Turnstile или reCAPTCHA: бесплатни лимит није иста врста заштите

За контакт форму која углавном прима нежељене аутоматизоване поруке, Cloudflare Turnstile је често једноставнији избор: бесплатне провере не зависе од обима, а посетилац обично не мора да решава видљив задатак. Ако штитите регистрацију, пријаву или плаћање, сама провера бота није увек довољна. Тада избор зависи од тога да ли треба проценити злоупотребу налога, лозинке, SMS потврде или трансакције.

reCAPTCHA Essentials покрива основну заштиту веб форме у оквиру заједничке бесплатне квоте. Плаћени reCAPTCHA Premium додаје наменске могућности за ризике који настају после слања форме, нарочито у токовима налога и наплате. Зато два бесплатна нивоа могу да решавају сличан почетни проблем, али не пружају исту ширину одбране за осетљивије радње.

Цена на 10.000 и 100.000 провера

Cloudflare-ов план за Turnstile предвиђа неограничен број изазова и захтева за проверу на бесплатном нивоу, уз највише 20 виџета по налогу и 10 назива хостова по виџету. Ограничење је, дакле, у организацији више сајтова и конфигурација, а не у броју послатих контакт форми. Turnstile се може користити и без других Cloudflare услуга.

Google-ов ценовник за reCAPTCHA даје Essentials нивоу 10.000 бесплатних процена месечно по организацији, збирно за све налоге и сајтове. Premium такође не наплаћује првих 10.000 процена, али захтева подешено плаћање; од 10.001 до 100.000 процена цена је фиксних 8 долара месечно, а изнад тог обима 1 долар за сваку следећу хиљаду. Одбрана налога је доступна у Premium нивоу, док провере лозинки, SMS-а и трансакција траже додатну процену.

Ако условно рачунамо једну основну процену по слању форме, на 10.000 месечних провера накнада за оба сервиса износи нула долара. На 100.000 провера бесплатни Turnstile и даље нема накнаду по провери, док reCAPTCHA Premium кошта 8 долара месечно; Essentials не покрива тај обим. Тај рачун не укључује рад на интеграцији, нити додатне Premium процене које могу бити потребне у регистрацији или плаћању. За организацију са више сајтова посебно је важно што се Google-ова бесплатна квота сабира, док се Cloudflare-ова ограничења односе на број виџета и хостова.

Шта посетилац види и шта провера обрађује

Cloudflare-ов опис Turnstile-а наводи управљани режим, који према процени ризика може да прикаже поље за потврду, као и неинтерактивни и невидљиви режим. Услуга може да ради без усмеравања саобраћаја сајта преко Cloudflare CDN-а. Cloudflare декларише усклађеност са WCAG 2.2 AA и наводи да Turnstile не приступа, не чува и не преноси садржај порука и унетих поља форме.

То не значи да провера ради без икаквих података: за разликовање посетиоца од аутоматизованог захтева користи сигнале о прегледачу и његовом окружењу. За власника сајта разлика је практична јер садржај упита послатог кроз контакт форму није исто што и сигнали потребни за проверу. Приступачност такође није само питање присуства видљивог изазова. Када легитимна провера не успе, корисник треба да добије разумљиву поруку и могућност да поново пошаље захтев, без губитка већ унетог текста.

reCAPTCHA такође може да процењује ризик без класичног сликовног задатка. Зато мање кликова само по себи није поуздан критеријум избора: важни су исход за стварног посетиоца, подаци које сервис користи и врста радње која се штити. Код јавне контакт форме трење за корисника често има већу тежину него код исплате или промене података налога, где погрешно прихваћен захтев може имати знатно већу последицу.

Матрица избора: контакт форма, регистрација и плаћање

• Контакт форма. Када је главна штета нежељена порука, Turnstile је разуман почетни избор због бесплатних провера и режима без интерактивног задатка. reCAPTCHA Essentials је такође погодан ако организација већ користи Google-ову инфраструктуру и њене укупне процене остају у бесплатној квоти. У оба случаја сервер треба да прихвати поруку тек после успешне провере токена; приказан виџет сам не штити пријемни систем.
• Регистрација и пријава. Основна провера бота може да успори аутоматизовано отварање налога, али не одговара на свако питање о злоупотреби налога. Ако су главни ризик украдене лозинке, лажни налози или трошак злоупотребљених SMS потврда, Premium нуди наменске процене. Трошак зато треба рачунати према проценама у целом току регистрације и пријаве, а не према броју приказа почетне странице.
• Плаћање. Turnstile може да буде препрека аутоматизованом слању захтева, али његова основна провера не процењује ризик саме трансакције. Premium укључује одбрану трансакција уз додатну процену. За продавницу је избор зато везан за конкретан проблем: смањење бот захтева на обрасцу или процену могуће преваре у току наплате. Провера бота и процена трансакције остају различити кораци у односу на правила платног система и контролу поруџбина.

Миграција захтева и промену на серверу

Cloudflare-ово упутство за миграцију описује режим компатибилности до reCAPTCHA v2: мењају се клијентска скрипта и кључ, а серверски позив прелази на Turnstile Siteverify. Режим компатибилности задржава познато име поља за одговор и део клијентског начина позивања. Ипак, серверска интеграција мора да се измени: док Google-ов Siteverify може да користи GET, Turnstile прихвата POST са подацима форме или JSON телом.

На серверу треба проверити резултат за сваки заштићени захтев и одбити радњу када провера не успе. Ако се апликација ослања само на то да је прегледач приказао виџет, директан захтев може да заобиђе страницу са провером. Серверска провера токена зато припада самом прихватању форме, било да је посетиоцу виџет био видљив или није.

Шта тестови говоре о заобилажењу

У раду Broken Gates испитано је седам комерцијалних сервиса за решавање изазова и шест агената заснованих на великим језичким моделима, у конфигурацијама које су обухватиле reCAPTCHA v2, reCAPTCHA v3, Turnstile и hCaptcha. Комерцијални решавачи су у тим условима веома успешно и јефтино пролазили интерактивне изазове; агенти су то такође могли када су имали посебан модул за решавање. Неинтерактивне одбране, попут reCAPTCHA v3 у истом истраживању, показале су већу отпорност, али су аутори утврдили да исход може зависити од аутентичности окружења у ком агент ради.

Из тог резултата не следи један проценат заштите који важи за сваки сајт, нити тврдња да је сваки неинтерактивни режим јачи од сваког интерактивног. Конфигурација, врста напада и радња коју нападач жели да изведе мењају исход. Зато је за контакт форму разумна основна провера уз праћење порука које ипак стижу, док за налоге и плаћања тежину добијају процене ризика везане за конкретну радњу. Бесплатна квота одређује цену уласка, али врста злоупотребе одређује шта уопште треба штитити.

Прочитајте и:

• Cloudflare Turnstile није готов после widget-а — Siteverify затвара рупу
• Google Takeout до Nextcloud-а: извоз није исто што и потпуна миграција
• Cloudflare R2 или Amazon S3: бесплатан egress мења рачун тек уз читања