Protection reCAPTCHA & hCaptcha : installation et aide

Le module peut afficher des widgets Google reCAPTCHA v2, reCAPTCHA v3 ou hCaptcha. Testez chaque formulaire sélectionné avec un jeton valide, un jeton manquant et un jeton invalide : un widget visible ne signifie pas à lui seul que le traitement du formulaire rejette les envois sans jeton valide.

Pour les formulaires natifs de connexion, d’inscription et de newsletter sélectionnés, une réponse CAPTCHA absente ou invalide empêche l’envoi. La désactivation de la protection CAPTCHA laisse l’inscription native disponible.

1. Téléversez et installez le ZIP mprrecaptcha via "Modules" > "Module Manager".
2. Cliquez sur "Configure" pour ouvrir Paramètres CAPTCHA.
3. Sélectionnez "CAPTCHA Provider".
4. Obtenez les clés correspondantes du fournisseur pour le domaine de votre boutique. Collez Clé du site et Clé secrète.
5. Sélectionnez les formulaires sous "Protect Forms".
6. Activez "Enable CAPTCHA Protection" et cliquez sur Enregistrer.
7. Testez des jetons valides, absents et invalides sur chaque formulaire sélectionné. Confirmez que les contrôles échoués empêchent l’opération sous-jacente.

L’interrupteur CAPTCHA est désactivé au départ. L’affichage et la vérification restent inactifs tant que les deux clés principales ne sont pas présentes. Les champs secrets sont masqués dans le formulaire de paramètres. Vous avez besoin de PHP cURL et d’une connexion HTTPS entre votre serveur et le point de vérification du fournisseur.

Par exemple, choisissez v3, sélectionnez "Contact form", "Customer registration" et "Newsletter subscription", puis fixez le seuil à 0.6. Ces paramètres appliquent la protection v3 aux formulaires sélectionnés.

Pour tester le secours v3, sélectionnez v3, utilisez un seuil plus strict comme 0.7, renseignez les deux clés v2 de secours et activez l’interrupteur de secours. Le module enregistre un défi en attente pour le formulaire après un faible score. La tentative suivante utilise la case v2. Un secours réussi efface cet état en attente.

Le module s’affiche via ces hooks de formulaire lorsque votre thème les appelle :

{hook h='displayContactContent'}
{hook h='displayCustomerLoginFormAfter'}
{hook h='displayCustomerAccountForm'}
{hook h='displayNewsletterRegistration'}

Il utilise aussi displayGDPRConsent pour l’emplacement de contact concerné et un injecteur de pied de page pour les formulaires standards reconnaissables. Exemples : #login-form, #customer-form, .block_newsletter form et les contrôles nommés submitMessage, submitLogin ou submitAccount.

Gardez le widget à l’intérieur du formulaire. Ajouter un hook d’affichage ajoute uniquement un widget. Une intégration fonctionnelle de validation côté serveur reste nécessaire.

Vous pouvez cibler .mprrecaptcha-widget, .mprrecaptcha-contact, .mprrecaptcha-registration, .mprrecaptcha-newsletter et .mprrecaptcha-login dans le CSS du thème.

Les scripts des fournisseurs utilisent :

https://www.google.com/recaptcha/api.js
https://www.google.com/recaptcha/api.js?render=YOUR_SITE_KEY
https://js.hcaptcha.com/1/api.js

Les réponses Google utilisent g-recaptcha-response. hCaptcha utilise h-captcha-response. Le secours v3 ajoute mprcaptcha_v2_fallback=1.

Le formulaire de contact natif est vérifié avant l’envoi. Une réponse CAPTCHA incorrecte empêche l’envoi du message.

L’intégration de contact vérifie également submitMessage sur le contrôleur de contact natif pendant actionFrontControllerSetMedia. Si la validation échoue, elle définit le champ honeypot du contact. Testez ce chemin avec votre module de contact installé.

Pour chaque formulaire sélectionné :

1. Envoyez des données valides avec un défi valide et confirmez la réussite.
2. Envoyez sans jeton et confirmez qu’aucun message, connexion, compte ou abonnement n’est créé.
3. Répétez avec un jeton invalide.
4. Testez l’emplacement sur mobile et ordinateur.
5. Si vous utilisez le secours v3, testez la première tentative échouée et la nouvelle tentative réussie avec la case à cocher.

Si les envois invalides réussissent, le traitement du formulaire nécessite un travail d’intégration. Changer de fournisseur ou ajouter un widget ne corrige pas cela.

Aucun réglage prêt à l’emploi n’existe pour la commande, la réinitialisation du mot de passe, les avis ou des formulaires tiers arbitraires. Un développeur peut utiliser renderForForm($formId) et verifyForForm($formId, $token, $ip) pour une intégration personnalisée. Utilisez un identifiant de formulaire stable contenant uniquement des lettres, chiffres, traits de soulignement ou traits d’union. Le traitement du formulaire doit refuser l’opération lorsque la vérification renvoie false. La vérification renvoie true lorsque la protection du module est inactive.

Si un widget est absent, vérifiez les clés, l’activation, les formulaires sélectionnés, les hooks d’affichage, les sélecteurs et les requêtes fournisseur. Si de vrais utilisateurs échouent en v3, examinez le seuil et la réponse du fournisseur. Si la vérification échoue pour tous, vérifiez le domaine/type de clé et l’accès HTTPS/cURL du serveur. Utilisez la page "Integrity" du module pour les contrôles d’installation.

Désactivez "Enable CAPTCHA Protection" et enregistrez pour arrêter l’affichage et la validation CAPTCHA du module. Désinstallez via "Module Manager" pour supprimer son menu et ses paramètres enregistrés.

Nécessite PrestaShop 1.6 ou une version ultérieure et PHP 7.1 ou une version ultérieure.