Le formulaire d’inscription et la page de réservation sont protégés contre les robots dès l’installation. Il n’y a rien à configurer. Si du spam passe encore, ajoutez Cloudflare Turnstile, Akismet ou les deux depuis HappenBoard → Integrations.
Les protections déjà en place
Ces contrôles s’appliquent à chaque envoi :
- Un champ piège caché (un « honeypot ») : les visiteurs ne le voient pas, mais les robots qui remplissent tous les champs le remplissent aussi et se trahissent.
- Un horodatage signé : quand le visiteur commence à remplir le formulaire, celui-ci récupère une heure signée par votre site. Un envoi moins de 2 secondes plus tard est traité comme un robot. Un horodatage de plus de 6 heures est refusé, et le formulaire en récupère un nouveau tout seul. Cela fonctionne aussi sur les pages servies par une extension de cache.
- Des limites de fréquence : le formulaire d’inscription accepte 5 envois par minute depuis une même connexion internet, et 3 par heure pour une même adresse e-mail. La page de réservation en accepte 8 par minute et 5 par heure.
- Une seule inscription active par adresse e-mail pour chaque événement, ou chaque date d’un événement récurrent.
Un robot repéré par le champ piège ou par la règle des 2 secondes reçoit une réponse qui ressemble à un succès, mais rien n’est enregistré. Une vraie personne qui atteint une limite voit au contraire un message clair, par exemple pour patienter une minute ou recharger la page.
Ajouter Cloudflare Turnstile
Turnstile est un captcha (un test qui distingue les humains des robots) que la plupart des visiteurs passent sans rien faire. Il ne dépose aucun cookie et ne fait pas appel à Google.
- Dans votre compte Cloudflare, créez un widget Turnstile pour votre domaine et copiez sa clé de site et sa clé secrète.
- Allez dans HappenBoard → Integrations et cliquez sur Configure sur la carte Cloudflare Turnstile.
- Activez Enable Turnstile on public forms.
- Collez la Site key (clé de site) et la Secret key (clé secrète).
- Cliquez sur Save changes.
L’interrupteur couvre le formulaire d’inscription et la page de réservation. Les deux clés sont obligatoires : la carte refuse d’activer Turnstile sans elles.
La clé secrète ne s’affiche plus jamais : quand vous revenez, le champ indique « Saved. Leave blank to keep it ». Saisissez une nouvelle clé seulement pour la remplacer.
Une fois Turnstile activé, le visiteur doit passer le test avant d’envoyer le formulaire. Si Cloudflare est injoignable à ce moment-là, la vérification est ignorée plutôt que de bloquer l’inscription, et les contrôles intégrés s’appliquent toujours.
Ajouter Akismet
Akismet vérifie chaque envoi auprès du service anti-spam que beaucoup de sites WordPress utilisent pour leurs commentaires.
- Allez dans HappenBoard → Integrations et cliquez sur Configure sur la carte Akismet.
- Activez Enable Akismet on public forms.
- Saisissez votre clé dans API key. Si l’extension Akismet est déjà configurée sur votre site, cliquez plutôt sur Use Akismet plugin key.
- Cliquez sur Save changes.
L’interrupteur couvre aussi la page de réservation. Les envois qu’Akismet juge indésirables sont écartés sans un mot, comme avec le champ piège. Si Akismet est injoignable, l’envoi passe.
Vérifier que tout fonctionne
Un envoi bloqué ne laisse aucune trace : ni participant, ni réservation, ni e-mail. Après avoir activé Turnstile ou Akismet, envoyez une fois votre propre formulaire et vérifiez que votre nom apparaît dans l’écran des participants.
Les mentionner dans votre politique de confidentialité
Turnstile charge un script Cloudflare sur les pages qui affichent un formulaire, et votre site envoie l’adresse IP du visiteur à Cloudflare à chaque vérification. Akismet envoie le nom, l’adresse e-mail, l’adresse IP, les informations du navigateur et l’adresse de la page à Automattic. Les deux ont leur place dans votre politique de confidentialité, avec les données personnelles que conserve HappenBoard.
Sites derrière un proxy ou un CDN
Les limites par connexion lisent l’adresse IP du visiteur. Derrière un proxy ou un CDN qui la masque, tous les visiteurs peuvent sembler venir de la même adresse et partager la limite de 5 envois par minute. Si des visiteurs doivent patienter sans raison, demandez à un développeur de transmettre la vraie adresse du visiteur à HappenBoard (voir les hooks participants et inscriptions).
Avec HappenBoard Pro, les mêmes protections couvrent le formulaire de proposition d’événements par les visiteurs et les commandes de billets gratuits.
Pour aller plus loin
- Mettre en place un formulaire d’inscription : le formulaire que ces contrôles protègent.
- Publier la page de réservation : le formulaire de rendez-vous, protégé de la même façon.
- RGPD, données personnelles et désinstallation : ce que vous conservez et partagez sur vos participants.