Узнайте, как работает современный CAPTCHA. Сравните Google reCAPTCHA, Cloudflare Turnstiles и других провайдеров по функциям, цене и советам по интеграции.
CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart — полностью автоматизированный тест Тьюринга для различения компьютеров и людей) — это система вызов-ответ, предназначенная для различения человеческих пользователей и автоматических программ или ботов. Она предлагает задания, которые легки для людей, но сложны для машин.
Например, традиционный CAPTCHA может показывать искажённые буквы или цифры и просить пользователя ввести их. Используя человеческое распознавание образов, CAPTCHA блокирует большинство скриптов и спам-ботов от злоупотребления онлайн-формами и сервисами.
Классические CAPTCHA основаны на заданиях, таких как распознавание искажённого текста или выбор определённых изображений. Искажение (например, искажённые буквы с наложенным шумом) мешает простым алгоритмам OCR (оптическое распознавание символов).
Современные CAPTCHA-решения развились до нескольких категорий:
Использование CAPTCHA — это баланс между безопасностью и удобством пользователя. При выборе сервиса CAPTCHA важно учитывать:
CAPTCHA эффективны против простых ботов, но опытные злоумышленники имеют контрмеры. Продвинутые скрипты или боты с ИИ иногда могут обходить CAPTCHA с помощью OCR/распознавания изображений и машинного обучения. Существуют даже анти-CAPTCHA или solver-сервисы (называются bypass-as-a-service), где злоумышленники платят людям или ИИ для массового решения CAPTCHA. Например, Google сообщал, что старые текстовые CAPTCHA боты могли решать более чем в 99 % случаев.
Однако современные неинтерактивные и невидимые CAPTCHA, например, поведенческие или криптографические проверки в фоновом режиме, обеспечивают лучшую защиту от ИИ-атак. Важно помнить, что сейчас бот-трафик огромен: около 51 % всего интернет-трафика, из которых 37 % — вредоносные. Поэтому хотя бы некоторый уровень CAPTCHA или бот-детектор необходим, даже если он не гарантирует 100%-ную защиту.
Кроме того, необходима многоуровневая защита от ботов: device fingerprinting (например, с помощью passkeys), ограничение скорости, многофакторная аутентификация (MFA).
Любой CAPTCHA добавляет трение для пользователя. Исследования показывают, что только около 66 % людей проходят CAPTCHA с первого раза, что может привести к раздражению или отказу от заполнения формы. Например, длинные задачи с изображениями или многочисленные повторные попытки снижают конверсию.
Для снижения этого эффекта современные провайдеры CAPTCHA минимизируют усилия для людей. Стратегии включают:
Cloudflare отмечает, что Turnstile «устраняет раздражающий опыт CAPTCHA», и настоящим пользователям «не нужно больше тратить время и усилия на визуальные задачи». На практике многие сайты показывают чекбокс или задачу только при подозрительном поведении; обычные пользователи часто не видят ничего.
Сейчас появляются всё новые AI-агенты, автоматизирующие задачи и взаимодействующие с внешними сервисами.
Многие специализированные AI-агенты безопасно и легитимно подключаются к сторонним приложениям через стандартные протоколы, такие как OAuth и MCP (Model Context Protocols). Это позволяет безопасно предоставить агенту доступ, чтобы пользователь мог одобрять операции комфортно.
Однако амбициозные «универсальные» AI-агенты пытаются полностью заменить действия человека в браузере. Например, Manus создан для полной автоматизации всего, что может делать человек: от заполнения форм до входа с паролем. В реальных тестах Manus сталкивается с трудностями при прохождении современных высокозащищённых CAPTCHA, таких как Cloudflare Turnstile и Google reCAPTCHA Enterprise, даже если пользователь пытается “передать” сессию человеку для ручного решения. Если вы разрабатываете AI-агента, важно тщательно проектировать потоки аутентификации. Опираться на эмуляцию браузера с человеческим поведением всё менее жизнеспособно, так как современные CAPTCHA отлично блокируют ботов.
Услуги CAPTCHA бывают как бесплатными, так и платными. Бесплатные тарифы часто ограничены по объёму или имеют базовые возможности. Примеры:
Обязательно проверьте ограничения и тарифы каждого провайдера для вашего трафика и целей конверсии.
CAPTCHA обычно применяются в местах, где боты могут причинить вред. Чаще всего это:
Использование CAPTCHA в этих точках значительно снижает автоматизированный абьюз, сохраняя сервис доступным для честных пользователей.
| CAPTCHA-провайдер | Пользовательский опыт | Тарифы и цены |
|---|---|---|
| reCAPTCHA v2 (Google) | Пользователь должен кликать по чекбоксу "Я не робот". После клика может появиться испытание с картинками. | Бесплатно (Essentials) до 10 000 проверок/мес, затем платные уровни (Standard/Enterprise). Enterprise: $8 до 100K, далее $1 за 1K. |
| reCAPTCHA v3 (Google) | Невидимая, фоновая оценка риска (без заданий пользователю). | Те же тарифы, что у reCAPTCHA v2 |
| reCAPTCHA Enterprise (Google) | Два режима: 1. Оценка по баллам (без заданий). 2. Чекбокс и адаптивная визуальная задача. | Тариф по объёму: бесплатно до 10K; $8 до 100K; $1/1K сверх. Есть расширения: защитник аккаунтов, защита от SMS-мошенничества. |
| Cloudflare Turnstile | Три режима: 1.Управляемый: Cloudflare решает, кому показывать чекбокс. 2. Неинтерактивный: все видят автозагрузку без участия. 3. Невидимый: посетители вообще ничего не видят. Проверка проходит за пару секунд. | Практически полностью бесплатно. Бесплатно: до 20 CAPTCHA-виджетов, 15 хостов на виджет, безлимит по объёму. Enterprise: безлимит. |
| hCaptcha | Задания с классификацией изображений (похоже на reCAPTCHA v2). Акцент на приватности, но задачи могут быть сложными. | Бесплатно до 100K запросов в месяц. Pro — ~$99/мес. Enterprise — индивидуально. |
| FunCaptcha (Arkose Labs) | Геймифицированные микрозадачи (вращение/перетаскивание объектов, викторины). Более вовлекающие головоломки против ботов. | Бесплатного тарифа нет. Только Enterprise-решения (часть Arkose Bot Management) — цены по запросу. |
| Friendly Captcha | Полностью невидимая «proof-of-work» задача. Пользователь ничего не делает, всё решается в фоне. | Бесплатно для некоммерческих целей (1 домен, 1000 запросов). Платные: Starter €9/мес (1K запросов); Growth €39/мес (5K); Advanced €200/мес (50K); Enterprise — индивидуально. |
| BotDetect (Captcha.com) | Традиционные фото- или аудиозадачи (буквы/цифры). | Самостоятельный хостинг и лицензия. Бесплатного тарифа нет. Лицензия APT около $99/год. |
Из всех провайдеров сегодня выделяется Cloudflare Turnstile — бесплатно, легко интегрируется, не мешает пользователю. Turnstile эффективно блокирует ботов без головоломок для честных пользователей, а также «никогда не собирает данные для рекламного таргетинга» и полностью уважает приватность. Для большинства сайтов Turnstile — лучший баланс безопасности, UX и стоимости.
Самый простой способ добавить CAPTCHA — использовать интегрированную identity-платформу.
Logto — удобная для разработчиков IAM-платформа, поддерживающая ведущих провайдеров, таких как Google reCAPTCHA Enterprise и Cloudflare Turnstile, поэтому включить CAPTCHA можно в пару кликов.
С Logto ваша команда может защитить все потоки аутентификации без сложной реализации: регистрация, вход, восстановление аккаунта, SSO, MFA, мультиарендность и др. Подробнее о CAPTCHA в Logto, или напишите в команду, если хотите обсудить другие провайдеры CAPTCHA.