> ## Documentation Index > Fetch the complete documentation index at: https://supastack.dev/llms.txt > Use this file to discover all available pages before exploring further. > For the full documentation corpus in one file, fetch: https://supastack.dev/llms-full.txt # Protection anti-spam Contrôles Turnstile commutables par env sur les formulaires publics et les endpoints d'auth. ## Parcours pas à pas pour débuter Prérequis : Lisez les deux guides pour débutants ci-dessous, terminez la configuration locale du Web et ouvrez ce monorepo à sa racine dans votre éditeur. Les paramètres Web appartiennent à `apps/web/.env.local` ; Next.js ne lit pas la racine `.env`. `/dashboard` dans le mode faux par défaut est une démo sans base de données ; `/auth` nécessite une base de données migrée. Termes rapides : un espace de travail est constitué des utilisateurs, des données et des paramètres distincts d'une équipe. Le serveur est le backend de confiance ; gardez les clés du fournisseur hors du code du navigateur et du téléphone. Une migration est une modification de base de données versionnée qui crée ou met à jour des tables. Un modèle d'IA est le moteur qui répond ; le catalogue de modèles est la liste du serveur des identifiants de modèles et des prix disponibles. Un fournisseur est un service externe tel qu'un service d'IA, de messagerie ou de facturation. Un droit est une subvention qui permet à un espace de travail d'utiliser une fonctionnalité. Un webhook est un message qu'un service envoie au URL d'un autre service. 1. Créez un widget de test Turnstile pour le nom d'hôte local/déployé exact. Dans `apps/web/.env.local`, définissez `CAPTCHA_PROVIDER=turnstile` et `NEXT_PUBLIC_TURNSTILE_SITE_KEY` ; placez `TURNSTILE_SECRET_KEY` uniquement dans le magasin secret du serveur. 2. Redémarrez et soumettez un formulaire de contact test. 3. Attendez-vous à relever le défi et à une réponse réussie et valide. Si chaque requête échoue, comparez le nom d'hôte et la paire de clés ; n’exposez jamais la clé secrète. Pour le code personnalisé, commencez par le `prompts/README.md` fourni et copiez l'invite la plus proche : `prompts/new-app-screen.md` pour un écran d'application ou `prompts/new-landing-page.md` pour une page publique. Pour le travail sur un serveur, une base de données ou un fournisseur, confiez à votre agent de codage la tâche de ce guide et demandez-lui de lire les miroirs `AGENTS.md`, `.ai/PROJECT_CONTEXT.md` et `.ai/` correspondants ; inspectez les fichiers sources exacts nommés ici ; lister les fichiers et les vérifications avant de les modifier ; préserver la propriété de l'espace de travail et les secrets du serveur ; et je vous montre la différence. Indiquez-lui le comportement souhaité, les champs d'entrée et de sortie, les rôles autorisés, les succès et erreurs attendus, ainsi que le compte, le fournisseur ou l'appareil de test. Utilisez des exemples de valeurs ; ne collez jamais un vrai secret. [Avant de commencer](https://supastack.dev/fr/docs/web/before-you-start.md) [Bases du terminal](https://supastack.dev/fr/docs/web/terminal-basics.md) [Configuration locale Web](https://supastack.dev/fr/docs/web/ship-in-5-minutes.md) [Invites de l'agent et mémoire du projet](https://supastack.dev/fr/docs/web/agents.md) ## Activer les deux clés `CAPTCHA_PROVIDER=off` est la valeur par défaut. Choisissez `turnstile`, configurez le nom d’hôte correspondant dans votre application Turnstile et fournissez les deux clés. `NEXT_PUBLIC_TURNSTILE_SITE_KEY` est publique ; `TURNSTILE_SECRET_KEY` est utilisée uniquement par le vérificateur serveur. ``` CAPTCHA_PROVIDER=turnstile NEXT_PUBLIC_TURNSTILE_SITE_KEY=your-site-key # TURNSTILE_SECRET_KEY belongs in the server secret store. ``` ## Conserver les surfaces protégées La protection couvre les formulaires de contact et de newsletter ainsi que les points d’identifiants Better Auth pour la connexion, l’inscription, les codes OTP et la réinitialisation de mot de passe. Elle complète la validation et les limites de débit ; elle ne remplace ni les sessions ni l’autorisation d’espace de travail. ## Vérifier le refus et la reprise Testez un jeton valide, un jeton absent, expiré ou invalide, une panne du vérificateur et une nouvelle tentative après réinitialisation du widget client. Fournissez un message de contrôle humain clair et l’accès au clavier ; examinez la couverture du moteur d’authentification choisi avant d’en changer. [Formulaires protégés](https://supastack.dev/fr/docs/web/project-structure.md) [Différences du moteur d'authentification](https://supastack.dev/fr/docs/web/project-structure.md) ## Configuration et paramètres CAPTCHA_PROVIDER sélectionne le vérificateur : off (le défaut, pour que le développement local reste sans identifiants) ou turnstile. Activer turnstile exige TURNSTILE_SECRET_KEY côté serveur et NEXT_PUBLIC_TURNSTILE_SITE_KEY pour le widget client — le schéma de config fait échouer le démarrage si l'un manque. apps/web/src/captcha.ts compose un vérificateur unique par processus qui poste le token à l'endpoint siteverify de Cloudflare avec un délai de dix secondes et échoue en mode fermé — un token invérifiable n'est jamais pris pour une preuve d'humanité. ``` CAPTCHA_PROVIDER=turnstile TURNSTILE_SECRET_KEY=… # server-only NEXT_PUBLIC_TURNSTILE_SITE_KEY=… Guarded: sign-in/up, OTP send, reset, contact + newsletter forms ``` ## Processus d’implémentation CaptchaWidget (src/captcha-widget.tsx) rend le widget et injecte le champ cf-turnstile-response dans le formulaire parent, tandis que les appels du client auth portent le token dans l'en-tête x-captcha-response. Les actions contact et newsletter vérifient avant d'écrire — un contrôle échoué renvoie status=captcha au lieu de créer un lead. packages/auth monte le plugin captcha de better-auth quand le provider est actif ; CAPTCHA_ENDPOINTS couvre les routes de saisie d'identifiants et d'émission de tokens — sign-in, sign-up, envoi d'OTP, réinitialisation de mot de passe. Les endpoints consommateurs comme check-verification-otp restent hors liste : là, l'OTP ou le token lui-même fait office de preuve. ## Vérification et dépannage Soumettez chaque formulaire protégé avec un token absent puis malformé — les deux doivent échouer en mode fermé. Vérifiez qu'un siteverify injoignable rejette plutôt qu'il ne laisse passer, que provider=off laisse le développement local ouvert, et que le secret n'atteint jamais les bundles client ni les logs. ## Suivant [Console d'administration](https://supastack.dev/fr/docs/web/admin.md)