Alternative à Akismet : une protection antispam qui ne quitte pas votre site

Akismet se trouve dans chaque installation neuve de WordPress, avant même que vous installiez votre premier plugin. Et il fonctionne : le taux de détection est bon, la mise en route prend deux minutes, la zone de commentaires reste propre. Il y a de bonnes raisons pour que ce plugin soit la norme depuis des années.

Deux choses gênent malgré tout. D'abord, chaque commentaire et chaque message de formulaire quitte votre site : le texte complet part vers un serveur tiers pour être analysé, avec l'adresse IP et l'adresse e-mail de l'expéditeur. Ensuite, l'usage commercial exige une licence payante, ce que beaucoup ne remarquent qu'après la première relance. Qui exploite un site d'entreprise avec la formule gratuite se place hors des conditions de licence.

Cet article trie les alternatives, explique comment une protection antispam sans nuage fonctionne techniquement, et nomme les endroits où les procédés locaux font moins bien qu'un service dans le nuage.

Tous les prix sont hors taxes et donnés en ordre de grandeur, à la mi-août 2026. Les fournisseurs changent souvent de tarifs, alors vérifiez la page de prix en vigueur avant de décider.

Ce qui coince pour les utilisateurs d'Akismet

1. Chaque envoi quitte votre site

Pour qu'Akismet puisse évaluer un commentaire, il doit le connaître. Ce qui est transmis n'est donc pas une simple somme de contrôle, mais le contenu lui-même : texte du commentaire, nom, adresse e-mail, site indiqué, adresse IP, agent utilisateur et page consultée. La même chose vaut pour les formulaires de contact dès que vous activez la liaison avec Akismet. C'est techniquement compréhensible, car sans texte pas d'évaluation de texte. Mais cela signifie que les messages que quelqu'un vous écrit en confiance atterrissent d'abord chez un prestataire.

2. L'usage commercial exige une licence payante

La formule gratuite d'Akismet vise les sites personnels et non commerciaux. Dès qu'un site affiche de la publicité, porte une boutique ou a simplement une entreprise derrière lui, l'usage relève d'une formule payante. L'ordre de grandeur pour un site commercial isolé tourne autour de 120 euros par an, à la mi-août 2026. Ce n'est pas un prix injuste pour un outil qui travaille tous les jours. Le désagréable, c'est que beaucoup d'exploitants ignorent la frontière et reçoivent la facture comme une surprise.

3. Comment fonctionne une protection locale

Qui veut éviter le nuage a besoin de procédés qui se passent d'un savoir extérieur. Trois briques portent l'essentiel du travail :

Les champs honeypot sont des champs de saisie présents dans le formulaire mais masqués par CSS. Une personne ne les voit pas et les laisse vides. Un robot lit le formulaire dans le HTML et remplit sagement tout ce qu'il trouve. Si le champ invisible est rempli, l'expéditeur est automatisé avec une très forte probabilité.

Les pièges temporels mesurent le temps écoulé entre l'affichage de la page et l'envoi du formulaire. Une personne met au moins quelques secondes à rédiger un message de contact. Les robots remplissent les formulaires en millisecondes, parce qu'ils ne lisent pas le contenu, ils peuplent seulement les champs. Un envoi au bout de 400 millisecondes n'est pas un client.

L'analyse de motifs et d'heuristiques regarde le contenu lui-même : rapport entre liens et texte, caractères cyrilliques au milieu d'une phrase en français, formules publicitaires typiques, messages identiques venant d'expéditeurs changeants, champs remplis dans un ordre qu'aucun navigateur ne produit. Chaque signal pris isolément est faible. Additionnés, ils donnent une décision solide, et cela entièrement sur votre propre serveur.

Les cinq alternatives

Antispam Bee : le classique allemand

Antispam Bee est depuis de longues années la réponse évidente à la question Akismet dans l'espace germanophone : gratuit, GPL, sans compte obligatoire et travaillant en grande partie en local. Le plugin combine heuristiques, contrôle de langue et comparaisons facultatives, mais garde l'analyse sur votre installation en fonctionnement normal. Pour le spam de commentaires, la détection est solide et amplement suffisante pour la plupart des blogs.

La limite tient au périmètre : Antispam Bee s'occupe des commentaires et des rétroliens. Il ne couvre ni les formulaires de contact, ni les inscriptions d'utilisateurs, ni les processus WooCommerce comme les avis ou les notes de commande. Qui reçoit du spam non seulement sous ses articles mais aussi dans sa boîte mail a besoin d'autre chose à côté.

CleanTalk : forte détection, mais dans le nuage

CleanTalk fait partie des services aux meilleurs taux de détection du marché, et bien au-delà des commentaires : formulaires, inscriptions, processus de boutique. Cela vient de la même mécanique que chez Akismet, à savoir une base de données centrale qui voit des signaux venant d'un très grand nombre de sites en même temps.

Le prix à payer est le même qu'avec Akismet : l'analyse se déroule dans le nuage. Il vous faut un contrat de sous-traitance, une entrée dans le registre des activités de traitement et un passage dans la politique de confidentialité. S'y ajoutent les quotas de requêtes de la formule, qui se font sentir sur un site à fort trafic. CleanTalk est le bon choix quand le taux de détection prime sur tout le reste.

Cloudflare Turnstile : un captcha sans énigme d'images

Turnstile est la réponse légère au problème du captcha : pas de feux tricolores, pas de vélos, pas de lettres déformées. En règle générale, le visiteur ne voit qu'une brève coche et l'évaluation se fait en arrière-plan. Pour l'utilisabilité, c'est un net progrès par rapport aux énigmes d'images.

Deux réserves demeurent. Premièrement, vous déplacez à nouveau l'analyse vers un service américain : la question de la protection des données n'est donc pas réglée, elle a seulement déménagé. Deuxièmement, Turnstile protège l'acte d'envoi, pas le contenu. Il distingue le robot de l'humain, mais pas le texte publicitaire de la demande réelle. Une personne payée pour taper du spam passe.

reCAPTCHA : répandu et contesté

Le reCAPTCHA de Google est le procédé le plus connu et se trouve dans d'innombrables formulaires. Il détecte les robots de façon fiable et ne coûte rien aux volumes habituels. En contrepartie, il est soumis au consentement, parce que des données personnelles partent vers Google avant même l'analyse, ce qui l'oblige à figurer dans la bannière de consentement et le lie à une acceptation active.

S'y ajoute l'accessibilité : l'alternative audio fonctionne, mais elle est pénible, et les personnes utilisant un lecteur d'écran ou ayant des limitations motrices échouent bien plus souvent que la moyenne. Nous consacrons un article séparé aux captchas et à l'accessibilité. Pour un formulaire de contact censé rapporter des demandes, chaque obstacle supplémentaire est une demande perdue.

Wellenbrecher : une analyse locale pour tout le site

C'est notre propre plugin, donc ici à visière levée. Wellenbrecher est un antispam local-first pour WordPress et protège commentaires, formulaires, inscriptions et WooCommerce. L'analyse se déroule sur votre propre serveur : pas de nuage, pas de contrat de sous-traitance à signer, pas de quota de requêtes, et l'usage commercial est libre.

Cela referme exactement l'écart laissé ouvert entre les options précédentes. Antispam Bee travaille en local mais ne couvre que les commentaires. CleanTalk couvre tout mais analyse dans le nuage. Wellenbrecher réunit les deux : le même périmètre, sans fuite de données. Membre de la flotte hafenstudios, il s'entend avec Leadlotse comme source de formulaires, si bien que les formulaires de contact sont protégés sans configuration supplémentaire. Si vous mettez justement de l'ordre du côté des formulaires, notre comparatif des alternatives à Contact Form 7 est l'article voisin qui convient.

Les prix : Free ne coûte rien. Pro est à 19 euros par an pour un site, et la licence flotte couvre 10 sites pour 69 euros. Wellenbrecher figure dans le répertoire WordPress depuis le 21 août 2026 et son niveau Free s'utilise gratuitement, y compris en usage commercial. Tous les niveaux sont sur la page des tarifs. Pour situer : Akismet se situe autour de 120 euros par an en usage commercial, tandis que CleanTalk et les services comparables analysent dans le nuage et limitent les requêtes. Les deux chiffres à la mi-août 2026, sans garantie que les fournisseurs s'y tiennent la semaine prochaine.

Tableau comparatif

RGPD : une lecture, pas un conseil juridique

D'abord, parce que c'est important : ce qui suit est notre lecture de développeurs, pas un conseil juridique. Pour une appréciation qui engage sur votre site précis, adressez-vous à quelqu'un qui en a le titre.

La différence entre analyse locale et analyse dans le nuage n'est pas un détail en droit des données, c'est le cœur du sujet. Avec une analyse dans le nuage, vous transmettez, pour chaque commentaire et chaque message de formulaire : le texte intégral, le nom et l'adresse e-mail de l'expéditeur, son adresse IP, l'agent utilisateur et l'URL consultée. L'adresse IP et l'adresse e-mail sont des données personnelles, le texte du message peut l'être aussi, et il l'est presque toujours pour les demandes de contact.

Trois conséquences pratiques en découlent. D'abord, il vous faut un contrat de sous-traitance avec le prestataire et une entrée dans le registre des activités de traitement. Ensuite, le transfert doit figurer dans la politique de confidentialité, avec le nom du prestataire, la finalité et le pays destinataire. Enfin, pour les prestataires hors de l'Union européenne, le transfert hors UE doit être documenté, ce qui représente un travail d'analyse et de justification supplémentaire.

Si l'analyse se déroule en revanche sur votre propre serveur, tout ce bloc disparaît. Il n'y a pas de destinataire, donc pas de contrat, pas de transfert et pas de paragraphe à expliquer dans la politique de confidentialité. C'est le véritable avantage des procédés locaux, et dans la pratique il pèse plus lourd que n'importe quel point de pourcentage de taux de détection.

Là où l'analyse locale atteint ses limites

Un contre-argument honnête fait partie du tableau, sinon la comparaison n'en est pas une. Une analyse locale ne dispose d'aucune réputation à l'échelle d'un réseau. Quand une vague de spam frappe des milliers de sites en même temps, un service dans le nuage voit ce motif après les premières centaines de coups et bloque ensuite partout. Votre installation ne voit que ce qui arrive chez vous et doit se forger un jugement seule.

Les procédés locaux compensent par des heuristiques, des pièges temporels et des honeypots, et cela porte étonnamment loin au quotidien, parce que la plupart des robots échouent aux contrôles mécaniques avant même que le contenu soit évalué. Face à des motifs tout neufs, ils restent en revanche plus lents qu'un réseau qui observe des millions de pages à la fois.

Une note sur l'état actuel : la version Free est disponible dans le répertoire WordPress et s'utilise aussi en contexte commercial. Si vous voulez d'abord voir ce qu'une analyse purement locale attrape sur votre site, l'essai ne vous coûte que l'installation.

Questions fréquentes