„Turnstile“ ar „reCAPTCHA“: mažiau trinties dar nereiškia stipresnės apsaugos

Jei norite apsaugoti svetainės formą kuo mažiau trukdydami lankytojui, „Turnstile“ yra pagrįstas pasirinkimas, bet vien patogumas neparodo apsaugos stiprumo. „Cloudflare“ „Turnstile“ apraše nurodo, kad paslaugą galima įterpti nenukreipiant svetainės srauto per jos tinklą, patikra gali vykti be interaktyvios užduoties, o formos įrašų ir lankytojo komunikacijos ji netvarko. Tai sumažina dalį diegimo ir privatumo klausimų, tačiau apsaugos veiksmingumas priklauso ir nuo to, kaip svetainė priima patikros rezultatą.

„reCAPTCHA“ pasirinkimą lemia versija. „Google“ versijų dokumentacijoje skiria „v2“ žymimąjį langelį bei nematomą variantą nuo „v3“, kuri be lankytojo veiksmo grąžina rizikos įvertį. Todėl matomo galvosūkio nebuvimas nėra vien „Turnstile“ pranašumas. Jei svetainė gali skirtingai reaguoti į įtartinas užklausas, „v3“ suteikia daugiau sprendimo laisvės; jei reikia paprastesnės formos patikros, „Turnstile“ dažnai bus lengviau pritaikyti.

Kada lankytojas iš tiesų pajunta patikrą

„Turnstile“ valdomasis režimas pagal lankytojo riziką sprendžia, ar parodyti žymimąjį langelį, o neinteraktyvus režimas nereikalauja jo veiksmo. „reCAPTCHA v2“ žymimąjį langelį lankytojas turi paspausti, po to gali būti paprašytas atlikti papildomą užduotį. Nematomame „v2“ variante langelio spausti nereikia, bet įtartinam srautui užduotis vis tiek gali pasirodyti. „v3“ vietoj jos pateikia įvertį, kurio reikšmę konkrečiam veiksmui nustato svetainė.

Šis skirtumas svarbiausias tada, kai teisėtas lankytojas atrodo įtartinas. Matoma užduotis gali pristabdyti atsiskaitymą ar registraciją, o griežta taisyklė pagal tyliai gautą įvertį gali atmesti veiksmą nepaaiškinusi priežasties. Vertinant patogumą verta žiūrėti į užbaigtus pirkimus ar registracijas, o ne vien į sėkmingų patikrų dalį. Jei patikra nepavyksta, lankytojui reikia suprantamos galimybės pabandyti dar kartą arba užbaigti veiksmą kitu numatytu būdu.

Apsauga atsiranda tik patikrinus žetoną serveryje

Abiejų priemonių naršyklės komponentas perduoda žetoną, tačiau saugomą veiksmą turi priimti arba atmesti programos serveris. „Cloudflare“ serverinės patikros instrukcijoje pabrėžia, kad vien „Turnstile“ valdiklio nepakanka: serveris turi kreiptis į „Siteverify“, nes į formos adresą galima nusiųsti suklastotą žetoną, o tikras žetonas galioja ribotą laiką ir yra vienkartinis. Atsakyme taip pat galima sutikrinti svetainės adresą bei veiksmą, jei jie buvo nurodyti.

Praktinė pasekmė paprasta: patikrą reikia vykdyti tame serverio kelyje, kuris iš tikrųjų sukuria paskyrą, priima užsakymą ar paskelbia pranešimą. Jei kitas to paties veiksmo adresas priima užklausą be patikros, formoje matomas valdiklis jo neapsaugo. „reCAPTCHA v3“ atveju vien galiojančio žetono taip pat neužtenka: programai reikia nuspręsti, kaip elgtis su gautu rizikos įverčiu. Abu pasirinkimai reikalauja taisyklių pasikartojantiems bandymams ir aiškios reakcijos į patikros klaidą.

Ką Lietuvoje ir EEE reiškia privatumo skirtumas

„Turnstile“ deklaruojamas formos turinio atskyrimas nuo saugumo signalų yra konkretus privalumas, jei forma renka pirkėjo ar registruojamo žmogaus duomenis. Vis dėlto naršyklės aplinkos signalai taip pat yra duomenų srautas, kurį svetainės valdytojas turi įvertinti. Svarbu žinoti, kada patikra įkeliama, kokius duomenis ji perduoda, kokios sutarties sąlygos taikomos ir kaip lankytojui paaiškinamas saugumo tikslas. Vien mažiau matoma užduotis į šiuos klausimus neatsako.

„Google“ „Fraud Defense“ DUK nurodo, kad nuo 2026 m. balandžio 2 d. šios paslaugos klientas yra klientų duomenų valdytojas, o „Google“ juos tvarko kaip tvarkytojas; rizikos analizei naudojamas slapukas „_GRECAPTCHA“ išlieka. Šis paaiškinimas skirtas „Google Cloud Fraud Defense“ duomenų tvarkymui, todėl jo nereikėtų be papildomo patikrinimo laikyti kiekvienos senesnės integracijos aprašymu. EEE svetainės valdytojui pasirinkimas reiškia ir sutartinių sąlygų, privatumo pranešimo bei galimų duomenų perdavimo sąlygų peržiūrą, atsižvelgiant į naudojamą integraciją.

Ką parodė bandymas su sprendimo paslaugomis ir DI agentais

„Broken Gates“ tyrime autoriai išbandė „Turnstile“, „reCAPTCHA v2“, „reCAPTCHA v3“ ir „hCaptcha“ kontroliuojamose formose, naudodami septynias komercines užduočių sprendimo paslaugas bei šešis DI valdomus naršyklės agentus. Palaikytuose „reCAPTCHA v2“ ir „Turnstile“ bandymuose sprendimo paslaugos dažnai pasiekė visišką sėkmę, o „reCAPTCHA v3“ atveju jų vidutinė sėkmė buvo 23 proc. Tai konkrečių bandytų konfigūracijų ir užpuoliko priemonių rezultatas, o ne visų šias sistemas naudojančių svetainių saugumo įvertinimas.

Agentų rezultatai atskleidė kitą ribą. Dalis jų nesugebėjo įveikti patikrų įprasta konfigūracija, tačiau vienas naršyklės plėtinio agentas veikė aplinkoje su išlikusiais slapukais, istorija ir stabilesniais naršyklės požymiais; jo rezultatas skyrėsi nuo panašiai besielgusio agento švarioje automatizuotoje aplinkoje. Taigi apsauga priklausė ne vien nuo gebėjimo atlikti užduotį, bet ir nuo naršyklės aplinkos patikimumo signalų. Tikroje parduotuvėje ar registracijos sistemoje rezultatą dar keistų pačios svetainės taisyklės, srautas ir užpuoliko turimos priemonės.

Sprendimo matrica pagal saugomą veiksmą

Rinktis lengviau įvardijus veiksmą, piktnaudžiavimo būdą ir klaidingo atmetimo kainą. Toliau pateiktos gairės nusako tinkamą pradžią skirtingoms situacijoms, o ne garantuotą tiekėjo rezultatą.

• Elektroninė parduotuvė. Jei atsiskaitymo eigai ypač svarbu vengti matomų užduočių, o komandai reikia aiškios žetono patikros prieš priimant užsakymą, tinka „Turnstile“. „reCAPTCHA v3“ naudingesnė, jei parduotuvė jau gali skirtingai tvarkyti mažos ir didelės rizikos veiksmus. Nei vienos patikros žetonas pats neįvertina viso užsakymo: pasikartojančius bandymus ar mokėjimo piktnaudžiavimą reikia riboti ir pagal parduotuvės turimus signalus.
• Registracijos forma. „Turnstile“ tinka, kai svarbiausias paprastas leidimo arba atmetimo sprendimas ir mažiau lankytojui matomų veiksmų. „reCAPTCHA v3“ verta svarstyti, kai tarpinio rizikingumo registracijai galima numatyti papildomą patvirtinimą, o ne vien ją atmesti. Abiem atvejais reikšminga, kiek teisėtų žmonių užbaigia registraciją ir ar kartotinės automatizuotos paskyros sukuriamos nepaisant patikros.
• Viešas formos API adresas. Jei jį kviečia naršyklėje veikianti forma, žetoną tikrinkite pačiame užklausą priimančiame adrese ir taikykite užklausų ribojimą. Jei tas pats adresas skirtas programoms be naršyklės, CAPTCHA valdiklis jų srautui netinka: jam reikia atskiro autentifikavimo ir naudojimo ribų. Šis skirtumas neleidžia supainioti apsaugotos formos su apsaugotu API.

Jei du variantai vienodai gerai sulaiko jūsų svetainei būdingą piktnaudžiavimą, pasirinkimą gali nulemti mažesnė teisėtų lankytojų trintis ir aiškesnės duomenų tvarkymo sąlygos. Kai piktnaudžiavimas prisitaiko prie patikros, didžiausią reikšmę įgyja serverio sprendimai dėl konkretaus veiksmo.

Taip pat skaitykite:

• „Microsoft Fabric“ agentams atveria duomenis, bet svarbios dalys dar bandomos
• Saugus DNS naršyklėje: neteisingas adresas gali palikti apsaugą tik tariamą
• ChatGPT ar Gemini „Deep Research“: šaltinių gausa dar nereiškia tikslumo