Turnstile et hCaptcha : alternatives à reCAPTCHA et RGPD
Votre site vient de quitter reCAPTCHA pour Turnstile ou hCaptcha, et votre DPO veut savoir si le nouveau CAPTCHA doit passer par le bandeau cookies ? La CNIL donne le critère à la question 17 de sa FAQ : sécurité seule, pas de consentement ; réutilisation des données par le fournisseur, consentement. Sur ces deux services précis, elle n'a rien publié. Il reste leurs propres documents, consultés le 11/10/2026.
Ce que disent les documents des fournisseurs
| Point | Cloudflare Turnstile | hCaptcha |
|---|---|---|
| Société | Cloudflare, Inc., San Francisco | Intuition Machines, Inc., Delaware, adresse postale à Miami |
| Rôle | sous-traitant pour protéger votre site ; responsable de traitement pour les signaux utilisés afin d'améliorer sa détection des robots | sous-traitant pour les données des visiteurs selon son modèle de texte, responsable pour d'autres traitements |
| Données citées | « such as client IP address, TLS Fingerprint, User-Agent Header and Sitekey and associated origin » | mouvements de souris, position de défilement, événements clavier et tactiles, adresse IP, durée de visite |
| Usage propre | « Turnstile never harvests data for ad retargeting » | réponses aux défis utilisées « for use in machine learning applications », non rattachées à une personne identifiée selon hCaptcha |
| Cookies et stockage | pas de liste pour le widget standard ; le guide mobile évoque cookies et stockage local ; cookie cf_clearance seulement avec la pré-autorisation, désactivée par défaut | liste publiée, dont hmt_id et hc_accessibility, cookies jugés « consent-exempt » par hCaptcha, avec une réserve |
| Lieu de traitement | incompatible avec les Regional Services de la Data Localization Suite | États-Unis selon la Privacy Policy ; analyses stockées par défaut dans l'UE selon la page GDPR |
| Transferts | Cloudflare, Inc. inscrite au Data Privacy Framework, statut « Active - Re-certification under Review » au 11/10/2026 | Intuition Machines inscrite au Data Privacy Framework, statut « Active » |
| Offre gratuite | jusqu'à 20 widgets, vérifications illimitées | 10 000 requêtes par mois selon les conditions du 17/11/2025 |
Où se situe la question délicate
Où regarder chez Cloudflare ? Dans l'addendum Turnstile du 18/06/2025, où Cloudflare se dit « a data controller of Signals that we process to improve Turnstile's bot detection capabilities », sur la base de son intérêt légitime. Et chez hCaptcha ? Dans la Privacy Policy du 07/10/2025, selon laquelle les réponses aux défis servent « for use in machine learning applications », puis dans le modèle de mentions fourni aux éditeurs : l'analyse y commence dès que le visiteur entre dans une partie du site où hCaptcha est actif.
S'agit-il d'une « autre finalité » au sens de la CNIL ? À notre connaissance, aucune autorité ne s'est encore prononcée. Combien de pages chargent le script chez vous, et est-il possible de le limiter aux formulaires ? Votre politique de confidentialité nomme-t-elle le fournisseur, ses usages propres et le transfert vers les États-Unis ? Et avez-vous noté par écrit pourquoi vous retenez le consentement ou la stricte nécessité ? Si l'une de ces réponses manque, commencez par là.
Pour Myra EU CAPTCHA, développé et exploité par Myra Security GmbH à Munich, les mêmes questions valent. Pas de cookie, d'après notre documentation, mais une collecte dès le chargement de la page de caractéristiques du navigateur et de l'appareil, mouvements de la souris compris. Myra intervient comme sous-traitant au sens de l'article 28 du RGPD. Pour aller plus loin : reCAPTCHA et RGPD et CAPTCHA et consentement.
Questions fréquentes
Une autorité s'est-elle prononcée sur Turnstile ou hCaptcha ?
Nous n'en avons trouvé aucune au 11/10/2026, ni de la CNIL ni d'une autre autorité européenne. Les critères à appliquer restent ceux de la question 17 de la FAQ de la CNIL : finalité unique de sécurité, ou consentement.
Turnstile nécessite-t-il le CDN de Cloudflare ?
Selon Cloudflare, Turnstile s'utilise de manière indépendante, sans autre service Cloudflare. L'offre gratuite autorise jusqu'à 20 widgets avec un nombre illimité de vérifications.
Sources
- Cloudflare, Turnstile Privacy Addendum (18/06/2025), consulté le 11/10/2026
- Cloudflare, documentation Turnstile, consulté le 11/10/2026
- Cloudflare, Turnstile, mise en œuvre mobile, consulté le 11/10/2026
- Cloudflare, compatibilité de la Data Localization Suite, consulté le 11/10/2026
- Cloudflare, offres Turnstile, consulté le 11/10/2026
- hCaptcha, Privacy Policy (07/10/2025), consulté le 11/10/2026
- hCaptcha, GDPR, consulté le 11/10/2026
- hCaptcha, Terms of Service (17/11/2025), consulté le 11/10/2026
- hCaptcha, FAQ développeurs, consulté le 11/10/2026
- Data Privacy Framework, liste des participants, consulté le 11/10/2026
- CNIL, Cookies et autres traceurs : FAQ (question 17, 29/04/2026), consulté le 11/10/2026