Turnstile ці hCaptcha: бясплатная праверка таксама прапускае аўтаматызацыю

Для невялікага сайта, якому патрэбны бясплатная абарона формы і мінімум дзеянняў наведвальніка, Cloudflare Turnstile — практычны пачатковы выбар. hCaptcha мае сэнс, калі патрэбны задачы з выявамі або налады яго платнага плана. Ніводны з гэтых варыянтаў сам па сабе не гарантуе, што аўтаматызаваны запыт не пройдзе.

Розніца паміж сэрвісамі найперш у кошце і тым, як наведвальнік праходзіць праверку. Пры гэтым менш бачных задач азначае менш перапыненняў для чалавека, а не аўтаматычна больш надзейную абарону. Устойлівасць формы залежыць таксама ад сервернай праверкі токена і абмежавання частаты дзеянняў.

Кошт бясплатнага і платнага рэжымаў

Умовы Turnstile Free дазваляюць неабмежаваную колькасць праверак, да 20 віджэтаў на ўліковы запіс і да 10 даменных імёнаў на віджэт. Turnstile працуе і на сайце, які не прапускае трафік праз сетку Cloudflare. Для адной кантактнай формы ліміт на віджэты наўрад ці стане вырашальным; для сеткі сайтаў колькасць даменаў і асобных канфігурацый ужо трэба ўлічваць.

У hCaptcha таксама ёсць бясплатны план Basic, у якім большасць наведвальнікаў звычайна бачыць задачу. Умовы hCaptcha Pro прадугледжваюць 100 тысяч праверак за $99 у месяц пры гадавой аплаце або за $139 пры штомесячнай, а дадатковыя праверкі каштуюць $0,99 за тысячу; у план уваходзіць рэжым «99.9% Passive». Гэта назва мэты сэрвісу радзей паказваць задачы сапраўдным карыстальнікам, а не абяцанне аднолькавай долі бачных задач на кожным сайце.

Таму кошт параўнання залежыць ад таго, які рэжым патрэбны. Бясплатны Turnstile не ўводзіць плату за рост колькасці праверак у межах свайго плана. Бясплатны hCaptcha дае іншую мадэль узаемадзеяння з наведвальнікам, а пераход на Pro дадае выдаткі разам з пасіўным рэжымам, аналітыкай і наладамі. Для SaaS з актыўнай рэгістрацыяй гэта можа ўплываць на выбар мацней, чым выгляд віджэта.

Што адчувае наведвальнік

Turnstile можа выканаць праверку ў фонавым рэжыме; у Managed магчыма з’яўленне сцяжка. Бясплатны hCaptcha часцей просіць чалавека вырашыць задачу з выявамі, а Pro імкнецца паказваць яе выбарачна. Калі форма кароткая, дадатковая задача становіцца прыкметнай часткай усяго дзеяння: чалавек ужо запоўніў палі, але перад адпраўкай мусіць прайсці яшчэ адзін этап.

Для распрацоўшчыка тут ёсць два розныя паказчыкі. Адзін — як часта сапраўдныя карыстальнікі бачаць задачу або атрымліваюць адмову. Другі — ці могуць аўтаматызаваныя кліенты атрымаць сапраўдны токен. Памяншэнне першай велічыні паляпшае ўзаемадзеянне з формай, але само па сабе нічога не кажа пра другую. Гэтую розніцу асабліва важна памятаць пры выбары пасіўнага рэжыму.

Што паказаў тэст абыходу

У даследаванні Broken Gates праверылі сем камерцыйных сэрвісаў рашэння CAPTCHA і шэсць браўзерных ШІ-агентаў: усе сэрвісы, якія падтрымлівалі правераныя рэжымы Turnstile Managed і Invisible, дасягнулі 100% паспяховых абыходаў; два сэрвісы з падтрымкай hCaptcha Easy таксама дасягнулі 100%, а на hCaptcha Hard атрымалі 58% і 100%. Даследчыкі правяралі токены праз інтэрфейсы пастаўшчыкоў на кантраляваных тэставых формах. Гэтыя вынікі апісваюць канкрэтныя канфігурацыі і спосабы абыходу, а не чаканую долю спаму на любым сайце.

Больш складаная задача hCaptcha знізіла поспех аднаго з сэрвісаў рашэння, але другі праходзіў і яе. Гэта паказвае цану кампрамісу: задача з выявамі можа павялічыць працу для часткі аўтаматызацыі, адначасова патрабуючы больш дзеянняў ад сапраўдных наведвальнікаў. Калі зламыснік карыстаецца сэрвісам рашэння, сайт атрымлівае токен, які пастаўшчык лічыць сапраўдным; з аднаго толькі токена нельга вызначыць намер адпраўніка.

Браўзерныя ШІ-агенты ў тым жа эксперыменце паводзіліся інакш за сэрвісы рашэння. Некаторыя іх канфігурацыі прайшлі Turnstile і паспяхова адправілі форму, а правераныя рэжымы hCaptcha з выявамі не далі паспяховай адпраўкі ў стандартных канфігурацыях агентаў. Адзін агент змог прайсці праверку hCaptcha Easy без завяршэння адпраўкі: праходжанне задачы і выкананне абароненага дзеяння ў даследаванні ўлічваліся асобна. Таму вынік тэсту агентаў нельга пераносіць на агента, да якога дадалі асобны сэрвіс рашэння.

Інтэграцыя: рашэнне прымае сервер

У Turnstile з’яўлення віджэта ў браўзеры недастаткова для прыняцця формы. Інструкцыя Cloudflare патрабуе правяраць токен на серверы праз Siteverify: ён дзейнічае пяць хвілін і можа быць выкарыстаны толькі адзін раз. Калі сервер прымае запыт паводле кліенцкага зваротнага выкліку без праверкі токена, гэты этап абароны фактычна абыходзіцца.

Для hCaptcha патрэбна такая ж мяжа паміж браўзерам і серверам. Кіраўніцтва hCaptcha патрабуе перадаваць атрыманы токен і сакрэтны ключ на siteverify; яно таксама рэкамендуе перадаваць чаканы sitekey, каб токен аднаго віджэта не прынялі для іншага. Сакрэтны ключ павінен заставацца на серверы. Калі праверка вярнула памылку або сэрвіс праверкі недаступны, абароненае дзеянне варта затрымаць і прапанаваць паўторную спробу.

Паспяховая праверка токена і абмежаванне частаты запытаў вырашаюць розныя задачы. Першая пацвярджае сапраўднасць канкрэтнага токена, але не спыняе серыю дзеянняў з новымі токенамі. Другое дазваляе стрымліваць паўторныя спробы з адной крыніцы або ўліковага запісу. Для рэгістрацыі гэта могуць быць ліміты на стварэнне акаўнтаў і паўторныя спробы; для кантактнай формы — кантроль серый аднолькавых паведамленняў. Гэта ўласныя правілы сайта, якія працуюць разам з абраным сэрвісам.

Выбар для розных формаў

• Невялікі сайт з кантактнай формай. Turnstile Free падыходзіць як пачатковы варыянт, калі важныя адсутнасць платы за праверкі і простае праходжанне для наведвальніка. Прадугледзьце серверную праверку токена і ліміт адпраўкі паведамленняў, бо сапраўдны токен не выключае серыйны спам.
• SaaS з рэгістрацыяй. Параўноўвайце не толькі кошт плана, але і тое, колькі сапраўдных карыстальнікаў бачыць задачу, колькі атрымлівае адмову і якія налады патрэбны камандзе. hCaptcha Pro мае сэнс ацэньваць дзеля пасіўнага рэжыму і дадатковага кіравання; Turnstile застаецца варыянтам без платы за аб’ём праверак у Free.
• Форма з высокай рызыкай злоўжывання. Дадайце да абранай праверкі абмежаванні па крыніцы і ўліковым запісе, а для падазроных аперацый — асобныя правілы. Задача з выявамі можа ўскладніць працу частцы аўтаматызацыі, аднак у апублікаваным тэсце абодва прадукты прапускалі запыты праз сэрвісы рашэння. Таму вырашальным становіцца кантроль таго, што адбываецца пасля атрымання токена.

Чытайце таксама:

• Kit ці MailerLite: бясплатны спіс хавае цану аўтаматызацыі
• WhatsApp замяніў шасцізначны PIN паролем — праверце абарону нанова
• Postman ці Insomnia: камандная аўтаматызацыя робіць лёгкі кліент даражэйшым