Peut‑on créer un formulaire de contact sans extension ?

Le formulaire de contact est presque toujours la première extension installée, et la seule qui soit réellement indispensable sur un site vitrine. Elle n’est pourtant pas obligatoire.

Ce qu’une extension apporte, et ce qu’elle coûte

Elle apporte une interface pour composer le formulaire sans écrire de code, et c’est utile quand on en crée plusieurs, avec des champs différents.

Elle coûte ce que coûte toute extension : du code chargé sur des pages qui n’ont pas de formulaire, une mise à jour de plus à suivre, et une faille possible. Les extensions de formulaire figurent régulièrement parmi les plus touchées, précisément parce qu’elles sont les plus installées.

Un site qui n’a qu’un seul formulaire n’a pas besoin d’un outil capable d’en fabriquer cent.

Ce que demande la version sans extension

Une centaine de lignes dans le thème, et trois précautions qui ne sont pas négociables :

• Un jeton de sécurité, qui vérifie que l’envoi vient bien de votre formulaire et non d’un script extérieur.
• Le nettoyage des champs avant tout usage, et l’échappement à l’affichage.
• Une adresse de réception définie dans le code, jamais transmise par le formulaire lui‑même.

La protection anti‑robots

Deux dispositifs suffisent, et aucun ne demande quoi que ce soit au visiteur :

Un champ invisible que seuls les robots remplissent, puisqu’ils remplissent tout. S’il contient quelque chose, l’envoi est ignoré.

Un délai minimum entre l’affichage de la page et l’envoi. Un humain met au moins quelques secondes à écrire ; un robot envoie immédiatement.

Ces deux mesures arrêtent la quasi‑totalité des envois automatiques, sans captcha, donc sans transmettre la moindre donnée de vos visiteurs à un service tiers.

Le contrôle qui ne doit jamais être oublié

Envoyer un message de test, depuis une adresse extérieure, et vérifier qu’il arrive. À refaire après chaque mise à jour du site ou changement d’hébergement.

Un formulaire cassé ne provoque aucune plainte : vos correspondants croient avoir écrit, vous croyez n’avoir rien reçu, et personne ne relance. C’est la panne la plus coûteuse et la moins visible d’un site vitrine.

Sur le même sujet : HTTPS : le cadenas suffit‑il à sécuriser un site ? · Combien de temps garder ses anciennes sauvegardes ?