CAPTCHA er til staðar — en verndar ekkert

Margir vefeigendur bæta CAPTCHA við tengiliðaeyðublaðið sitt, sjá litla merkið eða gátreitinn birtast og telja ruslpóstvandann leystan. Svo heldur ruslið áfram að berast. Oft er CAPTCHA sjálft í lagi — það er bara ekki tengt neinu sem getur stöðvað bota. Þessi grein fer yfir algengar leiðir sem gera reCAPTCHA, hCaptcha og Cloudflare Turnstile að skrauti og hvernig þú getur athugað eigin eyðublöð.

Hvar vörnin verður í raun til

Allar þrjár þjónusturnar nota sömu meginreglu. Forritabútur í vafranum framkvæmir athuganir sínar og afhendir eyðublaðinu auðkenni — stuttan streng sem segir „þessi gestur stóðst athugunina“. Auðkennið fer með innsendingu eyðublaðsins á þjóninn þinn. Aðeins þar er raunverulega ákvörðunin tekin: þjónninn sendir auðkennið ásamt leynilykli til þjónustuveitandans og fær svar til baka — tókst eða mistókst og fyrir reCAPTCHA v3 einnig stigatölu. Ef einhvern hlekk í þessa keðju vantar lítur viðmótseiningin samt fullkomlega eðlilega út, en boti sem sendir beint á eyðublaðsvinnsluna kemst beint í gegn.

Prófunarlykillinn sem hleypir öllu í gegn

Google, hCaptcha og Cloudflare birta sérstaka prófunarlykla svo forritarar geti keyrt sjálfvirk próf án þess að leysa þrautir. Með samsvarandi leyniprófunarlykli tekst sannprófun alltaf — það er einmitt tilgangurinn. Þeir eru ætlaðir fyrir staðbundið umhverfi og prófunarumhverfi en lifa reglulega flutninginn yfir í raunrekstur af: forritari límir þá inn við smíði, vefsvæðið er opnað og enginn skiptir þeim út. reCAPTCHA birtir að minnsta kosti tilkynningu í viðmótseiningunni um að hún sé aðeins til prófunar, en með ósýnilegri uppsetningu horfir varla nokkur þangað. Ef bæði prófunarveflykill og leyniprófunarlykill eru virkir í raunrekstri stenst hver innsending athugunina, hvort sem hún kemur frá manni eða bota; ef aðeins veflykillinn er prófunarlykill mistekst sannprófun í staðinn og raunverulegum skilaboðum kann að vera hafnað.

Auðkenni sem enginn athugar

Annað klassískt tilvik er þjónn sem spyr þjónustuveitandann aldrei. Viðmótseiningin keyrir, auðkenni er búið til og sent og síðan hunsar eyðublaðsvinnslan það einfaldlega. Dæmigerðar orsakir eru handskrifuð eyðublöð, afritaðir kóðabútar sem ná aðeins yfir vafrahlutann og hálfkláraðar viðbótarstillingar. Skylt tilvik er að þjónninn kallar á sannprófunarþjónustuna en athugar aðeins hvort beiðnin hafi farið í gegn, ekki hvað svarið segir. Eða þröskuldur stigatölu fyrir reCAPTCHA v3 er stilltur á 0, sem samþykkir allar stigatölur sem þjónustan getur skilað. Sumar vinnslur „hleypa í gegn við bilun“: ef auðkennið vantar eða sannprófun mistekst taka þær samt við skilaboðunum — og boti sleppir auðkenninu einfaldlega.

Þegar viðmótseiningin hleðst aldrei í raun

Aðrar rangar stillingar skemma í staðinn vafrahlutann. Ef veflykillinn er ekki skráður fyrir lénið — algengt eftir flutning úr prófun í raunrekstur, lénsskipti eða nýtt undirlén — neitar þjónustuveitandinn að gefa út auðkenni og birtir villu í viðmótseiningunni eða stjórnborði vafrans. Eftir þemaskipti eða uppfærslu viðbótar getur uppsetning viðmótseiningarinnar enn verið á síðunni en forritabúturinn sem lífgar hana við horfinn. Verkfæri fyrir samþykki á vafrakökum getur haft sömu áhrif ef það lokar á CAPTCHA-forritabútinn þar til gesturinn samþykkir. Hvað gerist næst fer eftir þjóninum: ef hann krefst gilds auðkennis geta raunverulegir gestir ekki lengur sent skilaboð og enginn tekur eftir glötuðum fyrirspurnum; ef hann gerir það ekki fara botar óhindrað í gegn.

Tvö tilvik til viðbótar er auðvelt að missa af. Með reCAPTCHA v3 sýnir merkið í horninu aðeins að forritabúturinn hafi hlaðist einhvers staðar á síðunni — kannski vegna þemans eða annarrar viðbótar — á meðan samþættingin í eyðublaðsviðbótinni sjálfri er óvirk. Skyndiminnisviðbætur geta líka geymt síðu ásamt auðkenni sem er innfellt í HTML. CAPTCHA-auðkenni gilda aðeins í nokkrar mínútur og má aðeins sannprófa einu sinni, svo auðkenni úr skyndiminni bregst fyrir raunverulega gesti; freistandi „lagfæring“ með því að slökkva á athuguninni fjarlægir vörnina hljóðlega.

Stutt sjálfsathugun

1. 1Opnaðu eyðublaðssíðuna í einkaglugga, opnaðu þróunarverkfæri vafrans og leitaðu í stjórnborðinu að villum úr CAPTCHA-forritabútnum.
2. 2Athugaðu að viðmótseiningin birtist í raun — einu sinni áður og einu sinni eftir að vafrakökuborðinn er samþykktur — og að ekki sé hægt að senda eyðublaðið þegar hana vantar.
3. 3Í stjórnborði þjónustuveitandans skaltu athuga að veflykillinn skrái lénið í raunrekstri (þar á meðal afbrigði eins og www) og að lyklar í eyðublaðsviðbót eða kóða samsvari honum — ekki lyklum úr skjölum eða prófunaruppsetningu.
4. 4Í stillingum eyðublaðsviðbótarinnar skaltu ganga úr skugga um að CAPTCHA-samþætting sé virk fyrir þetta tiltekna eyðublað; fyrir reCAPTCHA v3 skaltu athuga að þröskuldur stigatölunnar sé yfir 0.
5. 5Ef þú hefur aðgang að kóðanum skaltu finna sannprófunina á þjóninum og athuga að hún hafni innsendingunni þegar svarið er neikvætt eða auðkennið vantar.
6. 6Undanskildu eyðublaðssíðuna frá skyndiminnisvistun heillar síðu eða tryggðu að nýtt auðkenni sé búið til í vafranum.
7. 7Sendu raunveruleg prófunarskilaboð og athugaðu að þau berist; endurtaktu athugunina eftir breytingar á þema, viðbótum eða samþykkisverkfæri.

CAPTCHA er eitt lag, ekki öll vörnin. Með gildrureit, tímaathugun og síun á þjóni skilur röng stilling á einum stað eyðublaðið ekki eftir galopið. Ef þú vilt fá fljótlega mynd af stöðu eyðublaðanna þinna skaltu slá lénið þitt inn á formexposed.com — skýrslan sýnir hvort þeir hlutar CAPTCHA-uppsetningarinnar sem sjást utan frá séu í lagi.