Scopri come funzionano i moderni CAPTCHA. Confronta Google reCAPTCHA, Cloudflare Turnstile e altri provider in termini di funzionalità, prezzi e consigli d’integrazione.
CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart, cioè Test di Turing Pubblico Completamente Automatizzato per distinguere Computer e Umani) è un sistema di sfida-risposta utilizzato per distinguere gli esseri umani dai programmi automatizzati o bot. Propone compiti facili per gli umani ma difficili per le macchine.
Ad esempio, un CAPTCHA tradizionale potrebbe mostrare lettere o numeri distorti chiedendo all’utente di digitarli. Grazie al riconoscimento di schemi umani, i CAPTCHA bloccano la maggior parte degli script e dei bot spam che cercano di abusare di moduli online e servizi.
I CAPTCHA classici si basano su compiti come interpretare testi distorti o selezionare immagini specifiche. La distorsione (es. lettere deformate sovrapposte a rumore) impedisce il funzionamento di semplici algoritmi OCR (Optical Character Recognition, riconoscimento ottico dei caratteri).
Le soluzioni CAPTCHA moderne si sono evolute in diverse categorie:
Usare un CAPTCHA rappresenta un compromesso tra sicurezza ed esperienza utente. Quando si sceglie un servizio CAPTCHA, le considerazioni chiave sono:
I CAPTCHA sono efficaci contro i bot semplici, ma gli aggressori determinati hanno contromisure. Script avanzati o bot basati su IA a volte possono superare i CAPTCHA usando OCR/riconoscimento immagini e machine learning. Esistono anche servizi anti-CAPTCHA o “solver” (spesso chiamati bypass-as-a-service) dove gli aggressori pagano umani o AI specializzati per risolvere CAPTCHA su larga scala. Ad esempio, Google ha riportato che i vecchi CAPTCHA testuali potevano essere risolti dai bot oltre il 99% delle volte.
Tuttavia, i CAPTCHA moderni non interattivi e invisibili, come quelli basati sul comportamento o i controlli crittografici in background, offrono una difesa migliore contro gli attacchi IA. È importante notare che il traffico bot è ormai enorme: circa il 51% di tutto il traffico Internet, di cui il 37% è dannoso. Quindi avere qualche forma di CAPTCHA o rilevamento dei bot è importante, anche se non infallibile.
Inoltre, è necessario aggiungere una protezione multi-livello contro i bot, come il fingerprinting del dispositivo (es. tramite passkey), il rate limiting e la Autenticazione Multi-Fattore.
Ogni CAPTCHA aggiunge attrito per gli utenti. Gli studi mostrano che solo il 66% circa degli utenti inserisce correttamente un CAPTCHA al primo tentativo — molti si frustrano o abbandonano il modulo. Ad esempio, puzzle immagini lunghi o più tentativi possono ridurre i tassi di conversione.
Per ridurre questo impatto, i provider CAPTCHA moderni si concentrano su come minimizzare lo sforzo umano. Le strategie includono:
Cloudflare segnala che Turnstile “elimina l’esperienza frustrante dei CAPTCHA”, così gli utenti legittimi “non devono più perdere tempo ed energie risolvendo puzzle visivi”. In pratica, molti siti mostrano solo una casella di spunta o una sfida immagine quando il comportamento dell’utente sembra sospetto; agli utenti normali spesso non viene mostrato nulla.
Oggi emergono sempre più agenti IA, progettati per automatizzare task e interagire con servizi di terze parti.
Molti agenti IA specifici di dominio si collegano in modo sicuro e legittimo ad app di terze parti tramite protocolli standard come OAuth e MCP (Model Context Protocols). Questo è un modo sicuro e approvato di concedere accesso all’agente e consente agli utenti di autorizzare facilmente.
Tuttavia, alcuni ambiziosi agenti IA “general-purpose” cercano di sostituire completamente le azioni umane di navigazione. Ad esempio, Manus è pensato per automatizzare tutto ciò che una persona può fare in un browser, dalla compilazione di moduli all’accesso con username e password. Nei test reali, Manus fatica a superare i CAPTCHA moderni ad alta sicurezza come Cloudflare Turnstile e Google reCAPTCHA Enterprise, anche se l’utente prova a cedere la sessione a una persona reale per risolvere manualmente la sfida. Se stai sviluppando un agente IA, è importante progettare con attenzione i flussi di autenticazione. Fare affidamento sull’automazione del browser per accedere come un umano è sempre meno praticabile, poiché i CAPTCHA evoluti bloccano efficacemente le interazioni da bot.
I servizi CAPTCHA variano da gratuiti a pagamento. I piani gratuiti spesso limitano l’utilizzo o offrono funzioni di base. Ad esempio:
Controlla attentamente limiti e prezzi dei provider in base al traffico atteso e agli obiettivi di conversione.
I CAPTCHA vengono generalmente inseriti ovunque i bot possano causare problemi. Gli scenari più comuni sono:
Inserendo i CAPTCHA in questi punti strategici, riduci notevolmente l’abuso automatizzato mantenendo il sistema aperto agli utenti legittimi.
| Provider CAPTCHA | Esperienza utente | Piano & prezzi |
|---|---|---|
| reCAPTCHA v2 (Google) | Gli utenti devono cliccare una casella "Non sono un robot". Potrebbero o meno ricevere puzzle con immagini. | Gratis (Essentials) fino a 10K richieste/mese; poi piani a pagamento (Standard/Enterprise). La versione Enterprise costa $8 fino a 100K e $1 per ogni 1K aggiuntivi. |
| reCAPTCHA v3 (Google) | Invisibile, punteggio di rischio in background (nessuna sfida per l’utente). | Stessi piani di prezzo del reCAPTCHA v2 |
| reCAPTCHA Enterprise (Google) | Due modalità interattive: 1. Basata sul punteggio (nessuna sfida). 2. Casella di spunta e sfida visiva adattiva. | Prezzo per volume: gratis fino a 10K; $8 fino a 100K; $1/1K oltre. Funzionalità aggiuntive come account defender e protezione SMS contro le frodi. |
| Cloudflare Turnstile | Tre modalità: 1.Gestita: Cloudflare decide chi vede la casella di spunta. 2. Non interattiva: tutti vedono un widget che si carica automaticamente, senza interazione. 3. Invisibile: i visitatori non vedono né interagiscono col widget. Le sfide invisibili durano pochi secondi. | Praticamente gratuito. Piano gratuito: fino a 20 widget CAPTCHA, 15 host per widget, traffico illimitato. Piano Enterprise: nessuna limitazione. |
| hCaptcha | Sfide di classificazione immagini (simile a reCAPTCHA v2). Puntano sulla privacy, ma i puzzle possono essere complessi. | Gratis fino a 100K richieste/mese. Piano Pro da ~$99/mese. Piani custom per Enterprise. |
| FunCaptcha (Arkose Labs) | Micro-giochi gamificati (ruota/sposta oggetti, quiz semplici). Puzzle più coinvolgenti per sconfiggere i bot. | Nessun piano gratuito. Solo soluzione Enterprise (Arkose Bot Management), contattare per prezzi. |
| Friendly Captcha | Puzzle proof-of-work completamente invisibile. Nessuna azione richiesta all’utente, tutto risolto in background. | Piano non commerciale gratuito (1 dominio, 1000 richieste). Piani a pagamento: Starter €9/mese (1K richieste); Growth €39/mese (5K); Advanced €200/mese (50K); Enterprise custom. |
| BotDetect (Captcha.com) | CAPTCHA tradizionali con lettere/numeri in immagini o audio. | Self-hosted e basato su licenza. Nessun piano gratuito. Licenza APT circa $99/anno. |
Tra questi, Cloudflare Turnstile oggi si distingue. È gratuito, facile da integrare e non invasivo. Turnstile blocca efficacemente i bot senza costringere gli utenti legittimi a risolvere puzzle, e “non raccoglie mai dati per il retargeting pubblicitario”, rispettando pienamente la privacy. Per la maggior parte dei siti, Turnstile offre il miglior equilibrio tra sicurezza, UX e costo.
Il modo più semplice per aggiungere un CAPTCHA è utilizzare una piattaforma di identità integrata.
Logto, una soluzione IAM per sviluppatori, supporta i primari provider come Google reCAPTCHA Enterprise e Cloudflare Turnstile, così puoi abilitare CAPTCHA in pochi clic.
Con Logto, il tuo team può mettere in sicurezza tutti i flussi di autenticazione senza doversi occupare di implementazioni complesse: registrazione, login, recupero account, SSO, MFA, gestione multi-tenant, ecc. Scopri di più sul CAPTCHA di Logto o contatta il team se vuoi esplorare altre opzioni provider.