Turnstile или reCAPTCHA: меньше трения ещё не означает лучшую защиту

Для веб-форм с большим потоком отправок Cloudflare Turnstile может быть удобным выбором: проверка часто проходит без действия посетителя, а бесплатный план не ограничивает число запросов. Google reCAPTCHA стоит рассмотреть, если сайту нужны оценка риска и правила для подозрительных действий. Удобство проверки само по себе не показывает, какую защиту труднее обойти.

При выборе важны конкретный режим, стоимость при вашем объёме запросов и решение сервера после проверки токена. У обеих систем есть варианты без задачи с картинками; поэтому сравнивать только то, что видит посетитель, недостаточно.

Какое трение испытывает посетитель

У reCAPTCHA v2 флажок может сопровождаться заданием с изображениями. Невидимый вариант v2 обычно обходится без явного действия, но при повышенном риске тоже способен показать задание. reCAPTCHA v3 вместо него возвращает оценку риска, а сайт решает, пропустить запрос или запросить дополнительную проверку. Turnstile также предлагает режимы, в которых посетитель может пройти проверку без нажатия на виджет.

Трение зависит и от самой формы. Для короткого сообщения важны задержка перед отправкой и возможность повторить попытку после отказа. Для входа в учётную запись владелец сайта может допустить дополнительный шаг при подозрительном запросе. Поэтому полезнее сопоставить долю завершённых отправок и повторных попыток в одинаковом сценарии, чем считать отсутствие картинок гарантией удобства для каждого посетителя.

Сколько стоит поток проверок

Условия Turnstile предусматривают на бесплатном плане неограниченное число проверок, до 20 виджетов на учётную запись и до 10 имён хостов на виджет. Для одной формы с большим потоком главным преимуществом становится отсутствие платы за рост числа проверок. Для сети сайтов существеннее могут оказаться ограничения на конфигурации и домены.

Тарифы Google Cloud Fraud Defense дают организации 10 000 бесплатных оценок за календарный месяц по всем её сайтам и учётным записям; на уровне Premium диапазон от 10 001 до 100 000 оценок стоит фиксированные $8, а сверх него указана ставка $1 за 1 000 оценок. Для Premium нужен платёжный инструмент. Дополнительные возможности, включая правила проверки и защиту учётных записей, зависят от уровня тарифа.

Здесь сравниваются разные единицы и возможности: Turnstile ограничивает число бесплатных конфигураций, а Google тарифицирует оценки после общего месячного порога. Если форма собирает много заявок, но использует простое решение «пропустить или отклонить», условия Turnstile могут быть выгоднее. Если сайт уже принимает решения по оценке риска, сравнивать нужно стоимость всего этого процесса, а не цену одного виджета.

Что должен проверить сервер

Инструкция Cloudflare по проверке токена требует отправлять его с сервера в Siteverify: токен действует пять минут и принимается однократно. Виджет в браузере не защищает обработчик формы сам по себе: запрос можно направить прямо на адрес отправки. Сохранять заявку или выполнять другое защищаемое действие следует после успешного ответа сервиса проверки.

Для классической reCAPTCHA инструкция Google также требует серверной проверки токена с секретным ключом; токен действует две минуты и используется один раз. Это описание классического способа интеграции, а не универсальная схема для любого ключа Google Cloud Fraud Defense. При миграции важно установить, какой именно продукт и обработчик уже работают на сайте.

Серверу следует отклонять запрос без токена, с неуспешным ответом проверки или с повторно использованным токеном. Если посетитель долго заполнял форму и токен истёк, интерфейс должен позволить получить новый и повторить отправку. Такое поведение влияет на число потерянных заявок не меньше, чем внешний вид проверки.

Что показали испытания обхода

В исследовании Broken Gates семь коммерческих сервисов решения и шесть браузерных ИИ-агентов испытывали на контролируемых формах с разными режимами защиты: поддерживавшие Turnstile и reCAPTCHA v2 сервисы проходили все испытанные попытки, тогда как средний успех против reCAPTCHA v3 составил 23% при принятом авторами пороге оценки риска выше 0,5. Проверялся полученный результат в этих конфигурациях, а не любой сайт с тем же названием продукта.

Различие помогает понять предел сравнения. Коммерческий сервис может предоставить принимаемый токен, не заставляя основную автоматизацию решать задачу самостоятельно. Браузерный ИИ-агент способен заполнить форму, но получить отказ из-за признаков своей среды; в отдельных испытанных конфигурациях агенты всё же завершали отправку. Значит, более незаметная проверка может лучше задерживать один способ обхода и хуже справляться с другим.

Особенно осторожно следует переносить результат reCAPTCHA v3 на чужую форму. Сайт сам выбирает, как действовать по оценке риска, а исход испытания зависел от порога и среды браузера. Если противник пользуется готовым сервисом решения, видимая задача не обязательно создаёт для него существенный барьер. Если атака идёт через браузерную автоматизацию, значение приобретают признаки самой среды и правила обработки подозрительной отправки.

Карта миграции и модель выбора

Переход между системами затрагивает не только код виджета. Чтобы сохранить работу формы, проверьте связанные части интеграции:

• Ключи и домены. Создайте ключи выбранного сервиса для рабочих и тестовых форм; сопоставьте их с доменами, где должна работать проверка.
• Отправка формы. Получайте новый токен для попытки отправки и предусмотрите повтор после отказа или истечения срока его действия.
• Обработчик. Замените серверный вызов проверки, секрет и разбор ответа. Прямой запрос к обработчику без принятого токена не должен выполнять защищаемое действие.
• Правила риска. Если форма использует оценку reCAPTCHA v3, отдельно перенесите решение о том, какие запросы пропускать, отклонять или направлять на дополнительную проверку: простой обмен виджетов этой логики не сохраняет.

Для контактной формы с большим объёмом и требованием минимального трения разумно сначала оценить Turnstile: его тариф не растёт с числом проверок, а серверная интеграция даёт ясное решение по токену. Для входа и других действий, где сайт использует оценку риска и разные реакции на подозрительные запросы, функции reCAPTCHA могут оправдать более сложную настройку и платный уровень. В обоих случаях окончательный выбор зависит от того, сколько добросовестных посетителей завершат действие и какой именно способ автоматической отправки нужно сдержать.

Читайте также:

• Высокий CTR ещё не означает результат: как считать и повышать кликабельность
• Трафик на сайт: почему больше визитов ещё не означает больше результата
• YouTube поставил метку ИИ автоматически: когда автор ещё может её снять