Turnstile یا hCaptcha؛ رایگان‌بودن با مقاومت در برابر عامل‌ها یکی نیست

برای فرم ثبت‌نام یا پرداخت، Turnstile معمولاً نقطهٔ شروع کم‌هزینه‌تر و کم‌اصطکاک‌تری است. hCaptcha زمانی ارزش بررسی بیشتری دارد که نمایش چالش برای کاربران پذیرفتنی باشد یا بخواهید هزینهٔ عبور عامل‌های آماده را بالا ببرید. هیچ‌کدام به‌تنهایی پاسخ کامل به سوءاستفاده از فرم نیستند: نتیجه به تنظیمات، شیوهٔ حمله و کنترل‌هایی بستگی دارد که پشت فرم قرار می‌دهید.

اگر اولویت شما عبور روان کاربر از یک فرم عمومی است، نخست Turnstile را ارزیابی کنید. برای ورود پرریسک، مزیت احتمالی چالش تصویری hCaptcha را در کنار اصطکاک آن بسنجید؛ حل‌کننده‌های تجاری می‌توانند نتیجه را تغییر دهند. در هر دو انتخاب، توکن باید در سرور اعتبارسنجی شود و محدودکردن نرخ درخواست و بررسی رفتار حساب، مستقل از نتیجهٔ چالش عمل کند.

هزینهٔ واقعی از تعداد ارزیابی‌ها شروع می‌شود

طرح‌های Turnstile نشان می‌دهند که نسخهٔ رایگان تا ۲۰ ویجت، حداکثر ۱۰ نام میزبان برای هر ویجت و درخواست‌های چالش یا تأیید نامحدود دارد؛ استفاده از آن نیز به دیگر خدمات Cloudflare وابسته نیست. برای سایتی با چند فرم، این شرایط هزینهٔ مستقیم هر تأیید را از محاسبه کنار می‌گذارد. برای مجموعه‌ای از دامنه‌ها یا برنامه‌ها، سقف ویجت و نام میزبان همچنان بخشی از تصمیم است.

شرایط hCaptcha Pro شامل ۱۰۰ هزار ارزیابی ماهانه با قیمت ۹۹ دلار در ماه هنگام پرداخت سالانه است؛ پرداخت ماه‌به‌ماه ۱۳۹ دلار و هر هزار درخواست مازاد ۰٫۹۹ دلار هزینه دارد. نسخهٔ رایگان Basic هم وجود دارد، اما خود hCaptcha می‌گوید بیشتر کاربران آن معمولاً چالش می‌بینند. حالت Passive در Pro برای کمترکردن نمایش چالش به کاربران واقعی طراحی شده است؛ نرخ اعلامی فروشنده را نباید نرخ مشاهده‌شده در فروشگاه خود دانست.

بنابراین «رایگان در برابر پولی» همهٔ انتخاب نیست. می‌توان هزینهٔ مستقیم Turnstile و hCaptcha Basic را مقایسه کرد، اما اگر هدف تجربه‌ای با چالش کمتر باشد، قابلیت‌های Pro و هزینهٔ آن نیز وارد مقایسه می‌شوند. مبنای برآورد برای فروشگاه، تعداد ارزیابی‌های فرم‌های محافظت‌شده است، نه کل بازدید صفحه‌ها؛ یک بازدیدکننده ممکن است اصلاً به فرم پرداخت نرسد یا چند بار برای ارسال آن تلاش کند.

اصطکاک را برای ثبت‌نام، پرداخت و ورود جدا ببینید

وقفه در ثبت‌نام، پرداخت و ورود پیامد یکسانی ندارد. کاربری که در پایان خرید با چالش تصویری روبه‌رو می‌شود، در حساس‌ترین بخش مسیر توقف می‌کند؛ در ورود پرریسک، همان وقفه ممکن است با نیاز به محافظت بیشتر سازگار باشد. Turnstile می‌تواند بررسی را با تعامل اندک انجام دهد، در حالی که تجربهٔ رایگان hCaptcha بیشتر بر چالش آشکار تکیه دارد و Pro گزینه‌ای کم‌چالش‌تر ارائه می‌کند.

نام یک حالت، زمان تکمیل فرم یا میزان رهاکردن آن را پیش‌بینی نمی‌کند. برای مقایسه در محصول خود، سهم کاربرانی را که چالش می‌بینند، خطاهای تأیید، زمان تکمیل و رهاشدن هر فرم جداگانه اندازه بگیرید. این‌ها معیارهای تصمیم برای همان محصول‌اند، نه نتیجهٔ منتشرشده دربارهٔ کاربران فارسی‌زبان. اگر مخاطبان با اتصال ناپایدار یا مرورگرهای متفاوت وارد می‌شوند، خطای بارگذاری و امکان تلاش دوباره نیز بر تجربهٔ واقعی اثر می‌گذارد.

حل‌کنندهٔ تجاری و عامل مرورگر یک تهدید نیستند

پژوهش Broken Gates هفت سرویس حل CAPTCHA و شش عامل مرورگر را روی فرم‌های آزمایشی بررسی کرد: دو سرویسِ پشتیبان hCaptcha در حالت Easy به موفقیت ۱۰۰ درصدی رسیدند؛ در حالت Hard نتیجهٔ آن‌ها ۵۸ و ۱۰۰ درصد بود و سرویس‌های پشتیبان Turnstile در حالت‌های Managed و Invisible نیز به موفقیت ۱۰۰ درصدی رسیدند. موفقیت حل‌کننده در این بخش یعنی دریافت توکنی که رابط رسمی سرویس آن را معتبر تشخیص داده است، نه اندازه‌گیری نرخ سوءاستفاده در همهٔ سایت‌های واقعی.

برای عامل‌های مرورگرِ بدون تغییر در تنظیمات پیش‌فرض، تصویر فرق داشت. آن‌ها عموماً نتوانستند فرم‌های محافظت‌شده با چالش تصویری hCaptcha را کامل ارسال کنند؛ یک پیکربندی ابری از حالت Easy گذشت، اما ارسال فرم را به پایان نرساند. در مقابل، برخی پیکربندی‌های Browser-Use و NanoBrowser از Turnstile گذشتند و فرم را ارسال کردند. این تفاوت به پیکربندی عامل و محیط اجرای مرورگر مربوط است و حکم کلی دربارهٔ امنیت همهٔ نصب‌های این دو محصول نمی‌دهد.

تمایز عملی برای صاحب فرم روشن است: عاملی که باید خودش تصویر را حل کند با مهاجمی که حل را به سرویس بیرونی می‌سپارد توان یکسانی ندارد. حالت‌های Easy و Hard در آزمایش نیز معادل مستقیم بسته‌های تجاری Basic و Pro نیستند. پس دشوارتر بودن یک چالش می‌تواند بر عامل آماده اثر بگذارد، بی‌آنکه مانع قطعی برای مهاجم دارای بودجه، امکان تلاش دوباره و دسترسی به حل‌کننده باشد.

توکن معتبر، پایان بررسی درخواست نیست

راهنمای اعتبارسنجی Turnstile استفاده از Siteverify در سرور را الزامی می‌داند: توکن یک‌بارمصرف است و پنج دقیقه اعتبار دارد. ویجتِ صفحه به‌تنهایی جلوی ارسال مستقیم درخواست به نشانی فرم را نمی‌گیرد. سرور باید پاسخ اعتبارسنجی را پیش از اجرای عملیات ثبت‌نام، ورود یا پرداخت بررسی کند؛ شرح اتصال در راهنمای نصب کامل Turnstile آمده است.

راهنمای توسعه‌دهندگان hCaptcha نیز می‌خواهد سرور توکن را همراه کلید محرمانه به ‎/siteverify‎ بفرستد و توصیه می‌کند sitekey موردانتظار را اعلام کند تا توکنِ یک تنظیم در تنظیم دیگر پذیرفته نشود. اعتبارسنجی صحیح، دورزدن سادهٔ ویجت یا استفادهٔ دوباره از توکن را محدود می‌کند؛ توکنی که حل‌کنندهٔ تجاری به‌درستی گرفته است همچنان ممکن است معتبر باشد.

برای همین، کنترل نرخ باید به عملیات محافظت‌شده متصل باشد، نه فقط به نمایش چالش. در ورود، تعداد تلاش‌های ناموفق و تغییرات غیرعادی رفتار حساب اهمیت دارد؛ در پرداخت، تکرار ساخت سفارش یا تلاش‌های پی‌درپی برای استفاده از روش پرداخت باید جداگانه دیده شود. آستانهٔ این کنترل‌ها به الگوی استفاده و خطر همان محصول وابسته است، زیرا سخت‌گیری یکسان برای همهٔ کاربران می‌تواند درخواست‌های سالم را هم متوقف کند.

انتخاب برای سه موقعیت رایج

• وبلاگ کوچک با فرم تماس یا ثبت‌نام: Turnstile رایگان پیش‌فرض معقولی است؛ هزینهٔ مستقیم تأیید ندارد و می‌تواند مانع کمتری در مسیر کاربر بگذارد. اگر نرخ خطا یا مشکل دسترسی برای مخاطبان شما بالاست، hCaptcha Basic را روی همان فرم و با معیارهای تکمیل و خطا مقایسه کنید.
• فروشگاه پرترافیک: تعداد ارزیابی‌های ماهانه و اصطکاک در مرحلهٔ پرداخت را کنار هم بگذارید. Turnstile از نظر هزینهٔ مستقیم مزیت دارد؛ Pro زمانی توجیه پیدا می‌کند که امکانات و تجربهٔ آن ارزش اشتراک و درخواست مازاد را برای فروشگاه داشته باشد. کنترل تلاش‌های تکراری سفارش را در هر دو حالت مستقل نگه دارید.
• ورود پرریسک: چالش تصویری hCaptcha می‌تواند برخی عامل‌های آماده را متوقف کند، اما نتیجهٔ آزمون حل‌کننده‌ها مانع اتکا به آن به‌عنوان تنها دفاع می‌شود. انتخاب را با نرخ خطای کاربران مجاز، اعتبارسنجی توکن، محدودیت تلاش ورود، بررسی رفتار حساب و تأیید اضافی متناسب با ریسک همان مسیر انجام دهید.

بیشتر بخوانید:

• Turnstile را کامل نصب کنید؛ ویجت بدون Siteverify محافظت نمی‌کند
• Cloudflare Workers یا Vercel؛ پهنای باند می‌تواند هزینه را ۳۲ برابر کند
• Shopify یا WooCommerce؛ رایگان‌بودن افزونه هزینهٔ کل را تعیین نمی‌کند