J’ai fait le test sur une dizaine de sites : connecté à un VPN , la case « je ne suis pas un robot » réapparaissait à presque chaque formulaire envoyé. Déconnecté, sur ma connexion habituelle, plus rien pendant des heures. Le déclencheur n’est donc pas le hasard. Le reCAPTCHA de Google attribue à chaque visiteur un score de confiance, et c’est ce score qui décide si vous passez en un clic ou si vous enchaînez les grilles de feux de circulation. Ce score, justement, se travaille.
Le captcha en boucle, ce que ça cache vraiment
Quand la case se transforme en série de trois grilles d’images d’affilée, ce n’est pas un bug. Votre score est passé sous le seuil fixé par le site, et le système vous fait recommencer jusqu’à être convaincu. Sur des plateformes comme Etsy ou Steam, le phénomène explose dès qu’on jongle entre plusieurs comptes ou qu’on enchaîne les actions trop vite. Le bouton audio , longtemps utilisé comme échappatoire, ne sauve plus rien : depuis que des chercheurs ont exploité cette faille, il renvoie quasi systématiquement un « vous êtes peut-être un robot » en quelques secondes. Inutile d’insister dessus, vous perdrez votre temps.
Ce qui fait vraiment grimper la fréquence
Le premier coupable, c’est l’adresse IP partagée. Sur un VPN grand public, des centaines d’utilisateurs sortent par la même IP. Si l’un d’eux a envoyé du spam, vous héritez de sa réputation. Le cas est documenté : sur un VPN commercial, chaque ticket envoyé déclenchait une vérification, alors que la même action depuis une box domestique passait sans aucune. Les VPN gratuits sont les pires, car leurs IP sont massivement recyclées et souvent déjà sur liste noire.
Le mode navigation privée arrive juste derrière. En incognito, le navigateur n’envoie ni cookies ni historique, et ce profil vierge ressemble trait pour trait à celui d’un script automatisé. Même logique pour un poste sous Linux sans compte Google connecté, ou pour un navigateur exotique : moins vous laissez de signaux familiers, plus le système se méfie. Enfin, certaines extensions (bloqueurs de pub agressifs, anti-fingerprint, user-agent switchers) brouillent les en-têtes que reCAPTCHA lit pour vous reconnaître.
Comment réduire ces vérifications sans baisser la garde
On ne peut pas supprimer un captcha imposé par un site tiers. En revanche, on peut redevenir un visiteur « de confiance » aux yeux du système. Voici les leviers qui font baisser la fréquence de façon mesurable.
Restez connecté à votre compte Google
C’est le levier le plus rentable. Un compte Google actif accumule des signaux de confiance qui réduisent nettement les défis. Autorisez aussi les cookies pour google.com et gstatic.com : ce sont eux qui transportent votre validation d’une page à l’autre. Si vous les bloquez, vous repartez de zéro sur chaque site.
Lâchez le VPN sur les sites qui posent problème
Pour les démarches sensibles (formulaire administratif, paiement, création de compte), coupez le VPN le temps de l’opération. Si vous tenez à rester protégé en permanence, basculez sur une IP dédiée : elle coûte en général 2 à 5 € de plus par mois que l’offre standard, mais comme vous êtes seul à l’utiliser, votre réputation ne dépend plus de celle des autres.
Faites le ménage dans vos extensions
Désactivez-les toutes, redémarrez le navigateur, puis réactivez-les une par une en testant après chacune. L’extension qui fait revenir les grilles est votre coupable. Dans la grande majorité des cas, c’est un bloqueur de scripts ou un outil anti-pistage trop zélé.
Évitez l’incognito pour ce qui compte
Gardez la navigation privée pour ce qu’elle fait bien (ne pas laisser d’historique sur un poste partagé) et passez en fenêtre normale, connectée, dès qu’un site exige une vérification. Sur les services liés à Google, vous diviserez le nombre de défis par deux à trois.
Le faux « je ne suis pas un robot » qui installe un virus
Voici le point que personne ne devrait ignorer. Depuis 2024, des pages frauduleuses imitent à la perfection l’interface du captcha pour piéger les internautes. Le scénario, baptisé ClickFix , est toujours le même : la page affiche « vérifiez que vous êtes humain », annonce que la vérification a « échoué », puis vous invite à appuyer sur Windows + R , à coller un texte et à valider.
Ce que vous voyez dans la fenêtre, c’est « I am not a robot – reCAPTCHA Verification ID ». Ce que vous ne voyez pas, c’est la commande PowerShell cachée juste avant, qui télécharge un cheval de Troie. Les souches diffusées par ce biais portent des noms comme Lumma Stealer, SectopRAT ou XenoRAT : elles volent mots de passe et portefeuilles crypto, et certaines activent même le micro et la webcam. HP et le groupe de renseignement sur les menaces de Google ont documenté plusieurs de ces campagnes, dont certaines pilotées par des acteurs étatiques.
La règle de survie tient en une phrase : un vrai captcha ne demande jamais d’ouvrir un terminal, la fenêtre Exécuter, ou de coller quoi que ce soit. S’il vous demande de cocher une case ou de cliquer sur des images, c’est normal. S’il vous demande une manipulation système, fermez l’onglet sur-le-champ. À ne pas confondre non plus avec l’arnaque « je ne suis pas un robot » qui pousse à autoriser les notifications d’un site : là, le danger se limite à une avalanche de pop-up publicitaires, qu’on coupe dans les paramètres de notifications du navigateur.
En pratique
La méthode qui marche tient en cinq minutes : connectez-vous à votre compte Google, autorisez ses cookies, coupez le VPN partagé sur les sites sensibles et désactivez l’extension fautive. Vous ne ferez pas disparaître le captcha, mais vous passerez de « à chaque clic » à « presque jamais ». Et surtout, gardez en tête le seul vrai danger : le jour où une case « je ne suis pas un robot » vous demandera de coller une commande, vous saurez que ce n’est pas Google au bout du fil.
