Bloquez les bots.
Sans que vos
utilisateurs s'en aperçoivent.

// Validation côté client — utile dans les SPA avant l'envoi au backend.
// Pour une vraie protection, vérifiez TOUJOURS aussi côté serveur.
async function mcaptcha(token) {
    const url = 'https://medel.es/api/captcha/verify?token=' + encodeURIComponent(token);
    const data = await fetch(url).then(r => r.json());
    return data.ok === true;
}

// Utilisation dans un formulaire :
document.querySelector('form').addEventListener('submit', async (e) => {
    e.preventDefault();
    const fd = new FormData(e.target);
    const token = fd.get('mcaptcha_token');

    if (!(await mcaptcha(token))) {
        alert('Captcha échoué');
        return;
    }

    // ✅ Captcha vérifié. Envoyez au backend.
    await fetch('/api/contact', { method: 'POST', body: fd });
});

async function mcaptcha(token) {
    const url = 'https://medel.es/api/captcha/verify?token=' + encodeURIComponent(token);
    const data = await fetch(url).then(r => r.json());
    return data.ok === true;
}

// Utilisation (Express) :
const token = req.body.mcaptcha_token;

if (!(await mcaptcha(token))) {
    return res.status(400).send('Captcha échoué');
}

// ✅ Captcha vérifié. Traitez le formulaire.

import urllib.request, urllib.parse, json

def mcaptcha(token):
    url = 'https://medel.es/api/captcha/verify?' + urllib.parse.urlencode({'token': token})
    with urllib.request.urlopen(url, timeout=5) as r:
        return json.loads(r.read()).get('ok') is True

# Utilisation (Flask) :
token = request.form.get('mcaptcha_token', '')

if not mcaptcha(token):
    abort(400, 'Captcha échoué')

# ✅ Captcha vérifié. Traitez le formulaire.

# Il suffit d'un GET avec le token en paramètre :
curl 'https://medel.es/api/captcha/verify?token=YOUR_TOKEN'

# OK :  {"ok":true,"verified_at":"2026-06-22 12:24:56"}
# ÉCHEC : {"ok":false,"error":"already_used"}