Cloudflare Turnstile

Renforcez la sécurité de l’inscription avec Cloudflare Turnstile pour vérifier le trafic humain.

Cloudflare Turnstile peut être activé pour réduire les inscriptions automatisées et les abus scriptés. Lorsqu’il est activé, le formulaire d’inscription inclut une vérification Turnstile et valide le jeton résultant côté serveur.

L’implémentation reste généralement invisible. Turnstile s’exécute en arrière-plan et ne devient interactif que lorsque Cloudflare exige une vérification supplémentaire.

La détection des bots ne peut pas être précise à 100 %. Turnstile fournit une atténuation de base des bots, pas une garantie. L’automatisation assistée par IA et les services avec intervention humaine rendent les abus de plus en plus difficiles à contrôler complètement. Cloudflare documente l’approche de Turnstile ici : Documentation Cloudflare Turnstile.

Vérification supplémentaire requise

Comment cela fonctionne

1. Lorsque le formulaire d’inscription se charge, Turnstile s’exécute en arrière-plan.

2. Lorsque le formulaire est envoyé, Turnstile peut demander une vérification interactive.

3. The Wallet Crew valide le jeton Turnstile côté serveur avant d’accepter l’inscription.

Configuration

La configuration nécessite un widget Turnstile dans Cloudflare et les clés du widget. The Wallet Crew utilise la clé du site et la clé secrète pour valider les soumissions d’inscription.

1

Créer et configurer un widget Turnstile dans Cloudflare

Créez un widget Turnstile dans le tableau de bord Cloudflare. Cloudflare fournit une clé du site (publique) et une clé secrète (privée) pour chaque widget.

• Guide officiel de configuration : Cloudflare Turnstile « Commencer »

• Point d’accès au tableau de bord Cloudflare : dash.cloudflare.com (puis ouvrez Turnstile)

La configuration par défaut est généralement suffisante. Veuillez consulter l’équipe informatique de la marque pour tout ajustement supplémentaire.

2

Récupérer la clé du site et la clé secrète

Dans Cloudflare, ouvrez la configuration du widget et copiez :

• clé du site

• clé secrète

Ces valeurs sont requises dans le Back Office de The Wallet Crew.

3

Activer Turnstile dans The Wallet Crew

Demandez à l’équipe The Wallet Crew d’activer l’extension Cloudflare Turnstile pour le locataire.

Ouvrez ensuite la page des paramètres du Back Office et collez les clés :

Paramètres Turnstile

Paramètres Turnstile dans le Back Office.

Notes

Turnstile est généralement invisible car il s’exécute en arrière-plan. Une vérification interactive n’est affichée que lorsque Cloudflare signale la session comme présentant un risque plus élevé.

La validation du jeton est toujours effectuée côté serveur par The Wallet Crew lorsque l’extension est activée.

Limites et attentes

Turnstile améliore la protection de base, mais ne « résout » pas les bots. Les abus automatisés évoluent rapidement et reposent souvent sur des outils assistés par IA, des proxys résidentiels et des services avec intervention humaine. Cela rend la détection parfaite des bots irréaliste pour la plupart des flux d’inscription publics.

Cloudflare présente Turnstile comme une alternative sans friction aux CAPTCHA, et non comme une garantie que chaque bot sera bloqué. Combinez Turnstile avec d’autres contrôles lorsque l’inscription est critique pour l’activité.

Documentation officielle : Documentation Cloudflare Turnstile

Cookie de défi

Après une vérification Turnstile réussie, l’application peut définir un cookie de sécurité à durée de vie courte. Cela conserve l’état de protection contre les bots entre les requêtes et réduit les défis Turnstile répétés pendant la même session d’inscription.

Comment fonctionne ce cookie :

1. Le client soumet le formulaire d’inscription avec un jeton Turnstile valide.

2. Le serveur valide ce jeton auprès de Cloudflare.

3. Si la validation réussit, le serveur émet un cookie de preuve signé.

4. Lors des prochaines requêtes liées à l’inscription, le serveur vérifie ce cookie.

5. Si le cookie est toujours valide, le serveur peut ignorer une nouvelle vérification Turnstile pendant ce court intervalle.

Ce comportement est configurable dans le Back Office :

• La validité du cookie est définie en secondes, la valeur courante est de 600 secondes (10 minutes)

• Lorsqu’il est désactivé, le serveur n’émet pas ce cookie et une vérification Turnstile est requise pour chaque chemin de soumission.

Exigence légale : cookie de sécurité

Ce cookie doit figurer dans la politique de cookies (souvent sous « strictement nécessaires » / « cookies de sécurité »).

• Nom du cookie : neo.<tenantId>.turnstile-proof où <tenantId> est l’identifiant du locataire de The Wallet Crew

• Objectif : conserver l’état de protection contre les bots entre les requêtes et éviter les défis Turnstile répétés

• Catégorie : cookie de sécurité (généralement considéré comme strictement nécessaire)

• Durée de vie : configurable (secondes). Réglez sur 0 pour désactiver.

• Portée : soumission du formulaire d’inscription

• Attributs techniques :

  • HttpOnly

  • Secure

  • SameSite=Lax

  • Path=/

Ce cookie est utilisé uniquement pour la sécurité et la prévention de la fraude, et non pour l’analyse ou le marketing.

FAQ

Turnstile affiche-t-il toujours un défi de type CAPTCHA ?

Non. Turnstile s’exécute souvent en arrière-plan. Un widget interactif n’est affiché que lorsque Cloudflare exige une vérification supplémentaire.

Turnstile suffit-il à bloquer complètement les bots ?

Non. Turnstile fournit une atténuation de base des bots, mais il n’est pas parfait. Les abus modernes peuvent utiliser une automatisation assistée par IA, des réseaux de proxys et une résolution avec intervention humaine.

La documentation officielle de Cloudflare couvre l’objectif et le comportement de Turnstile : Documentation Cloudflare Turnstile.

Quelles clés sont nécessaires de la part de Cloudflare ?

The Wallet Crew nécessite le widget Turnstile clé du site et la clé secrète.

Cloudflare explique ici comment créer un widget et récupérer ces valeurs : Turnstile « Commencer ».

Que se passe-t-il si le jeton Turnstile est manquant ou invalide ?

Lorsque l’extension est activée, la soumission d’inscription n’est acceptée que lorsqu’un jeton Turnstile valide est reçu et vérifié avec succès côté serveur. Les jetons invalides, expirés ou manquants sont considérés comme des soumissions non légitimes.

Comment tester que Turnstile est correctement configuré ?

Une validation rapide consiste à soumettre le formulaire d’inscription depuis une session de navigateur normale et à confirmer qu’il se termine sans friction. Une deuxième validation consiste à ouvrir le même flux dans un contexte plus strict (navigation privée, cookies tiers désactivés, VPN ou outils d’automatisation) et à confirmer que Turnstile se comporte toujours comme prévu.

Cloudflare documente les modèles de test recommandés et les étapes d’intégration dans le guide de configuration : Turnstile « Commencer ».

Quel domaine doit être configuré dans le widget Cloudflare ?

Ajoutez le domaine personnalisé qui héberge le formulaire d’inscription.

Cela se configure dans les paramètres du widget Turnstile dans Cloudflare. Le guide de configuration de Cloudflare couvre les détails de configuration du widget : Turnstile « Commencer ».