SecureByRayor

CAPTCHA — démonstration

Le mot n'existe que dans le mouvement. Fige l'image (clic droit → afficher) : elle n'est que du bruit uniforme. Un humain lit ; un simple screenshot échoue.

captcha

L'intégrer sur votre site

Un script, une balise. Le widget est monté dans une iframe : la réponse ne transite jamais par le DOM de votre page.

<script src="https://secure.rayor.fr/captcha.js" async defer></script>

<form method="post" action="/mon-traitement">
  …
  <div class="sbr-captcha" data-sitekey="sbk_votre_cle_de_site"></div>
  <button type="submit">Envoyer</button>
</form>

Le script insère dans le formulaire un champ caché sbr-captcha-response. Attributs disponibles : data-theme (auto|light|dark), data-callback (nom d'une fonction globale appelée avec le jeton).

Vérifier côté serveur — obligatoire

Le {ok:true} rendu au navigateur ne prouve rien : n'importe qui peut le fabriquer. La preuve, c'est ce contrôle serveur-à-serveur, avec votre secret.

curl -s https://secure.rayor.fr/captcha/siteverify \
     -d "secret=sbs_votre_secret" \
     -d "response=$SBR_CAPTCHA_RESPONSE"

→ { "success": true, "challenge_ts": "2026-08-30T12:00:00+00:00", "hostname": "exemple.fr" }
$ok = false;
$r = @file_get_contents('https://secure.rayor.fr/captcha/siteverify', false,
    stream_context_create(['http' => ['method' => 'POST', 'timeout' => 5,
      'header'  => 'Content-Type: application/x-www-form-urlencoded',
      'content' => http_build_query([
        'secret'   => SBR_CAPTCHA_SECRET,
        'response' => $_POST['sbr-captcha-response'] ?? '',
      ])]]));
if ($r) $ok = (bool) (json_decode($r, true)['success'] ?? false);
if (!$ok) { http_response_code(400); exit('Vérification échouée.'); }

Le jeton est à usage unique et vaut 300 secondes. Codes d'erreur : invalid-input-secret, invalid-input-response, timeout-or-duplicate, remoteip-mismatch.

Se connecter pour obtenir une clé Guide d'installation

Ce que ça vaut, honnêtement

C'est une couche de friction, pas une serrure. Le kinématogramme résiste au screenshot et aux OCR naïfs, mais un attaquant qui reconstruit le mouvement (flux optique, quelques lignes de code) le lit. Utilisez-le avec la réputation d'IP, l'identité et la limitation de débit — jamais seul comme unique rempart. Documentation API.