reCAPTCHA v3

Опять приходит спам?

В июле 2019 года мы стали получать от клиентов жалобы на приходящий спам, несмотря на то, что с 2015 года на всех наших сайтах установлен механизм защиты reCAPTCHA 2.0 от Google. До определенного времени этот метод работал идеально. Но на сегодняшний момент он даёт сбои — злоумышленники научились использовать искусственный интеллект для взлома капчи с целью отправки нежелательного спама.

Выход есть!

В мае 2019 года компания Google выпустила новую версию своей капчи — reCAPTCHA 3.0.

Мы сразу сделали интеграцию с новым сервисом. И теперь в тестовом режиме запускаем его на своих сайтах.

Немного истории

2000 г.	Самой первой и самой простой капчей было отображение в форме текстовых символов. Защита при помощи такой капчи была очень сомнительной: она больше мешала пользователю отправить форму, а простейшие боты легко ее обходили.
2000-ые	Следующее поколение капчи — отображение символов в виде изображения (использовались нестандартные шрифты, накладывался шум и посторонние линии). Было множество вариантов таких капч от различных компаний. Есть готовые скрипты для интеграции такой капчи на сайт.
2011 г.	Выход reCAPTCHA первой версии от компании Google. В качестве картинок с текстом использовались отсканированные куски из архивов газеты «The New York Times». Также была добавлена возможность голосового воспроизведения для слабослышащих людей.
2014 г.	Выход второй версии reCAPTCHA. Теперь пользователю предлагается нажать на чекбокс для проверки его «человечности». Для проверки использовались простые алгоритмы поведенческого анализа, и если система считала вас ботом, пользователю предлагалось выбрать все картинки, отвечающие определенным условиям.
2019 г.	Выход reCAPTCHA 3.0.

Как работает reCAPTCHA 3.0, и в чем ее отличие от существующих методов защиты

Третья версия reCAPTCHA использует искусственный интеллект для определения вашего статуса (человек или бот?). Во время нахождения пользователя на сайте система в фоновом режиме постоянно проводит анализ поведения и действий пользователя. Грубо говоря, программа «смотрит» на движения мышкой, следит за нажатиями на клавиатуру, движениями пальцем по экрану смартфона. Затем она сравнивает это поведение с другими пользователями, со стандартными человеческими шаблонами поведения и делает вывод по поводу того, кто пытается отправить форму: человек или же бот, эмулирующий действия человека. Каждому посетителю сайта система выставляет «балл» в процентном отношении. И этот процент определяет степень вероятности того, что пользователь — человек, по следующему принципу: 0% — точно бот, 100% — точно человек.

А администратор сайта самостоятельно может настраивать порог фильтрации. Например, если это просто форма обратной связи, то лучше выставить порог в 90%. Очень маловероятно, что бот пройдет через капчу. Если же это интернет-магазин, и потеря даже одного заказа существенна, то лучше выставить порог в 30%, тогда вероятность, что человек не сможет пройти капчу, снижается, и вы точно не потеряете заказ.

А есть ли минусы в новой капче?

^{Минусы новой капчи}

Основное достоинство новой капчи — это то что она работает полностью в фоновом режиме, и пользователь никак с ней не взаимодействует. Отсюда и вытекает единственный недостаток: в случае, если система посчитала вас ботом, у вас не будет возможности доказать обратное — вы получите предупреждение и не сможете отправить свою заявку/вопрос. Но такое в основном встречается только на новых сайтах, где алгоритмы пока еще «не научились» на ваших пользователях.

Что делать:

Набраться терпения и ждать. Как уверяет компания Google, и как показали результаты наших собственных тестов, обучение капчи на новом сайте происходит достаточно быстро, буквально за считанные дни при посещаемости от 100 человек в сутки. После обучения достоверность срабатывания алгоритма превышает 99,5%.

Снизить порог фильтрации. Многим хочется сразу выставить 100% и быть уверенным, что спам точно не пройдет, но в реальности разумнее для начала ставить цифру в пределах 30-70%.

Настроить двухфакторную авторизацию на сайте. Если система считает вас ботом, можно перейти ко второму шагу — подтверждению вашего статуса по коду смс.

В чем опасность бездействия?

^{Вы можете получить подобное сообщение}

Возможные последствия:

попадание домена сайта в спам-базы почтовых сервисов;
большое количество лишних писем в почтовике, проблемы с поиском действительно нужной информации;
возросшая нагрузка на сервер сайта из-за обхода капчи может привести как к его подвисанию, так и к временной блокировке.