiteurs. En mode « Interaction Only », le widget reste invisible pour la plupart des visiteurs légitimes.
- Un plan de secours prévu. Le mode « Failsafe » laisse passer les envois ou bascule vers reCAPTCHA v2 quand l’API de Cloudflare est injoignable.
- Des clés hors de la base de données. Les clés peuvent être définies dans
wp-config.phpau lieu d’être enregistrées dans les réglages.
Limites
- Un service externe obligatoire. Chaque page protégée charge un script de Cloudflare, ce qui se mentionne dans votre politique de confidentialité.
- Des paiements express non vérifiés. Sur WooCommerce, certains paiements express (PayPal, Google Pay, Apple Pay, Amazon Pay) échappent à Turnstile.
- Des contournements corrigés en série. En 2026, plusieurs versions ont corrigé des failles qui permettaient d’envoyer un formulaire sans passer le défi.
- Un support sans garantie. L’aide passe par le forum de wordpress.org, et l’auteur précise qu’il ne peut pas répondre à chaque demande.
Les réglages que nous recommandons
Libellés de la version 1.44.5, en anglais dans l’interface. Testez chaque formulaire protégé depuis une fenêtre privée après chaque changement, surtout la connexion : gardez une session d’administration ouverte pendant vos essais.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| « Site Key » et « Secret Key » Réglages > Cloudflare Turnstile > Settings | Clés d’un widget créé pour votre domaine, puis « TEST RESPONSE » | Sans test réussi, aucun formulaire n’est protégé. Option : les définir dans wp-config.php. |
| « Appearance Mode » Settings > Advanced Settings | « Interaction Only » | Le widget ne s’affiche que lorsqu’une action est nécessaire ; « Always » (par défaut) reste visible pour tous. |
| « WordPress Login », « WordPress Register », « WordPress Reset Password » Settings > Default WordPress Forms | Activés | Ce sont les formulaires les plus visés par les robots. |
| « WooCommerce Checkout » Settings > WooCommerce Forms | Activé, puis une commande de test avec chaque moyen de paiement | Bloque les commandes automatisées ; « Payment Methods to Skip » exclut un moyen de paiement qui pose problème. |
| « Logged In Users » Settings > Whitelist Settings | Désactivé (par défaut) | L’extension prévient elle-même qu’un attaquant pourrait contourner Turnstile en se créant un compte. |
| « Enable Failsafe Mode » et « Failsafe Type » Settings > Failsafe Settings | Activé, avec « Fallback to reCAPTCHA » si vous avez des clés reCAPTCHA v2 | Une panne de Cloudflare ne bloque plus votre propre connexion ; « Allow submissions » laisse passer le spam pendant la panne. |
| « Defer Scripts » et « Performance Plugin Compatibility » Settings > Advanced Settings > Performance | Activés (par défaut) | Évitent que le report du JavaScript d’une extension de cache empêche le widget de s’afficher. |
| « Enable Turnstile Analytics » Onglet Analytics | Activé | Compte les vérifications réussies et bloquées par formulaire, sans enregistrer d’adresse IP. |
| « Enable Turnstile Debug Logging » Onglet Analytics | Désactivé, sauf pendant un dépannage | Le journal enregistre l’adresse IP et l’adresse de la page de chaque vérification. |
« Disable Submit Button » bloque le bouton d’envoi jusqu’à la fin du défi. Laissez-le décoché tant que vous n’en avez pas besoin : une erreur, corrigée en 1.42.1, laissait le bouton désactivé sur la page de connexion et pouvait vous empêcher de vous connecter.
- L’écran des réglages confirme, en vert, que Turnstile fonctionne avec vos clés.
- Depuis une fenêtre privée, la connexion, l’inscription et chaque formulaire de contact protégé s’envoient normalement.
- Une commande de test aboutit avec chaque moyen de paiement de la boutique.
- Après quelques jours, l’onglet Analytics montre des envois bloqués sans plainte de vrais visiteurs.
Les failles corrigées de Simple Cloudflare Turnstile
Pour une extension de protection, le risque principal est le contournement : un robot qui envoie le formulaire sans résoudre le défi. Entre septembre et octobre 2026, plusieurs versions ont corrigé ce type de faille, notamment la CVE-2026-39741 (formulaires Contact Form 7 envoyés sans défi, jusqu’à la 1.44.0, corrigée en 1.44.1). La CVE-2026-85116, corrigée en 1.42.3, était plus grave : un visiteur anonyme pouvait faire exécuter n’importe quel code court du site depuis un champ de formulaire Contact Form 7. Plus ancienne, la CVE-2023-5135 était une XSS stockée par le code court de Gravity Forms, réservée aux comptes de contributeur, corrigée en 1.23.2.
L’éditeur traite ces signalements vite, ce qui rend la mise à jour automatique de l’extension indispensable (voir notre guide des mises à jour automatiques des extensions). WP Masquerade Pro retire du code de vos pages le dossier de l’extension et les adresses de ses fichiers, ce qui complique son repérage par les robots qui ciblent ces failles, sans remplacer la mise à jour ; le script de Cloudflare et la classe cf-turnstile restent visibles.
Ce que WP Masquerade masque pour Simple Cloudflare Turnstile
Pro Pris en charge par WP Masquerade Pro uniquement
La version gratuite ne connaît pas les traces propres à Simple Cloudflare Turnstile : sans Pro, seules les balises generator restent retirées, comme pour toute extension.
Version gratuite
Pris en charge par WP Masquerade Pro uniquement
Avec Pro
- nom du dossier
- identifiants de balises
Reste visible
- classes CSS
cf-turnstile - fichiers servis par l’éditeur
challenges.cloudflare.com
Ces traces restent parce que l’extension en a besoin pour fonctionner (scripts, styles, cookies) ou parce qu’elles viennent du serveur.
Questions fréquentes sur Simple Cloudflare Turnstile
Faut-il que mon site passe par Cloudflare ?
Non. Turnstile fonctionne sur n’importe quel site : il faut seulement un compte Cloudflare gratuit pour créer le widget et ses deux clés.
Que se passe-t-il si Cloudflare est en panne ?
Sans mode « Failsafe », les formulaires protégés, y compris la connexion, refusent les envois tant que l’API est injoignable. Avec ce mode, l’extension laisse passer les envois ou affiche reCAPTCHA v2 à la place, selon le « Failsafe Type » choisi.
Le widget n’apparaît pas, que vérifier ?
Vérifiez que le test « TEST RESPONSE » a réussi, que le formulaire est bien coché dans les réglages et que « Performance Plugin Compatibility » est activé si une extension de cache retarde le JavaScript. Videz ensuite le cache de la page.
Une erreur 401 apparaît dans la console du navigateur, est-ce grave ?
Non. Selon l’extension et Cloudflare, il s’agit d’une demande de jeton d’accès privé que votre navigateur ne prend pas encore en charge ; elle n’empêche pas la vérification.