Formulaire anti-robots

LE CHAMP PIÈGE

Hors de l'écran, sauté au clavier, ignoré des lecteurs d'écran. Seuls les robots le remplissent.

<div class="piege" aria-hidden="true">
  <label for="site">Ne pas remplir</label>
  <input id="site" name="site" tabindex="-1" autocomplete="off">
</div>
<input type="hidden" name="ouvert" value="">   <!-- l'heure d'ouverture, remplie au chargement -->

CÔTÉ SERVEUR : UNE ROUTE NEXT.JS

app/api/contact/route.ts : c'est ici que tout se décide.

const envois = new Map();                    // adresse IP vers liste d'horaires
export async function POST(req) {
  const d = await req.formData();
  const ip = req.headers.get('x-forwarded-for') ?? 'inconnue';

LES PIÈGES

On répond « ok » au robot : inutile de lui dire ce qui l'a trahi.

  if (d.get('site')) return Response.json({ ok: true });
  if (Date.now() - Number(d.get('ouvert')) < 3000) return Response.json({ ok: true });

LA LIMITE D'ENVOIS

Trois messages par minute et par adresse, pas plus.

  const recents = (envois.get(ip) ?? []).filter(t => Date.now() - t < 60000);
  if (recents.length >= 3) return Response.json({ erreur: 'Trop d\'envois' }, { status: 429 });
  envois.set(ip, [...recents, Date.now()]);

VALIDER À NOUVEAU, PUIS ENVOYER

Le navigateur a déjà vérifié, mais on ne fait jamais confiance au client.

  const mail = String(d.get('mail') ?? '');
  if (!/^[^\s@]+@[^\s@]+\.[^\s@]{2,}$/.test(mail)) return Response.json({ erreur: 'E-mail invalide' }, { status: 400 });
  await envoyerMail({ a: process.env.CONTACT_TO, de: mail, texte: String(d.get('msg')).slice(0, 2000) });
  return Response.json({ ok: true });
}