Turnstile hay reCAPTCHA: miễn phí không đồng nghĩa chặn bot tốt hơn

Với biểu mẫu web có lưu lượng lớn, Turnstile Free là lựa chọn có lợi về phí xác minh. reCAPTCHA Premium đáng cân nhắc nếu dịch vụ cần tính năng bảo vệ tài khoản hoặc SDK di động. Lựa chọn giữa hai bên vì thế phụ thuộc vào luồng cần bảo vệ, tính năng cần dùng và cách website triển khai, chứ không chỉ vào mức phí công bố.

Việc người dùng ít phải giải câu đố cũng không cho biết bot khó vượt qua đến đâu. Nghiên cứu về dịch vụ giải CAPTCHA và AI agent cho thấy kết quả thay đổi theo cơ chế xác minh, cấu hình thử nghiệm và môi trường trình duyệt. Chi phí, mức cản trở người dùng và hiệu quả phòng vệ cần được xét như những tiêu chí riêng.

Chi phí tại ba mức lưu lượng

Bảng gói Turnstile của Cloudflare ghi gói Free không giới hạn lượt thử thách hoặc yêu cầu xác minh, nhưng giới hạn 20 widget mỗi tài khoản và 10 tên miền mỗi widget. Cloudflare xem gói này là phù hợp với phần lớn ứng dụng đang vận hành; gói Enterprise cần liên hệ để nhận báo giá. Turnstile có thể dùng trên website không sử dụng dịch vụ mạng khác của Cloudflare.

Tài liệu tính phí của Google quy định 10.000 lượt đánh giá miễn phí mỗi tháng theo toàn tổ chức, cộng gộp trên các tài khoản và website. Với gói Premium, mức từ 10.001 đến 100.000 lượt chịu phí cố định 8 USD; phần vượt 100.000 lượt tính 1 USD cho mỗi 1.000 lượt. Dự án dùng Essentials mà chưa bật thanh toán sẽ nhận lỗi hạn mức đối với yêu cầu mới sau khi tổ chức dùng hết phần miễn phí, thay vì tự động chuyển sang tính phí.

Nếu giả định toàn bộ lượt đánh giá trong ví dụ thuộc cùng một tổ chức và cùng một tháng, phép tính từ các mức giá trên là:

• 10.000 lượt: Turnstile Free và reCAPTCHA đều có phí dịch vụ 0 USD.
• 100.000 lượt: Turnstile Free có phí dịch vụ 0 USD nếu cấu hình nằm trong giới hạn gói; reCAPTCHA Premium là 8 USD.
• Một triệu lượt: Turnstile Free vẫn có phí dịch vụ 0 USD trong giới hạn gói; reCAPTCHA Premium là 908 USD, gồm 8 USD phí cố định và 900 USD cho phần vượt ngưỡng.

Các con số này so sánh phí xác minh theo bảng giá, không phải tổng chi phí chống gian lận. Turnstile Free có thể cần thay đổi cách phân bổ widget nếu một tổ chức quản lý nhiều biểu mẫu hoặc tên miền. Ở phía Google, hạn mức miễn phí dùng chung khiến lưu lượng từ ứng dụng khác trong cùng tổ chức ảnh hưởng đến thời điểm bắt đầu tính phí của biểu mẫu đang xét.

Ma sát phụ thuộc vào cơ chế và gói sử dụng

Turnstile có thể xác minh trong nền hoặc yêu cầu người dùng tương tác, tùy chế độ widget và tín hiệu của phiên truy cập. Bởi vậy, một lần gửi biểu mẫu không gặp câu đố chỉ mô tả trải nghiệm của phiên đó. Khi so sánh trên website thật, tỷ lệ hoàn tất biểu mẫu và tỷ lệ người dùng hợp lệ bị cản trở có ý nghĩa hơn ấn tượng từ một lần thử.

reCAPTCHA cũng không chỉ có câu đố chọn ảnh. Trang sản phẩm của Google mô tả xác minh dựa trên điểm rủi ro và đặt reCAPTCHA trong nền tảng Fraud Defense rộng hơn. Bảng gói trên trang này liệt kê bảo vệ tài khoản và SDK cho iOS, Android ở Premium, còn Essentials không có các mục đó. Những tính năng của cả nền tảng cần được đối chiếu theo đúng gói, thay vì mặc nhiên coi chúng là khả năng của mọi cách triển khai reCAPTCHA.

Với biểu mẫu liên hệ, một lần chặn nhầm có thể làm mất yêu cầu hợp lệ. Với đăng nhập, cho qua nhầm có thể tạo thêm cơ hội thử thông tin đăng nhập tự động. Hai luồng có hậu quả khác nhau, nên cùng một tỷ lệ hoàn tất không đủ để đánh giá cả trải nghiệm lẫn khả năng bảo vệ.

Dịch vụ solver và AI agent vượt qua được đến đâu?

Trong nghiên cứu Broken Gates, nhóm tác giả thử bảy dịch vụ giải CAPTCHA và sáu AI agent điều khiển trình duyệt với reCAPTCHA v2, v3, Turnstile và hCaptcha. Ở phép đo dịch vụ solver, các nhà cung cấp có hỗ trợ cấu hình reCAPTCHA v2 hoặc Turnstile được thử đều đạt tỷ lệ cấp token hợp lệ 100%; tỷ lệ thành công trung bình với reCAPTCHA v3 là 23% khi yêu cầu điểm lớn hơn 0,5. Đây là kết quả trên các trang và cấu hình thử nghiệm của nghiên cứu, không phải tỷ lệ bot lọt qua mọi website dùng những sản phẩm đó.

Khác biệt giữa các cơ chế rất quan trọng. Với thử thách hoặc token có thể chuyển cho dịch vụ chuyên giải, kẻ tấn công có thể thuê bên thứ ba thực hiện bước xác minh. reCAPTCHA v3 trong thí nghiệm không đưa ra câu đố để giải theo cách ấy: dịch vụ phải tạo được token gắn với điểm tin cậy đủ cao. Nghiên cứu cũng ghi nhận không phải dịch vụ solver nào được khảo sát cũng hỗ trợ Turnstile, nên không thể lấy kết quả của nhóm có hỗ trợ để mô tả toàn bộ thị trường solver.

Kết quả AI agent kể một câu chuyện khác. Nhiều cấu hình agent không vượt qua được lớp xác minh nếu thiếu bộ giải chuyên dụng, trong khi một số cấu hình chạy trong môi trường trình duyệt khác lại thành công. Phân tích của nhóm tác giả cho thấy các dấu hiệu về tính xác thực của môi trường thực thi có thể quyết định kết quả ngay cả khi hành vi tương tác trông gần giống nhau. Điều này khiến cả nhận định “ít ma sát nên yếu hơn” lẫn “ít ma sát nên an toàn hơn” đều quá đơn giản.

Widget chỉ có tác dụng khi máy chủ xác minh token

Với Turnstile, bước nhúng widget là chưa đủ. Hướng dẫn triển khai của Cloudflare yêu cầu widget tạo token trên trình duyệt rồi máy chủ gửi token đến Siteverify API để kiểm tra. Token hết hạn sau 300 giây và chỉ được xác minh một lần; token không hợp lệ, hết hạn hoặc đã dùng cần bị từ chối. Cloudflare coi xác minh phía máy chủ là phần bắt buộc của cấu hình.

Hệ quả đối với biểu mẫu và đăng nhập rất cụ thể: quyết định nhận yêu cầu phải dựa trên kết quả xác minh ở máy chủ, không dựa vào việc widget đã xuất hiện trên trang. Một website vẫn xử lý biểu mẫu khi thiếu token hợp lệ sẽ bỏ qua chính lớp kiểm tra mà mình đã cài. Khi chuyển từ reCAPTCHA sang Turnstile, phần cần đối chiếu là toàn bộ đường đi từ lúc tạo token đến quyết định nhận yêu cầu, không chỉ phần hiển thị cho người dùng.

Chọn theo luồng cần bảo vệ

Turnstile Free phù hợp khi mục tiêu chính là bảo vệ biểu mẫu web với chi phí xác minh dễ dự báo và cấu hình nằm trong giới hạn widget, tên miền. reCAPTCHA Premium có lý do để cân nhắc khi dịch vụ cần bảo vệ tài khoản hoặc SDK di động trong các gói Google cung cấp. Nếu lưu lượng thấp, chênh lệch phí dịch vụ có thể nhỏ hơn công tích hợp và quản trị; nếu lưu lượng cao, cách Google cộng dồn lượt đánh giá trên toàn tổ chức trở thành yếu tố ngân sách rõ rệt.

Đối với một website phải chọn giải pháp, phép thử hữu ích là đặt các cấu hình dự định triển khai trên cùng loại luồng và theo dõi riêng yêu cầu hợp lệ hoàn tất, yêu cầu đáng ngờ bị cản và trường hợp cần xử lý bổ sung. Bảng giá trả lời chi phí theo lượt; kết quả nghiên cứu chỉ ra những đường vượt qua đã quan sát được; dữ liệu của chính luồng sử dụng mới cho biết sự đánh đổi nào phù hợp với website đó.

Đọc thêm:

• Make hay Zapier cho AI agent: 9.000 kết nối không luôn thắng luồng rẽ nhánh
• Claude sửa 10 lỗi căn chỉnh: kết quả tốt nhưng benchmark vẫn là giới hạn
• Cloud đa chip cho AI inference: nhanh hơn không đồng nghĩa rẻ hơn