Альтернатива reCAPTCHA, которая никогда не показывает проверку
Во что reCAPTCHA обходится в конверсии и передаче данных, где её оценки не справляются и чем от неё отличается репутационная оценка на практике.
Почему команды начинают искать замену
Почти никто не меняет reCAPTCHA из-за того, что она плохо ловит ботов. Меняют по трём причинам, никак не связанным с качеством детекта.
Конверсия. Каждая интерактивная проверка — это шаг вашей воронки, на котором часть настоящих клиентов уходит. На оформлении заказа или регистрации эта потеря измерима и необратима: ушедший не возвращается, чтобы ещё раз попробовать головоломку.
Доступность. Сетки картинок и аудиопроверки — барьер для людей с нарушениями зрения и моторики, а «выберите все автобусы» проваливают те, кто никогда не видел американский школьный автобус. С каждым годом это становится вопросом соответствия требованиям во всё большем числе юрисдикций.
Передача данных. reCAPTCHA отправляет сигналы посетителей в Google и соотносит их с рекламным идентификационным графом Google. Для европейского оператора это трансграничная передача, которую нужно оценить, процессор, которого нужно назвать, и DPA, который нужно подписать — и всё чаще вопрос, который клиент задаёт до подписания договора.
Где заканчивается модель со скором
reCAPTCHA v3 возвращает оценку от 0.0 до 1.0 и оставляет решение вам. Звучит гибко, а на практике порождает две проблемы.
Оценка непрозрачна. Вы не видите, какие сигналы её сформировали, поэтому когда настоящий клиент получает 0.1, вам нечего расследовать и нечего настраивать. В поддержку приходит обращение, на которое вы не можете ответить.
Порог вы угадываете сами. Поставьте строго — блокируете клиентов; поставьте свободно — пропускаете ботов. Большинство команд останавливаются на каком-то числе и больше к нему не возвращаются, потому что нет обратной связи, которая показала бы, во что это число обошлось.
А у низкой оценки есть ровно одно встроенное лекарство: показать проверку. Вы снова получили тот самый шаг воронки, который пытались убрать.
Что Karma делает иначе
Karma оценивает адрес, а не только сессию, и никогда не откатывается к проверке.
Сигналы идут с двух уровней. Поведенческий: как сессия реально взаимодействует со страницей. Транспортный: TLS-отпечатки JA3/JA3N и настройки HTTP/2, которые описывают клиентский стек и подделываются заметно труднее, чем строка User-Agent.
Вердикт уходит на ваш шлюз, который сам пропускает людей и останавливает ботов. Никакой промежуточной страницы, никакой головоломки и никакого стороннего iframe в вашей странице.
И решение объяснимо: панель показывает сигналы за каждым вердиктом, так что спорную блокировку можно разобрать, а не просто принять.
Рядом
Честное сравнение, включая то, в чём reCAPTCHA действительно впереди:
| reCAPTCHA v3 | Karma | |
|---|---|---|
| Видимая проверка | При низкой оценке | Никогда |
| Используемые сигналы | Поведенческие, непрозрачные | Поведенческие + отпечатки TLS/HTTP2 |
| Решение объяснено | Только оценка | Сигналы по каждому вердикту |
| Блокировка | Строите сами по оценке | На вашем шлюзе, по вердикту |
| Репутация между сайтами | Внутри Google | Своя база + общий блеклист по желанию |
| Данные уходят | В Google | Только в коллектор Karma |
| Цена | Бесплатно до квоты, затем за проверку | Бесплатно до 25 тыс. вердиктов, затем по тарифу |
| Зрелость | Очень большая база внедрений | Меньше, новее |
Переход без дня «Х»
Выбирать в первый же день не нужно, и не стоит.
Добавьте сниппет Karma рядом с reCAPTCHA и не включайте блокировку. Это тариф Detect, он бесплатный. Неделю-две обе системы видят один и тот же трафик, и вы сравниваете вердикты со скорами reCAPTCHA на сессиях, которые можете опознать: оформленные заказы, известные клиенты, скрейпер, о котором вы и так знаете.
Когда вердикты начнут выглядеть верно, включите блокировку на шлюзе и уберите вызов reCAPTCHA. Ваши списки разрешений и запретов всегда приоритетнее платформы, так что партнёра или нужного вам краулера можно зафиксировать до того, как что-либо переключать.