Turnstile أم reCAPTCHA؟ المجاني لا يعني الحماية نفسها

إذا كنت تحمي نموذج اتصال وتريد تقليل احتكاك الزائر، فإن Turnstile خيار قوي من حيث التكلفة: تتيح خطته المجانية طلبات تحقق غير محدودة، ويمكن تشغيله من دون نقل زيارات الموقع عبر شبكة Cloudflare. لكن مجانية الطلب لا تعني أن الأداة تمنح كل الإشارات اللازمة للحكم على محاولة إنشاء حساب أو معاملة مالية.

عندما يكون خطر إساءة استخدام الحسابات أو الدفع مرتفعاً، تصبح طريقة تقدير المخاطر أهم من رسم التقييم وحده. يتيح reCAPTCHA فحص نشاط المستخدم لاتخاذ قرار بحسب الخطر، وتبيّن صفحة المنتج لدى Google أن قدرات حماية الحسابات والمعاملات تتبع عروضاً وميزات أوسع من الحماية الأساسية للروبوتات. لذلك يبدأ الاختيار بتحديد ما يجب منعه، ثم حساب التكلفة والاحتكاك في المسار المعني.

ما الذي يختبره كل نظام؟

لا يعرض Turnstile عادةً لغز صور. فهو يستفيد من إشارات المتصفح وتحديات تعمل في الخلفية، وقد يُظهر مربعاً للتفاعل بحسب نمط الأداة وتقدير الخطر. هذه تجربة مناسبة لنموذج قصير قد تؤدي فيه خطوة مرئية إضافية إلى ترك الطلب، لكنها لا تجعل كل زيارة صامتة دليلاً على أن صاحبها مستخدم مشروع. يمكن لأتمتة تعمل داخل متصفح مقبول أن تتجاوز فحصاً قليل الاحتكاك أيضاً.

ولا يصح اختزال reCAPTCHA في مربعات الصور. تختلف نسخة v2 التي قد تعرض تحدياً عن v3 التي تعيد درجة ثقة من دون مقاطعة ظاهرة للزائر. يستطيع الموقع أن يربط الدرجة بنوع الإجراء: قد يقبل طلباً منخفض الخطر، أو يطلب تحققاً إضافياً لمحاولة دخول مريبة، أو يراجع معاملة حساسة. هذه القرارات يضعها مشغّل الخدمة؛ الدرجة إشارة ضمن سياسة قبول الطلب وليست حكماً نهائياً على الشخص.

من المهم أيضاً فصل نسخة التحقق عن خطة الفوترة. فالمقارنة بين v2 وv3 تتعلق بتجربة المستخدم وشكل النتيجة، بينما المقارنة بين Essentials وPremium تتعلق بالحدود والميزات والتكلفة. الخلط بينهما قد يجعل خدمة تبدو أرخص أو أشد حماية بناءً على خاصية تنتمي إلى إعداد مختلف.

كم تدفع عند ثلاثة أحجام شهرية؟

تمنح قواعد فوترة reCAPTCHA المؤسسة 10 آلاف تقييم مجاني في الشهر، تُجمع عبر حساباتها ومواقعها. بعد ذلك تكلّف شريحة Premium مبلغ 8 دولارات ثابتاً حتى 100 ألف تقييم، ثم 0.001 دولار لكل تقييم يتجاوز هذا الحد. وإذا بقي المشروع على Essentials من دون تفعيل الفوترة، تُرجع طلبات التقييم بعد استنفاد الحصة خطأ تجاوز الحد.

في مثال حسابي مشروط لمؤسسة واحدة تُجري تقييماً واحداً لكل محاولة، تبلغ رسوم التقييم عند 10 آلاف محاولة صفراً في الخطتين المقارنتين. عند 100 ألف محاولة تبقى رسوم Turnstile المجانية صفراً، مقابل 8 دولارات في reCAPTCHA Premium. وعند مليون محاولة تكون المقارنة صفراً مقابل 908 دولارات: 8 دولارات للشريحة الأولى المدفوعة، و900 دولار للمحاولات التي تتجاوز 100 ألف. لا تشمل هذه الأرقام تكاليف تشغيل الخادم أو الرسائل أو أدوات مكافحة الاحتيال الأخرى.

وحدات الفوترة هنا ليست وصفاً لكل ما يفعله الموقع. قد يُجري التطبيق أكثر من تقييم في رحلة المستخدم الواحدة، مثلاً عند إنشاء الحساب ثم تسجيل الدخول ثم تنفيذ عملية حساسة؛ عندها ترتفع فاتورة reCAPTCHA وفق عدد التقييمات الفعلي. وفي Turnstile لا يعني غياب رسم لكل طلب غياب حدود أخرى: تقيّد الخطة المجانية عدد أدوات التحقق والنطاقات المرتبطة بكل أداة، وهو قيد قد يهم خدمة تدير مواقع كثيرة أكثر مما يهم نموذجاً واحداً.

التحقق على الخادم يحدد قيمة الحاجز

ظهور أداة التحقق في الصفحة لا يحمي نقطة استقبال النموذج وحده. تشترط تعليمات Turnstile للتحقق الخادمي إرسال الرمز إلى واجهة Siteverify قبل قبول الطلب؛ فالرمز صالح لخمس دقائق ويُستخدم مرة واحدة. يستطيع مهاجم إرسال طلب مباشرة إلى الخادم أو تمرير قيمة مزيفة إذا كان التطبيق يثق بما تقوله الصفحة من دون فحص الرمز.

التحقق الخادمي يحسم صلاحية الرمز، ثم يبقى على التطبيق أن يقرر مصير العملية نفسها. فرمز صالح لا يقيّم مضمون رسالة اتصال مزعجة، ولا يثبت ملكية حساب، ولا يضمن سلامة وسيلة الدفع. لذلك تختلف المقاييس المفيدة: الرسائل المسيئة التي تصل بعد التحقق في نموذج الاتصال، ومحاولات الدخول غير المصرح بها في الحسابات، والمعاملات الاحتيالية التي تُقبل بعد المرور بكل الضوابط في مسار الدفع.

ماذا كشفت اختبارات خدمات الحل والوكلاء؟

في دراسة Broken Gates، أعادت خدمات الحل التي تدعم Turnstile رموزاً مقبولة في جميع المحاولات المختبرة لنمطي Managed وInvisible، وكذلك حققت الخدمات المختبرة نجاحاً كاملاً مع نمطي reCAPTCHA v2. أما متوسط نجاحها مع reCAPTCHA v3 فبلغ 23% عند اشتراط درجة أعلى من 0.5. ورصد الباحثون أسعاراً لخدمات الحل تتراوح تقريباً بين 0.10 و5 دولارات لكل ألف طلب، باختلاف المزود ونوع الحماية.

تقيس هذه النتيجة قدرة خدمات تجارية على تقديم حلول مقبولة في إعدادات تجريبية محددة؛ وهي ليست قياساً لمعدل الاحتيال في موقع إنتاجي. كما أن نجاح v3 الأقل هنا لا ينتقل تلقائياً إلى كل إعداد أو عتبة قرار. ما توضحه المقارنة هو أن تكلفة شراء حل لتحدٍّ مرئي أو رمز تحقق قد تكون منخفضة للمهاجم، بينما يتطلب تجاوز درجة مبنية على سمعة البيئة والمتصفح إشارات مختلفة.

اختبار الوكلاء المتصفحين أضاف فارقاً مهماً. لم ينجح كل وكيل في كل حماية، وتبدلت النتائج بحسب بيئة تشغيل المتصفح وتوافر قدرة مخصصة لحل التحديات. نجح بعض الوكلاء في نمطي Turnstile المختبرين، بينما اجتاز وكيل يعمل داخل ملف متصفح حقيقي عتبة reCAPTCHA v3 التي أخفقت فيها إعدادات آلية أخرى. لذلك لا تكفي تسمية الأداة وحدها لتقدير مقاومتها: نوع الأتمتة وبيئة تشغيلها جزء من التهديد.

أي اختيار يلائم المسار الذي تحميه؟

نموذج الاتصال: إذا كانت المشكلة الأساسية رسائل مزعجة كثيرة، يمنح Turnstile حاجزاً قليل الاحتكاك من دون رسم يرتفع مع عدد طلبات التحقق. هنا تكون المقارنة العملية بين الرسائل المسيئة التي تصل فعلاً وبين الطلبات الصحيحة التي تتعثر. قد تحتاج أيضاً إلى تحديد معدل الإرسال أو فحص محتوى الرسالة، لأن اجتياز التحقق لا يقول شيئاً عن نصها.

إنشاء الحساب وتسجيل الدخول: تصبح الإشارة المتدرجة أكثر فائدة عندما تختلف خطورة المحاولات؛ فطلب تسجيل عادي لا يستدعي بالضرورة المعاملة نفسها التي تستدعيها محاولات دخول متكررة. يمكن استخدام Turnstile كحاجز أولي، لكن درجة المخاطر في reCAPTCHA تتيح سياسة أكثر تفصيلاً إذا كان التطبيق سيستفيد منها فعلاً. ويلزم تقييم الرفض الخاطئ للمستخدمين الشرعيين إلى جانب محاولات الإساءة التي تعبر الحاجز.

معاملة عالية المخاطر: لا ينبغي مساواة رسم تقييم منخفض بحماية كافية من الاحتيال. إذا كانت الخسارة المحتملة كبيرة، فقد تكون إشارات الحساب والمعاملة في العرض المناسب مفيدة، لكن يجب احتساب أي تقييمات إضافية تتطلبها تلك الميزات. القرار هنا يتعلق بقيمة الإشارات في قبول الدفع أو مراجعته، وبأثر الرفض على العميل الشرعي، لا بتكلفة فحص النموذج عند زر الإرسال وحدها.

اقرأ أيضًا:

• Cloudflare R2 أم AWS S3؟ الخروج المجاني قد يكلّفك سرعة الرفع
• Notion أم Coda؟ المحرر المجاني قد يكلف أقل من صانع المستند
• احسب كلفة Claude API قبل الإرسال: العداد المجاني ليس الفاتورة كاملة