Как защитить форму от ботов без капчи

Форму можно встречать без видимой капчи: скрытым пустым полем, подтверждением почты до рабочей записи и проверкой отправки, которая не показывает головоломку. Один такой приём хрупок. Скликивание форма сама не отменяет: клик и заявка — разные события.

Ниже — порядок, который собирается из описания OWASP, сценария Cloudflare Turnstile и того, как Binetro использует вычислительную задачу. Пороги частоты и разметка полей в этот порядок не входят.

Сначала назовите точку, потом приём

OWASP ставит задачу не «остановить всех ботов». Краулеры поиска, мониторинг и инструменты доступности законны. Нужно поднять цену злонамеренной автоматизации и не задеть людей и законных ботов.

Защиту собирают из трёх слоёв: край сети, приложение и бизнес-правила. До выбора приёма разложите события по точкам. Вход, регистрация, каталог и оформление заказа устроены по-разному. Форма «оставьте телефон» — не то же самое, что форма входа и не то же самое, что корзина.

Если вы ставите один приём на все адреса сайта, вы смешиваете законный обход страниц с отправкой заявки. Для заявки нужен свой набор. Для каталога — свой.

Что поставить на саму форму

Скрытое поле с пометкой оставить его пустым — приём слоя приложения. По описанию OWASP его заполняют боты, человек не заполняет. Непустое значение — повод отклонить отправку. Приём дешёвый и на обычного посетителя не влияет.

Долю пойманных отправок OWASP не публикует, поэтому поле нельзя считать измеренной долей спама. Это сигнал по одной отправке.

Видимую капчу сюда не ставьте основной защитой. Она плохо доступна, её решают машинным обучением и отдают сервисам людей-решателей. Её место — запасной шаг, когда проверку нужно усилить. Proof-of-work поднимает цену автоматического запроса и не доказывает, что клиент человек. Слишком трудная задача может отказать живому посетителю.

Отдельно стоит виджет Cloudflare Turnstile на тарифах Free, Pro и Business. В этом сценарии он проверяет подозрительных ботов до отправки формы входа, регистрации, контакта или оформления заказа и не показывает посетителю капчу. Виджет можно встроить на сайт, не пропуская весь трафик через Cloudflare. Это описание продукта Cloudflare, не общий закон форм и не поведение Binetro. Виджет не вычитает клики в Директе или Google Ads.

Ограничение частоты в том же сценарии — другой приём. Вместе они закрывают разные случаи: Turnstile встречает автоматическую отправку на форме, ограничение частоты встречает объём, который форму не проходит, в том числе прямой POST в обход виджета. Пороги и выражения правил из этого сценария в порядок не входят.

Не превращайте первый слабый сигнал в отказ

Жёсткий отказ по первому сигналу OWASP относит к ошибкам. Ошибка и отказ всем, чей браузер усилен ради приватности: такие посетители часто похожи на бота. Предпочтение — проверка, а не отказ.

Ответ делят по уверенности:

• слабое подозрение — записать и обслужить;

• средняя уверенность — дополнительная проверка;

• подтверждённое злоупотребление — разбор вручную.

Приёмы, которые портят данные в ответе или специально его замедляют, в этот порядок не входят. Это не пороги Binetro.

У Binetro подозрительному визиту может быть выдана вычислительная задача в браузере. Верное решение подтверждает проверку и может сменить решение «проверить» на «пропустить». Решение «не пустить» задача не отменяет. Задачу нельзя предъявить вместо пропуска. Сложность, срок и формат задачи не публикуются. Это не капча на форме и не замена скрытому полю: поле смотрит на отправку, задача смотрит на визит, и отказ визита задача не снимает.

Почта и телефон до рабочей записи

Для создания учётной записи OWASP разделяет два письма. Почту нужно подтвердить до того, как запись станет рабочей. Письма «вы зарегистрированы» недостаточно.

Для телефона смотрят тип линии оператора. Номеров VoIP много и они дёшевы — это замечание без года и выборки, его нельзя читать как долю ваших заявок. Одноразовые почтовые домены сверяют со списком. Порог «сколько регистраций с одного адреса» сюда не задан. Это и не правило Директа о неверном телефоне: неверный контакт в рекламе и неподтверждённая запись — разные решения.

Порядок на форме заявки

1. Отделите форму заявки от входа, регистрации, каталога и заказа. Приёмы не копируйте с одной точки на другую.

2. Поставьте скрытое пустое поле и отклоняйте непустую отправку. Не ждите от него доли «всех ботов».

3. Подтвердите почту до рабочей записи. Одноразовые домены сверьте со списком. Для телефона смотрите тип линии, а не только то, что цифры пришли.

4. Первый слабый сигнал запишите и обслужите. Дополнительную проверку включайте при средней уверенности. Вручную разбирайте подтверждённое злоупотребление.

5. Если нужен виджет без капчи, Turnstile в описанном сценарии встречает отправку формы. Рядом, отдельно, ограничение частоты встречает прямой POST мимо виджета.

6. Видимую капчу оставьте запасным шагом. Вычислительную задачу не считайте доказательством, что клиент человек. Если визит уже решено не пускать, задача Binetro этот отказ не отменяет.

Ручной предел такой: вы видите отправку и можете отклонить явную ловушку, но не видите, какой клиент обошёл поле и послал POST мимо виджета, пока нет второго приёма на объём. Binetro на сайте смотрит визит и может дать задачу в браузере или не пустить. Он не обещает, что живой человек никогда не попадёт на проверку, и не возвращает деньги за клик: деньги списывает рекламная система.

Кто скликивает рекламу, чем кликфрод отличается от скликивания, почему недействительные клики не всегда списывают и вернёт ли площадка деньги — решают по правилам площадки, не по тому, прошло ли скрытое поле.