Руководство покупателя CAPTCHA-провайдеров 2025

Что такое CAPTCHA?#

CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart — полностью автоматизированный тест Тьюринга для различения компьютеров и людей) — это система вызов-ответ, предназначенная для различения человеческих пользователей и автоматических программ или ботов. Она предлагает задания, которые легки для людей, но сложны для машин.

Например, традиционный CAPTCHA может показывать искажённые буквы или цифры и просить пользователя ввести их. Используя человеческое распознавание образов, CAPTCHA блокирует большинство скриптов и спам-ботов от злоупотребления онлайн-формами и сервисами.

Как работает CAPTCHA?#

Классические CAPTCHA основаны на заданиях, таких как распознавание искажённого текста или выбор определённых изображений. Искажение (например, искажённые буквы с наложенным шумом) мешает простым алгоритмам OCR (оптическое распознавание символов).

Современные CAPTCHA-решения развились до нескольких категорий:

• Интерактивные CAPTCHA: Пользователь должен активно решить головоломку или выполнить определённое действие. Примеры: галочка «Я не робот». После нажатия на чекбокс система может попросить выбрать все изображения со светофорами или витринами, ввести показанные символы или даже пройти аудиотест. Особенность Cloudflare Turnstile — для проверки достаточно просто кликнуть чекбокс, без сложных испытаний.
• Неинтерактивные CAPTCHA: Эти решения не прерывают пользователя и не заставляют его решать задачи. Например, в неинтерактивном режиме Cloudflare Turnstile посетитель видит небольшой виджет с автоматической полосой загрузки. Система выполняет проверку в фоновом режиме и тихо возвращает результат успеха или неудачи, делая акцент на удобстве пользователя.
• Невидимые или пассивные CAPTCHA: Работают полностью в фоновом режиме, не показывая пользователю никакого теста. Например, Google reCAPTCHA v3 незаметно анализирует поведение пользователя (движения мыши, тайминги, куки и пр.), чтобы назначить оценку риска (от 0 до 1) без явных испытаний. Пользователь видит что-то только в случае низкого балла.

Нужно ли добавлять защиту CAPTCHA в продукт?#

Использование CAPTCHA — это баланс между безопасностью и удобством пользователя. При выборе сервиса CAPTCHA важно учитывать:

Может ли ИИ обойти CAPTCHA?#

CAPTCHA эффективны против простых ботов, но опытные злоумышленники имеют контрмеры. Продвинутые скрипты или боты с ИИ иногда могут обходить CAPTCHA с помощью OCR/распознавания изображений и машинного обучения. Существуют даже анти-CAPTCHA или solver-сервисы (называются bypass-as-a-service), где злоумышленники платят людям или ИИ для массового решения CAPTCHA. Например, Google сообщал, что старые текстовые CAPTCHA боты могли решать более чем в 99 % случаев.

Однако современные неинтерактивные и невидимые CAPTCHA, например, поведенческие или криптографические проверки в фоновом режиме, обеспечивают лучшую защиту от ИИ-атак. Важно помнить, что сейчас бот-трафик огромен: около 51 % всего интернет-трафика, из которых 37 % — вредоносные. Поэтому хотя бы некоторый уровень CAPTCHA или бот-детектор необходим, даже если он не гарантирует 100%-ную защиту.

Кроме того, необходима многоуровневая защита от ботов: device fingerprinting (например, с помощью passkeys), ограничение скорости, многофакторная аутентификация (MFA).

Вредит ли CAPTCHA удобству пользователей?#

Любой CAPTCHA добавляет трение для пользователя. Исследования показывают, что только около 66 % людей проходят CAPTCHA с первого раза, что может привести к раздражению или отказу от заполнения формы. Например, длинные задачи с изображениями или многочисленные повторные попытки снижают конверсию.

Для снижения этого эффекта современные провайдеры CAPTCHA минимизируют усилия для людей. Стратегии включают:

• Применение сложных заданий только к пользователям высокого риска.
• Использование ненавязчивых сигналов (движение мыши, тайминги и др.) вместо головоломок.
• Внедрение невидимых CAPTCHA, работающих тихо в фоне.

Cloudflare отмечает, что Turnstile «устраняет раздражающий опыт CAPTCHA», и настоящим пользователям «не нужно больше тратить время и усилия на визуальные задачи». На практике многие сайты показывают чекбокс или задачу только при подозрительном поведении; обычные пользователи часто не видят ничего.

Блокирует ли CAPTCHA доступ AI-агентов к внешним сервисам?#

Сейчас появляются всё новые AI-агенты, автоматизирующие задачи и взаимодействующие с внешними сервисами.

Многие специализированные AI-агенты безопасно и легитимно подключаются к сторонним приложениям через стандартные протоколы, такие как OAuth и MCP (Model Context Protocols). Это позволяет безопасно предоставить агенту доступ, чтобы пользователь мог одобрять операции комфортно.

Однако амбициозные «универсальные» AI-агенты пытаются полностью заменить действия человека в браузере. Например, Manus создан для полной автоматизации всего, что может делать человек: от заполнения форм до входа с паролем. В реальных тестах Manus сталкивается с трудностями при прохождении современных высокозащищённых CAPTCHA, таких как Cloudflare Turnstile и Google reCAPTCHA Enterprise, даже если пользователь пытается “передать” сессию человеку для ручного решения. Если вы разрабатываете AI-агента, важно тщательно проектировать потоки аутентификации. Опираться на эмуляцию браузера с человеческим поведением всё менее жизнеспособно, так как современные CAPTCHA отлично блокируют ботов.

Насколько увеличиваются затраты при подключении CAPTCHA?#

Услуги CAPTCHA бывают как бесплатными, так и платными. Бесплатные тарифы часто ограничены по объёму или имеют базовые возможности. Примеры:

• Cloudflare Turnstile — полностью бесплатно, неограниченное использование.
• reCAPTCHA Essentials от Google — бесплатно до 10 000 проверок в месяц; при большом объёме и доступе к расширенным функциям — переход на Standard или Enterprise.
• hCaptcha — есть бесплатная версия “Basic”, а за Pro/Enterprise взимается плата (например, Pro — около $99–$139 в месяц за 100K запросов).

Обязательно проверьте ограничения и тарифы каждого провайдера для вашего трафика и целей конверсии.

Сценарии использования CAPTCHA#

CAPTCHA обычно применяются в местах, где боты могут причинить вред. Чаще всего это:

• Потоки аутентификации: Защита регистрации, входа и восстановления паролей от атак ботов. CAPTCHA — первая линия защиты от автоматизированных атак на аккаунты. Кроме того, функции типа блокировки входа (от брутфорса) и адаптивная MFA (дополнительная проверка при риске) помогают повысить безопасность без ухудшения UX.
• Отправка форм: Защита открытых форм (например, обратная связь, отзывы, комментарии). Без CAPTCHA спамеры могут засыпать сайты сообщениями и комментариями.
• Ценностные действия: Предотвращение мошенничества на онлайн-голосованиях, продажах билетов, промо-акциях или при оформлении покупок. CAPTCHA ограничивает массовое голосование или спекуляцию (например, по одному голосу или билету в руки).

Использование CAPTCHA в этих точках значительно снижает автоматизированный абьюз, сохраняя сервис доступным для честных пользователей.

Сравнение CAPTCHA-провайдеров#

Из всех провайдеров сегодня выделяется Cloudflare Turnstile — бесплатно, легко интегрируется, не мешает пользователю. Turnstile эффективно блокирует ботов без головоломок для честных пользователей, а также «никогда не собирает данные для рекламного таргетинга» и полностью уважает приватность. Для большинства сайтов Turnstile — лучший баланс безопасности, UX и стоимости.

Упрощение интеграции CAPTCHA в ваши потоки входа#

Самый простой способ добавить CAPTCHA — использовать интегрированную identity-платформу.

Logto — удобная для разработчиков IAM-платформа, поддерживающая ведущих провайдеров, таких как Google reCAPTCHA Enterprise и Cloudflare Turnstile, поэтому включить CAPTCHA можно в пару кликов.

С Logto ваша команда может защитить все потоки аутентификации без сложной реализации: регистрация, вход, восстановление аккаунта, SSO, MFA, мультиарендность и др. Подробнее о CAPTCHA в Logto, или напишите в команду, если хотите обсудить другие провайдеры CAPTCHA.