इंजीनियरिंग प्रकाशित: 27.08.2026 पढ़ने में 1 मिनट

CAPTCHA मौजूद है—लेकिन सुरक्षा नहीं देता

दिखाई देने वाला reCAPTCHA, hCaptcha या Turnstile विजेट यह कम बताता है कि फ़ॉर्म सुरक्षित है या नहीं। सामान्य गलत सेटिंग और कुछ मिनटों में अपने फ़ॉर्म जाँचने का तरीका जानें।

कई वेबसाइट मालिक संपर्क फ़ॉर्म में CAPTCHA जोड़कर छोटा बैज या चेकबॉक्स देखते हैं और स्पैम समस्या हल मान लेते हैं। फिर भी कचरा आता रहता है। अक्सर CAPTCHA ठीक है—बस किसी ऐसे हिस्से से जुड़ा नहीं जो बॉट रोक सके। यह लेख बताता है कि reCAPTCHA, hCaptcha और Cloudflare Turnstile किन सामान्य तरीकों से सजावट बन जाते हैं और अपने फ़ॉर्म कैसे जाँचें।

वास्तविक सुरक्षा कहाँ होती है

तीनों सेवाएँ समान सिद्धांत पर काम करती हैं। ब्राउज़र की स्क्रिप्ट जाँच करके फ़ॉर्म को टोकन देती है—छोटा स्ट्रिंग जिसका अर्थ है “यह आगंतुक सफल हुआ”। फ़ॉर्म सबमिशन के साथ टोकन आपके सर्वर जाता है। असली निर्णय वहीं होता है: सर्वर टोकन और गुप्त कुंजी प्रदाता को भेजकर उत्तर पाता है—सफलता या विफलता, और reCAPTCHA v3 के लिए स्कोर भी। इस शृंखला की कोई कड़ी न हो, तो विजेट सामान्य दिखता रहता है लेकिन सीधे फ़ॉर्म हैंडलर पर पोस्ट करने वाला बॉट निकल जाता है।

वह शृंखला जिस पर CAPTCHA निर्भर है

1स्क्रिप्ट लोड होती है

प्रदाता की स्क्रिप्ट लोड होती है और फ़ॉर्म पृष्ठ पर चलने की अनुमति पाती है।

2टोकन जारी होता है

ब्राउज़र को थोड़े समय तक वैध, केवल एक बार इस्तेमाल होने वाला टोकन मिलता है।

3टोकन सबमिट होता है

फ़ॉर्म फ़ील्ड के साथ टोकन सर्वर पर भेजा जाता है।

4सर्वर सत्यापन करता है

आपका सर्वर गुप्त कुंजी से प्रदाता के पास टोकन जाँचता है।

5सर्वर निर्णय लेता है

उत्तर सकारात्मक न हो (और v3 के लिए स्कोर पर्याप्त न हो), तो सबमिशन अस्वीकार होता है।

हर चरण काम करे तभी सुरक्षा है—और निर्णायक चरण सर्वर पर, नज़र से दूर होते हैं।

सब कुछ स्वीकार करने वाली परीक्षण कुंजी

Google, hCaptcha और Cloudflare विशेष परीक्षण कुंजियाँ प्रकाशित करते हैं ताकि डेवलपर पहेली हल किए बिना स्वचालित परीक्षण चला सकें। मिलती परीक्षण गुप्त कुंजी के साथ सत्यापन हमेशा सफल होता है—यही उनका उद्देश्य है। वे स्थानीय और स्टेजिंग वातावरण के लिए हैं, लेकिन अक्सर लाइव तक पहुँच जाती हैं: डेवलपर निर्माण के समय पेस्ट करता है, साइट लाइव होती है और कोई बदलता नहीं। reCAPTCHA कम से कम विजेट में केवल परीक्षण की सूचना दिखाता है, लेकिन अदृश्य व्यवस्था में शायद ही कोई देखता है। परीक्षण साइट कुंजी और गुप्त कुंजी दोनों लाइव हों, तो मानव या बॉट हर सबमिशन स्वीकार होता है; केवल साइट कुंजी परीक्षण वाली हो, तो सत्यापन विफल होता है और असली संदेश अस्वीकार हो सकते हैं।

ऐसा टोकन जिसे कोई जाँचता नहीं

दूसरी सामान्य गलती है सर्वर का प्रदाता से कभी न पूछना। विजेट चलता है, टोकन बनकर सबमिट होता है और फ़ॉर्म हैंडलर उसे अनदेखा कर देता है। कारण अक्सर हाथ से बने फ़ॉर्म, केवल ब्राउज़र वाले कॉपी किए अंश और अधूरी प्लगइन सेटिंग होते हैं। संबंधित गलती: सर्वर सत्यापन सेवा को कॉल करता है लेकिन केवल अनुरोध सफल होने को जाँचता है, उत्तर क्या कहता है उसे नहीं। या reCAPTCHA v3 की स्कोर सीमा 0 होती है, जो सेवा के हर स्कोर को स्वीकार करती है। कुछ हैंडलर “विफल होने पर खुले” भी रहते हैं: टोकन न हो या सत्यापन विफल हो, तब भी संदेश स्वीकारते हैं—और बॉट बस टोकन छोड़ देता है।

जब विजेट वास्तव में लोड ही नहीं होता

अन्य गलत सेटिंग ब्राउज़र वाला भाग बिगाड़ती हैं। साइट कुंजी डोमेन के लिए पंजीकृत न हो—स्टेजिंग से लाइव जाना, डोमेन बदलना या नया उपडोमेन बनना इसके सामान्य कारण हैं—तो प्रदाता टोकन देने से मना करता है और विजेट या ब्राउज़र कंसोल में त्रुटि दिखाता है। थीम बदलने या प्लगइन अद्यतन के बाद विजेट मार्कअप पृष्ठ में रह सकता है लेकिन उसे चलाने वाली स्क्रिप्ट गायब हो सकती है। कुकी सहमति उपकरण आगंतुक की सहमति तक CAPTCHA स्क्रिप्ट रोके, तो वही प्रभाव होता है। आगे क्या होगा, यह सर्वर पर निर्भर है: वैध टोकन अनिवार्य हो, तो असली आगंतुक संदेश नहीं भेज सकते और खोई पूछताछ का किसी को पता नहीं चलता; अनिवार्य न हो, तो बॉट आसानी से निकलते हैं।

दो और स्थितियाँ आसानी से छूटती हैं। reCAPTCHA v3 में कोने का बैज केवल बताता है कि स्क्रिप्ट पृष्ठ में कहीं लोड है—शायद थीम या किसी दूसरे प्लगइन से—जबकि फ़ॉर्म प्लगइन का एकीकरण बंद है। कैशिंग प्लगइन HTML में टोकन सहित पृष्ठ रख सकता है। CAPTCHA टोकन केवल कुछ मिनट वैध होते और एक बार सत्यापित हो सकते हैं, इसलिए कैश का टोकन असली आगंतुकों के लिए विफल होता है; जाँच बंद करने का आकर्षक “सुधार” चुपचाप सुरक्षा हटा देता है।

दिखावट और वास्तविकता

आपको क्या दिखता है

विजेट “केवल परीक्षण के लिए” की सूचना दिखाता है
v3 बैज कोने में है
विजेट दिखता और टोकन देता है
स्पैम रुक गया—लेकिन असली पूछताछ भी

क्या हो सकता है

सार्वजनिक परीक्षण कुंजियाँ इस्तेमाल हो रही हैं और हर सत्यापन सफल है
फ़ॉर्म प्लगइन का reCAPTCHA एकीकरण बंद है
सर्वर टोकन सत्यापन को भेजता ही नहीं या परिणाम अनदेखा करता है
साइट कुंजी डोमेन के लिए पंजीकृत नहीं या कैश के टोकन समाप्त हो गए

छोटी स्व-जाँच

1निजी विंडो में फ़ॉर्म पृष्ठ खोलें, ब्राउज़र के डेवलपर उपकरण खोलें और कंसोल में CAPTCHA स्क्रिप्ट की त्रुटियाँ देखें।
2देखें कि विजेट वास्तव में दिखता है—कुकी बैनर स्वीकारने से पहले और बाद में—और उसके न होने पर फ़ॉर्म भेजा नहीं जा सकता।
3प्रदाता के प्रशासन कंसोल में देखें कि साइट कुंजी में आपका लाइव डोमेन (www जैसे रूपों सहित) है और फ़ॉर्म प्लगइन या कोड की कुंजियाँ उससे मेल खाती हैं—दस्तावेज़ या स्टेजिंग की कुंजियाँ नहीं।
4फ़ॉर्म प्लगइन सेटिंग में सुनिश्चित करें कि इसी फ़ॉर्म के लिए CAPTCHA एकीकरण सक्षम है; reCAPTCHA v3 के लिए स्कोर सीमा 0 से अधिक हो।
5कोड की पहुँच हो, तो सर्वर वाला सत्यापन ढूँढ़ें और जाँचें कि नकारात्मक उत्तर या गायब टोकन पर सबमिशन अस्वीकार होता है।
6फ़ॉर्म पृष्ठ को पूरे पृष्ठ की कैशिंग से बाहर रखें या सुनिश्चित करें कि ब्राउज़र में नया टोकन बनता है।
7असली परीक्षण संदेश भेजकर पहुँचने की जाँच करें; थीम, प्लगइन या सहमति उपकरण बदलने के बाद दोहराएँ।

बाहर की जाँच क्या देख सकती है और क्या नहीं

परीक्षण कुंजियाँ, स्क्रिप्ट के बिना विजेट मार्कअप, कंसोल त्रुटियाँ और अवरुद्ध स्क्रिप्ट बाहर से दिखाई देती हैं—formexposed.com की निःशुल्क जाँच बिना कुछ सबमिट किए इन्हीं संकेतों को खोजती है। सर्वर वास्तव में टोकन सत्यापित करता है या नहीं, यह पृष्ठ में नहीं दिखता; केवल सर्वर कोड या असली सबमिशन से पता चलता है।

CAPTCHA एक परत है, पूरी सुरक्षा नहीं। हनीपॉट फ़ील्ड, समय जाँच और सर्वर फ़िल्टर के साथ होने पर एक जगह की गलत सेटिंग से फ़ॉर्म पूरी तरह खुला नहीं छूटता। फ़ॉर्म की स्थिति जल्दी देखना चाहें, तो formexposed.com पर डोमेन दर्ज करें—रिपोर्ट दिखाती है कि बाहर से दिखाई देने वाले CAPTCHA व्यवस्था के भाग ठीक हैं या नहीं।