Back-end : envoyez le même corps JSON en POST vers …/humanproof/verify. La réponse inclut status, suggestedAction, reasonCode et accept (booléen — true uniquement si la soumission doit être traitée comme vérifiée). Uniquement depuis votre serveur — jamais secretKey dans le navigateur.
Certains formulaires exigent le champ hostname à la vérification (il doit correspondre à boundHost dans le payload client — l’hôte utilisé lors de la demande de challenge). Si requireVerifyHostname est activé, l’absence de hostname renvoie reasonCode HOSTNAME_REQUIRED. 127.0.0.1 et localhost diffèrent ; autorisez-les tous deux dans hostnames ou alignez l’URL du site et data-challenge-hostname avec le corps de verify.
Les URL script/API suivent la configuration (prod : api.agenthouse.org ; humanproof.publicSdkBase pour le dev).
Si le SDK doit récupérer une challenge et résoudre le proof-of-work à l’envoi, il déclenche sur window le CustomEvent humanproof.securingForm (detail : form, siteKey, formId) pour l’indicateur de progression. Quand la sécurisation est terminée et la preuve signée est jointe — juste avant l’envoi natif — il déclenche sur le formulaire agenthouse_humanproof_verified_submit (bubbles ; detail : form, siteKey, formId, métadonnées proof). L’événement signifie seulement une sécurisation client réussie ; votre backend doit toujours appeler verify. En cas d’échec : humanproof-error sur le formulaire.
window.addEventListener('humanproof.securingForm', function (e) {
/* e.detail.form, siteKey, formId */
});
form.addEventListener('agenthouse_humanproof_verified_submit', function (e) {
/* e.detail.form, siteKey, formId, proof.challengeId, proof.proof, … */
});
Par défaut, le SDK verrouille le formulaire (input, select, textarea, button — tout ce qui n'est pas déjà désactivé) pendant qu'il récupère la challenge et résout le proof-of-work. Le formulaire reçoit data-humanproof-securing=1 et aria-busy=true pour le style et l'accessibilité, et est déverrouillé juste avant l'envoi (ou immédiatement en cas d'erreur). Désactivable au niveau du script avec data-lock-while-securing=false, ou par formulaire avec data-humanproof-lock-while-securing=false.
Le proof-of-work nécessite d’abord une challenge serveur. Optionnel : data-prefetch-challenge-delay-ms sur le script (ms après chargement) pour récupérer la challenge et résoudre en arrière-plan ; à l’envoi la preuve est réutilisée si encore valide. data-prefetch-expiry-margin-ms impose ce TTL restant avant réutilisation (décalage d’horloge). Par formulaire : data-humanproof-prefetch-challenge-delay-ms et data-humanproof-prefetch-expiry-margin-ms.
HTML
HTML multi-formulaires
Node.js
PHP
Python
<form id="contact-form" data-humanproof="YOUR_FORM_ID">
<label>Email <input type="email" name="email" required></label>
<button type="submit">Send</button>
</form>
<script
src="https://api.agenthouse.org/humanproof/humanproof.js"
data-site-key="YOUR_PUBLIC_SITE_KEY"
data-powered-by="true"
data-endpoint="https://api.agenthouse.org/humanproof"
data-prefetch-challenge-delay-ms="2500"
data-prefetch-expiry-margin-ms="15000"
></script>
<form id="a" data-humanproof="form-a">...</form>
<form id="b" data-humanproof="form-b">...</form>
<script
src="https://api.agenthouse.org/humanproof/humanproof.js"
data-site-key="YOUR_PUBLIC_SITE_KEY"
data-powered-by="true"
data-endpoint="https://api.agenthouse.org/humanproof"
data-prefetch-challenge-delay-ms="2500"
data-prefetch-expiry-margin-ms="15000"
></script>
const verifyUrl = 'https://api.agenthouse.org/humanproof/verify';
const secretKey = ''; // set from your secrets store before use
const payload = JSON.parse(formFields.humanproof);
const body = { secretKey, ...payload };
if (typeof body.hostname !== 'string' || !body.hostname.trim()) {
if (typeof body.boundHost === 'string' && body.boundHost.trim()) {
body.hostname = body.boundHost.trim();
}
}
const result = await (await fetch(verifyUrl, {
method: 'POST',
headers: { 'Content-Type': 'application/json' },
body: JSON.stringify(body)
})).json();
if (!result.accept) return; // do not process as a verified submit
<?php
$url = 'https://api.agenthouse.org/humanproof/verify';
$secret = ''; // set from your server secret store before use
$payload = json_decode($_POST['humanproof'], true);
$body = array_merge(['secretKey' => $secret], $payload);
if (empty($body['hostname']) && !empty($body['boundHost'])) {
$body['hostname'] = $body['boundHost'];
}
$ch = curl_init($url);
curl_setopt_array($ch, [
CURLOPT_POST => true,
CURLOPT_HTTPHEADER => ['Content-Type: application/json'],
CURLOPT_POSTFIELDS => json_encode($body),
CURLOPT_RETURNTRANSFER => true,
]);
$out = curl_exec($ch);
$result = json_decode($out, true);
// if (empty($result['accept'])) { return; }
?>
import json
import urllib.request
VERIFY_URL = "https://api.agenthouse.org/humanproof/verify"
def verify_humanproof(secret_key: str, payload: dict) -> dict:
body = {"secretKey": secret_key, **payload}
if not (isinstance(body.get("hostname"), str) and body["hostname"].strip()):
bh = body.get("boundHost")
if isinstance(bh, str) and bh.strip():
body["hostname"] = bh.strip()
req = urllib.request.Request(
VERIFY_URL,
data=json.dumps(body).encode("utf-8"),
headers={"Content-Type": "application/json"},
method="POST",
)
with urllib.request.urlopen(req, timeout=30) as resp:
r = json.load(resp)
# if not r.get("accept"): return
return r
