Build-in-public : 12 ans de défi-réponse, leçons marché

Ce que 12 ans de défi-réponse m'ont appris en une phrase

Construire un produit anti-spam B2B par défi-réponse pendant 12 ans m'a appris une vérité fondamentale : le marché ne récompense pas les bonnes idées, il récompense les équipes capables de tenir assez longtemps pour que le problème devienne insupportable pour leurs clients cibles. Et le spam est devenu exactement ça — insupportable.

Ce billet est un exercice de transparence radicale. Pas de chiffres inventés, pas de success story enjolivée. Juste ce qu'on a vécu, ce qu'on a raté, et ce que ça nous a appris sur un marché de l'anti-spam qui a évolué plus vite que presque n'importe quel autre segment du SaaS.

Pourquoi le défi-réponse en 2012 semblait une niche marginale

Quand FrozenSpam a posé ses premières lignes de code, le CAPTCHA de Google dominait le débat. reCAPTCHA v1 était partout. La question que tout le monde nous posait était simple et un peu condescendante : pourquoi compliquer ce que Google fait gratuitement ?

La réponse n'était pas évidente à formuler à l'époque. Aujourd'hui, elle l'est : Google collecte vos données de formulaire pour entraîner ses modèles. Pour une entreprise B2B qui traite des leads qualifiés, des demandes de devis ou des inscriptions sensibles, offrir ces interactions à un tiers n'est pas anodin sur le plan de la confidentialité et de la conformité RGPD.

Le problème de fond que personne ne voyait encore

En 2012, le RGPD n'existait pas. L'ANSSI publiait ses premières recommandations sur la sécurité des systèmes d'information, mais la notion de privacy by design restait académique pour 95 % des DSI. Le marché n'était tout simplement pas prêt à payer pour une alternative respectueuse de la vie privée.

Ce que le marché nous a appris : être trop tôt sur un problème réglementaire, c'est aussi douloureux qu'arriver trop tard. Il faut trouver comment survivre jusqu'au moment où la loi rattrape la réalité.

Les premiers clients : ceux qui avaient déjà eu mal

Nos premiers vrais clients n'étaient pas des innovateurs technophiles. C'était des responsables informatiques qui avaient vécu un incident — une boîte mail saturée de spams, un formulaire de contact transformé en vecteur d'attaque, un support client noyé sous les soumissions automatisées. La douleur précède toujours l'achat en B2B.

Les grandes leçons du marché, année par année

Plutôt que de raconter une chronologie exhaustive, voici les enseignements qui ont réellement changé notre façon de construire le produit et de le vendre.

Leçon 1 — Le spam évolue plus vite que les défenses statiques

Entre 2012 et 2016, nous avons observé une chose fascinante et inquiétante : chaque fois qu'une technique anti-spam devenait standard, les spammeurs s'y adaptaient en quelques mois. Selon le rapport DBIR de Verizon, les acteurs malveillants automatisent leurs attaques dans des délais de plus en plus courts. Les honeypots invisibles ont été contournés. Les blocklists IP ont été saturées par des adresses rotatives.

Le défi-réponse présente un avantage structurel dans ce contexte : il impose une interaction contextuelle et intelligible uniquement pour un humain. Un bot ne peut pas raisonner sur une question formulée en langage naturel — du moins pas sans un coût computationnel qui rend l'attaque économiquement non rentable.

Leçon 2 — Le prix n'est jamais l'objection réelle

Pendant des années, on nous disait : c'est trop cher par rapport à une solution gratuite. On a longtemps cru cette objection. On a baissé les prix. On a proposé des freemiums. Résultat : ça n'a pas converti davantage.

La vraie objection était différente. C'était : je ne suis pas encore convaincu que mon problème de spam est assez grave pour changer mes habitudes. Ce n'est pas un problème de tarification, c'est un problème d'éducation du marché et de timing d'achat.

Point de vue FrozenSpam — En anti-spam B2B, vous ne vendez pas un logiciel. Vous vendez la tranquillité d'esprit à quelqu'un qui a déjà été brûlé, ou à quelqu'un qui a peur de l'être. Ces deux profils nécessitent des arguments radicalement différents.

Ce que le RGPD a vraiment changé pour nous

Mai 2018 a été notre premier vrai tournant commercial. Pas parce que les entreprises ont soudainement adoré notre produit, mais parce qu'elles ont soudainement eu peur des amendes. La CNIL a commencé à sanctionner, et les DPO ont commencé à auditer les outils embarqués dans les formulaires.

reCAPTCHA posait un problème concret : les données collectées transitent vers des serveurs américains, ce qui soulève des questions au regard du transfert de données hors UE — particulièrement après l'invalidation du Privacy Shield en 2020 par la Cour de Justice de l'Union Européenne (arrêt Schrems II).

Pour la première fois, nous avions un argument réglementaire tangible. Le défi-réponse de FrozenSpam traite les données localement, sans les transmettre à un tiers. C'est documentable dans un registre de traitement. C'est auditable. C'est ce que les DPO cherchent.

Les erreurs qu'on referait différemment

La transparence impose d'être honnête sur les ratés. En voici trois qui nous ont coûté cher :

• Sous-estimer le canal partenaires. Pendant 6 ans, on a vendu en direct uniquement. Les intégrateurs, agences web et ESN qui embarquent notre solution dans leurs projets clients représentent aujourd'hui une part significative de notre acquisition. On aurait dû structurer ce canal bien plus tôt.
• Négliger la documentation technique. Un produit anti-spam s'intègre dans des formulaires, des CMS, des backends custom. Une documentation pauvre, c'est un ticket de support de plus, un client frustré de plus, et parfois un churné de plus. On a investi massivement dans la doc à partir de 2019 — trop tard.
• Confondre activité et traction. On a passé 18 mois à optimiser des features que personne ne demandait, pendant que la vraie friction se situait dans l'onboarding. Les métriques d'activation étaient là pour nous le dire. On ne les lisait pas assez attentivement.

Ce que le marché anti-spam B2B ressemble aujourd'hui

Le paysage a radicalement changé. Voici une vue comparative de ce que les entreprises B2B évaluent aujourd'hui quand elles cherchent une solution anti-spam pour leurs formulaires :

Ce tableau n'est pas un argument commercial déguisé — c'est la grille de lecture que nous utilisons nous-mêmes pour comprendre où nous nous situons et ce que nous devons encore améliorer.

Ce que les 12 prochains mois vont exiger

L'émergence des LLM grand public change la donne pour l'anti-spam. Des outils comme GPT-4 permettent désormais de générer des réponses plausibles à des défis textuels simples. C'est un vrai sujet, et on ne le minimise pas.

Notre réponse est double :

1. Contextualiser davantage les défis — une question dont la réponse dépend du contexte métier spécifique du client est exponentiellement plus difficile à contourner pour un LLM générique.
2. Combiner signaux comportementaux et défi-réponse — l'analyse du comportement de saisie, du timing et des métadonnées de session vient renforcer le défi textuel sans alourdir l'expérience.

Le marché va continuer à évoluer. Ce que 12 ans nous ont appris, c'est qu'il ne sert à rien d'espérer que le problème se stabilise. Il faut construire une organisation capable d'apprendre plus vite que le problème ne se complexifie.

Conclusion : ce que ce parcours change pour vous

Douze ans de build-in-public dans l'anti-spam par défi-réponse, ce n'est pas une success story linéaire. C'est une série d'ajustements, de paris réglementaires, d'erreurs documentées et de convictions tenues malgré les objections du marché. Ce qui en ressort : les entreprises B2B qui prennent la confidentialité et la résistance aux bots au sérieux ont besoin d'une solution qui grandit avec elles — pas d'un CAPTCHA générique appartenant à un géant de la donnée.

Si vous gérez des formulaires critiques — leads, inscriptions, devis, support — et que le spam ou la conformité RGPD est un sujet actif dans votre organisation, la meilleure façon de juger est de tester par vous-même. Découvrez nos formules sur /tarifs ou démarrez directement un /pilote sans engagement.