Содержание11
- Зачем капча и когда без неё
- Что капча закрывает и чего не закрывает
- Какие бывают капчи
- Как работает капча: скрипт, токен и проверка на сервере
- Какой сервис выбрать
- Какую капчу ставить на лендинг, магазин, вход и заявку в CRM
- Как капча влияет на заявки, доступность и скорость страницы
- Honeypot, лимиты и WAF: когда капча — не первый слой
- Чек-лист установки капчи и типичные ошибки
- Частые вопросы
- Источники
Капча на сайте помогает отсечь автоматические отправки форм, регистрации и попытки входа. Видимый виджет добавляет шаг для клиента, поэтому сервис и режим проверки выбирают под конкретную форму. Для заявок важны также доступность скрипта и обработка данных.
Зачем капча и когда без неё
Капчу ставят на форму, которую атакуют боты или спам из которой сложно разбирать вручную. Она проверяет отправку заявки, регистрацию, вход или комментарий, но не защищает сайт целиком. Если публичных форм нет или спама нет, виджет может быть лишним.
Для спокойной формы начните со скрытого поля honeypot и ограничения частоты запросов. Если мусорных отправок почти нет, видимая проверка добавит клиенту шаг без пользы для команды.
На лендинге с рекламным трафиком цена лишнего шага заметна: посетитель может закрыть форму. Поэтому видимую капчу стоит включать, когда спам мешает обработке заявок, а не заранее «на всякий случай».
Капча нужна конкретной форме, а не всему сайту.
Что капча закрывает и чего не закрывает
Капча помогает фильтровать автоматические отправки формы. Она не защищает от человека, который вручную отправляет спам, уязвимостей сайта или утечки данных. Для каждого из этих случаев нужны отдельные меры защиты.
Обычно капчу используют против массового спама, автоматических регистраций и попыток перебирать пароли через форму входа. Но при атаке на сервер или сеть виджет не заменит защиту на стороне инфраструктуры.
На странице входа капчу можно включать после неудачных попыток. На форме заявки постоянный видимый барьер способен мешать добросовестным клиентам.
Какие бывают капчи
Капчи различаются тем, что должен сделать человек и как сервис принимает решение. Графическая просит распознать символы или объекты, чекбокс — подтвердить действие, а поведенческая оценивает взаимодействие и может показать задание при подозрении. Чем больше действий требует проверка, тем выше риск затруднить отправку формы.
| Вид | Что видит человек | Особенность | Где применяют |
|---|---|---|---|
| Текстовая или графическая | Символы или объекты на изображении | Может быть сложна для пользователей со слабым зрением | Комментарии, старые формы |
| Чекбокс или вопрос | Галочка или короткое задание | Требует дополнительного действия | Регистрация, вход |
| Невидимая или поведенческая | Обычно ничего, иногда дополнительный виджет | Возможны ошибочные отказы | Лендинг, заявка, оформление заказа |
| Аудиозадание | Звуковая альтернатива заданию на изображении | Требует доступного аудиорежима | Вместе с графической капчей |
Если скринридер не может пройти задание, часть пользователей не отправит форму. Перед запуском проверьте доступность всех предложенных режимов, включая аудио.
Как работает капча: скрипт, токен и проверка на сервере
Одного виджета в браузере недостаточно: сервер должен проверить токен через API сервиса. Скрипт отображает задание или оценивает поведение пользователя, затем передаёт токен вместе с данными формы. Сервер отправляет токен сервису и принимает или отклоняет запрос по его ответу.
Обычно процесс выглядит так:
Секретный ключ храните на сервере. В приложениях с динамической отправкой формы получайте новый токен перед отправкой, если этого требует документация выбранного сервиса.
Срок действия токена, адрес API и правила повторного использования различаются. Сверяйте их с документацией конкретного сервиса.
Какой сервис выбрать
Выбирайте сервис по аудитории сайта, доступности его скрипта и тому, где обрабатываются данные. Для сайта с аудиторией в России сравните Яндекс SmartCaptcha и Cloudflare Turnstile на своих формах. Если аудитория международная, рассмотрите также Google reCAPTCHA или hCaptcha.
У сервисов отличаются режимы и условия использования. Проверяйте актуальные возможности и тарифы по документации перед установкой. Скрипт стоит проверить из сетей, которыми пользуются ваши клиенты: если он не загрузится, отправка может не пройти.
При передаче персональных данных проверьте, какие данные получает сервис и где он их обрабатывает. Само название капчи не определяет, какие обязанности возникают у оператора: это зависит от настроек и фактического потока данных.
Какую капчу ставить на лендинг, магазин, вход и заявку в CRM
Режим проверки зависит от формы. На лендинге с заявками разумно начать с невидимого или отложенного режима, а на форме входа показывать проверку после подозрительной серии попыток. Видимый барьер уместнее там, где спам мешает работе и дополнительный шаг не создаёт большого препятствия.
Для лендинга или заявки в CRM используйте невидимый режим, если выбранный сервис его поддерживает. Форму можно заложить при разработке одностраничного сайта с заявкой, чтобы сразу предусмотреть серверную проверку.
В магазине капча не должна прерывать каждый шаг оформления заказа. Если спам или перебор затрагивает отдельный сценарий, включайте проверку именно там.
Для регистрации и комментариев видимый виджет может быть приемлем, если автоматический спам мешает модерации. Для малопосещаемой формы без спама начните с honeypot и ограничения запросов.
Если живые заявки уже приходят, а спам не мешает их обрабатывать, видимую капчу пока не ставьте. В этом случае сначала оцените, действительно ли автоматические отправки создают проблему.
Как капча влияет на заявки, доступность и скорость страницы
Видимый виджет добавляет действие перед отправкой и способен отсеять часть пользователей. Заранее назвать процент потерь нельзя: он зависит от формы и аудитории. Сравните число успешных отправок, отказы проверки и время загрузки до и после внедрения.
Графическая капча без доступной альтернативы может закрыть путь пользователям скринридеров. Проверьте аудиорежим и то, можно ли пройти проверку с клавиатуры.
Сторонний скрипт не нужно загружать на страницах без форм. Подключайте его там, где он нужен, и следите за скоростью страницы.
На мобильном устройстве проверьте размер элементов и поведение при нестабильном соединении. Если люди не могут завершить проверку, измените режим или отключите капчу для этой формы.
Honeypot, лимиты и WAF: когда капча — не первый слой
Если форма получает немного спама, начните со скрытого поля honeypot и ограничения частоты запросов. Простые боты могут заполнить скрытое поле, а лимит помогает сдерживать частые обращения. Более сложный бот способен обойти эти меры, поэтому для атакуемой формы может понадобиться капча.
Лимит можно применять по IP или сессии, а для входа — учитывать серию неудачных попыток. WAF фильтрует часть нежелательного трафика на уровне сайта, но не заменяет проверку токена на сервере.
Для входа и оформления заказа отложенная проверка сохраняет простой путь для большинства пользователей. Если спам затрагивает обычную форму заявки, выбирайте режим, который не блокирует отправку при проблемах с загрузкой скрипта.
Чек-лист установки капчи и типичные ошибки
Перед запуском проверьте привязку ключей к домену, серверную проверку токена и работу формы при сбое стороннего скрипта. Секретный ключ должен оставаться на сервере, а виджет — загружаться только на нужных страницах.
- 01
Создайте ключи и укажите домены, где работает капча.
- 02
Разместите виджет только в нужных формах.
- 03
Настройте серверную проверку токена по документации сервиса.
- 04
Для динамических форм предусмотрите получение токена перед отправкой.
- 05
Проверьте отправку с компьютера и телефона, а также поведение при недоступности скрипта.
В WordPress, 1С-Битрикс, Tilda и OpenCart способ установки зависит от формы и интеграции. Выбирайте актуальный модуль или настройку после проверки документации платформы.
Распространённые ошибки — проверять капчу только в браузере, публиковать секретный ключ, включать виджет на каждой странице или не предусмотреть запасной путь при сбое скрипта. На сайте-каталоге с карточками и заявкой проверку достаточно связать с формой заявки.
Если сайт собирает обращения, проектируйте проверку вместе с формами. Это проще предусмотреть при выборе сайта для бизнеса в Новороссийске, чем добавлять после появления спама.
Оставьте заявку: поможем настроить защиту форм и серверную проверку токенов под ваш сайт.
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» — КонсультантПлюс
- reCAPTCHA — документация для разработчиков — Google
