Is-CAPTCHA qiegħda hemm – iżda ma tipproteġi xejn

Ħafna sidien ta' websajts iżidu CAPTCHA mal-formola tal-kuntatt tagħhom, jaraw il-badge ż-żgħir jew il-checkbox jidher, u jqisu l-problema tal-ispam solvuta. Imbagħad iż-żibel ikompli jasal. Spiss is-CAPTCHA nnifisha hija tajba – sempliċement mhijiex marbuta ma' xejn li jista' jwaqqaf bot. Dan l-artiklu jgħaddi mill-modi tipiċi kif reCAPTCHA, hCaptcha u Cloudflare Turnstile jispiċċaw bħala dekorazzjoni, u kif tiċċekkjaw il-formoli tagħkom stess.

Fejn tassew isseħħ il-protezzjoni

It-tliet servizzi kollha jaħdmu fuq l-istess prinċipju. Skript fil-browser iwettaq il-kontrolli tiegħu u jagħti lill-formola token – sensiela qasira li tgħid “dan il-viżitatur għadda”. It-token jivvjaġġa mas-sottomissjoni tal-formola lejn is-server tagħkom. Hemmhekk biss isseħħ id-deċiżjoni vera: is-server tagħkom jibgħat it-token flimkien ma' secret key lill-fornitur u jirċievi tweġiba – suċċess jew falliment, u għal reCAPTCHA v3 ukoll punteġġ. Jekk xi ħolqa f'din il-katina tkun nieqsa, il-widget xorta jidher perfettament normali, iżda bot li jibgħat direttament lill-handler tal-formola tagħkom jgħaddi dritt.

It-test key li jħalli kollox jgħaddi

Google, hCaptcha u Cloudflare jippubblikaw test keys speċjali sabiex l-iżviluppaturi jkunu jistgħu jwettqu testijiet awtomatizzati mingħajr ma jsolvu puzzles. Bit-test secret korrispondenti, il-verifika dejjem tirnexxi – dak huwa l-iskop kollu tagħhom. Huma maħsuba għal ambjenti lokali u ta' staging, iżda regolarment jibqgħu ħajjin wara l-qlib għall-produzzjoni: żviluppatur iwaħħalhom waqt il-bini, is-sit imur live, u ħadd ma jibdilhom. reCAPTCHA tal-inqas turi avviż fil-widget li jgħid li hija għall-ittestjar biss, iżda b'konfigurazzjoni inviżibbli ftit li xejn ikun hemm min iħares. Jekk kemm it-test site key kif ukoll it-test secret ikunu live, kull sottomissjoni tgħaddi, kemm jekk ġejja minn bniedem u kemm jekk minn bot; jekk is-site key biss ikun test key, il-verifika minflok tfalli u messaġġi reali jistgħu jiġu rrifjutati.

Token li ħadd ma jiċċekkja

It-tieni klassiku huwa server li qatt ma jistaqsi lill-fornitur. Il-widget jaħdem, jinħoloq token u jintbagħat, u mbagħad il-handler tal-formola sempliċement jinjorah. Sorsi tipiċi huma formoli miktuba bl-idejn, snippets ikkupjati li jkopru biss in-naħa tal-browser, u settings ta' plugins li ma tlestewx. Qarib mill-qrib: is-server isejjaħ is-servizz tal-verifika iżda jiċċekkja biss li t-talba għaddiet, mhux x'tgħid it-tweġiba. Jew il-limitu tal-punteġġ għal reCAPTCHA v3 huwa ssettjat għal 0, li jaċċetta kull punteġġ li s-servizz jista' jagħti. Xi handlers ukoll “jfallu miftuħa”: jekk it-token ikun nieqes jew il-verifika tfalli, jaċċettaw il-messaġġ xorta waħda – u bot sempliċement iħalli barra t-token.

Meta l-widget qatt ma jitla' tassew

Konfigurazzjonijiet ħżiena oħra jkissru minflok in-naħa tal-browser. Jekk is-site key ma jkunx irreġistrat għad-dominju – tipiku wara l-qlib minn staging għal produzzjoni, bidla tad-dominju jew sottodominju ġdid – il-fornitur jirrifjuta li joħroġ tokens u juri żball fil-widget jew fil-console tal-browser. Wara bidla tat-tema jew aġġornament ta' plugin, il-markup tal-widget jista' jkun għadu fil-paġna filwaqt li l-iskript li jagħtih il-ħajja jkun spiċċa. Għodda tal-kunsens għall-cookies jista' jkollha l-istess effett jekk timblokka l-iskript tas-CAPTCHA sakemm il-viżitatur jaqbel. X'jiġri wara jiddependi mis-server: jekk jinsisti fuq token validu, il-viżitaturi reali ma jkunux jistgħu jibagħtu aktar messaġġi u ħadd ma jinduna bil-mistoqsijiet mitlufa; jekk le, il-bots jgħaddu liberament.

Żewġ każijiet oħra huma faċli li jinqabżu. B'reCAPTCHA v3, il-badge fil-kantuniera juri biss li l-iskript huwa mgħobbi x'imkien fil-paġna – forsi mit-tema jew minn plugin ieħor – filwaqt li l-integrazzjoni fil-plugin tal-formoli nnifsu tkun mitfija. U l-plugins tal-caching jistgħu jaħżnu paġna flimkien ma' token inkorporat fl-HTML. It-tokens tas-CAPTCHA huma validi biss għal ftit minuti u jistgħu jiġu vverifikati darba biss, għalhekk token fil-cache jfalli għall-viżitaturi reali; is-“soluzzjoni” li tħajjar li jintefa l-kontroll tneħħi l-protezzjoni bil-kwiet.

Awtoverifika qasira

1. 1Iftħu l-paġna tal-formola f'tieqa privata, iftħu l-għodod tal-iżviluppatur tal-browser u fittxu fil-console żbalji mill-iskript tas-CAPTCHA.
2. 2Iċċekkjaw li l-widget tassew jidher – darba qabel u darba wara li taċċettaw il-banner tal-cookies – u li l-formola ma tistax tintbagħat waqt li jkun nieqes.
3. 3Fil-console tal-amministrazzjoni tal-fornitur, iċċekkjaw li s-site key jelenka d-dominju live tagħkom (inklużi varjanti bħal www), u li l-keys fil-plugin tal-formoli jew fil-kodiċi tagħkom jaqblu miegħu – mhux keys mid-dokumentazzjoni jew minn setup ta' staging.
4. 4Fis-settings tal-plugin tal-formoli, aċċertaw ruħkom li l-integrazzjoni tas-CAPTCHA hija attivata għal din il-formola speċifika; għal reCAPTCHA v3, iċċekkjaw li l-limitu tal-punteġġ ikun 'il fuq minn 0.
5. 5Jekk għandkom aċċess għall-kodiċi, sibu l-verifika fuq in-naħa tas-server u ċċekkjaw li tirrifjuta s-sottomissjoni meta t-tweġiba tkun negattiva jew it-token ikun nieqes.
6. 6Eskludu l-paġna tal-formola mill-caching ta' paġna sħiħa, jew aċċertaw ruħkom li t-token jinħoloq ġdid fil-browser.
7. 7Ibagħtu messaġġ tat-test reali u ċċekkjaw li jasal; irrepetu l-kontroll wara bidliet fit-tema, fil-plugins jew fl-għodda tal-kunsens.

CAPTCHA hija saff wieħed, mhux il-protezzjoni kollha. Flimkien ma' qasam honeypot, kontroll tal-ħin u filtrazzjoni fuq in-naħa tas-server, konfigurazzjoni ħażina f'post wieħed ma tħallix il-formola miftuħa għalkollox. Jekk tridu stampa malajr ta' fejn jinsabu l-formoli tagħkom, daħħlu d-dominju tagħkom fuq formexposed.com – ir-rapport juri jekk il-partijiet tas-setup tas-CAPTCHA tagħkom li huma viżibbli minn barra humiex f'ordni.