Артём Савельев 
Что такое капча и почему сайт показывает её именно вам
Светофоры на картинках, галочка «Я не робот», ползунок до упора. Разбираем, зачем сайтам эта проверка, чем отличаются reCAPTCHA, SmartCaptcha и Turnstile, почему капча преследует одних людей и не трогает других — и стоит ли ставить её на свой сайт.
Капча (CAPTCHA) — автоматическая проверка на сайте, которая отличает живого человека от программы-бота: человек выполняет задание легко, а программа — с трудом или не выполняет вовсе. Аббревиатура расшифровывается как Completely Automated Public Turing test to tell Computers and Humans Apart — «полностью автоматический публичный тест Тьюринга, чтобы отличить компьютеры от людей». Термин предложили в 2003 году исследователи Университета Карнеги — Меллона, среди них Луис фон Ан и Мануэль Блюм (по данным Википедии).
Зачем сайтам капча и от кого она защищает
Капча защищает не от людей, а от программ, которые делают на сайте то же, что человек делает руками, только в тысячи раз быстрее. Без проверки бот за ночь регистрирует тысячи фальшивых аккаунтов или перебирает пароли к чужим кабинетам.
Чаще всего капчу ставят на четыре типа мест:
- Регистрация и вход. Боты подставляют украденные пары «логин — пароль» из чужих утечек и проверяют, подойдут ли они здесь.
- Формы и комментарии. Спам-рассылки, фальшивые отзывы, накрутка голосований.
- Магазины и билеты. Программы-скупщики забирают дефицитный товар раньше живых покупателей, а конкуренты выкачивают цены.
- Поисковые системы. Google в справке прямо называет автоматическим трафиком программы, которые снимают позиции сайтов и массово отправляют запросы в поиск.
Бытовая аналогия — домофон. Он не мешает жильцам, но останавливает расклейщика рекламы. Проблема начинается, когда домофон перестаёт узнавать самих жильцов.
Какие бывают капчи и что они проверяют на самом деле
Капчи прошли три поколения: сначала задания для человека, потом одна кнопка «Я не робот», теперь — невидимая проверка, которая оценивает браузер и поведение без участия посетителя. Задание с картинками современные системы показывают только тем, кого не смогли распознать автоматически.
Так выглядят четыре самые распространённые капчи: reCAPTCHA от Google, hCaptcha, Turnstile от Cloudflare и SmartCaptcha от Яндекса. Скриншоты с демо-страниц самих сервисов.
| Вид капчи | Что видит человек | Что проверяется | Примеры |
|---|---|---|---|
| Текстовая | Искажённые буквы и цифры, которые нужно переписать | Умение прочитать то, что плохо распознаёт программа | Ранняя reCAPTCHA; задание «Распознавание текста» в Yandex SmartCaptcha |
| Картинки | «Отметьте все светофоры», собрать разрезанную картинку, отметить значки по порядку | Распознавание объектов и осмысленные клики | reCAPTCHA v2 после галочки; hCaptcha; «Калейдоскоп» и «Силуэты» в SmartCaptcha |
| Кнопка «Я не робот» | Одна галочка | Поведение и окружение: как двигался курсор, какой браузер, что уже известно о посетителе | reCAPTCHA v2 Checkbox; hCaptcha; «Чекбокс» в SmartCaptcha; Turnstile в режиме Managed |
| Ползунок | Провести бегунок слева направо | Естественность движения руки | «Слайдер» в SmartCaptcha |
| Невидимая | Ничего или короткий индикатор загрузки | Оценка риска по сигналам браузера; задание — только подозрительным | reCAPTCHA v3 и v2 Invisible; невидимая SmartCaptcha; Turnstile Invisible |
Главный сдвиг виден в последней строке таблицы: невидимая капча вообще не показывает задание большинству посетителей. Так работают все четыре популярных сервиса, но каждый по-своему.
Google reCAPTCHA. Google купил технологию в 2009 году; первые годы люди, разгадывая слова, заодно помогали оцифровывать книги. Основных версий две. reCAPTCHA v2 — та самая галочка «I'm not a robot», после которой либо сразу пропускают, либо показывают картинки. reCAPTCHA v3 ничего не показывает: по документации Google, она «никогда не прерывает пользователей», а сайту возвращает оценку от 0,0 до 1,0, где 1,0 — почти наверняка человек, а 0,0 — почти наверняка бот. Google советует начинать с порога 0,5 и при низкой оценке не блокировать посетителя, а просить подтверждение по почте или отправлять комментарий на модерацию.
Yandex SmartCaptcha. Российский сервис от Яндекса. Основное задание — «Чекбокс» (кнопка «Я не робот») или «Слайдер», дополнительное — «Распознавание текста», «Силуэты» или «Калейдоскоп». У владельца сайта четыре уровня сложности: на «Лёгком» дополнительное задание видят немногие, на «Максимальном» — все. Есть невидимый вариант: кнопки на странице нет, задание получают только запросы, которые алгоритмы Яндекса сочли подозрительными.
Cloudflare Turnstile. Cloudflare называет его «умной альтернативой капче»: картинок и текста для разгадывания нет вообще. В режиме Managed галочка появляется, только если браузеру нужна дополнительная проверка; в режиме Non-interactive посетитель видит виджет с индикатором загрузки; в режиме Invisible — ничего. По документации, Turnstile не читает и не передаёт содержимое форм. Бесплатный план — до 20 виджетов на аккаунт.
hCaptcha. Сервис компании Intuition Machines; внешне похож на reCAPTCHA v2 — галочка и картинки, есть невидимый режим.
Почему капча выскакивает постоянно именно у вас
Капча реагирует не на человека, а на признаки: IP-адрес, браузер и поведение. Если что-то из этого похоже на бота, задание достаётся вам, даже если вы ничего не нарушали. Справка Google по сообщению «Необычный трафик из вашей сети» называет три причины: вредоносная программа у вас или у соседа по сети, общая сеть (офис, учебное заведение, провайдер) и VPN, из-за которого Google «не может отличить вредный трафик от безвредного». Блог Яндекса для вебмастеров добавляет к этому расширения браузера, которые сами шлют запросы в поиск, и тысячи людей за одним IP-адресом (так работает NAT — когда провайдер выдаёт один внешний адрес на много абонентов).
Задание с картинками появляется, когда сервис не уверен, что перед ним человек. Чем «подозрительнее» соединение, тем чаще вы его видите.
| Причина | Как понять, что дело в ней | Что сделать |
|---|---|---|
| VPN или прокси | Капча появилась после включения VPN. Сервер VPN — один адрес на тысячи людей, среди них есть боты | Отключить VPN для этого сайта или сменить сервер |
| Общий IP-адрес | Капча на всех устройствах дома или в офисе, а с мобильного интернета её нет | Перезагрузить роутер (у многих провайдеров адрес после этого меняется), написать провайдеру |
| Слишком много запросов | Капча после серии быстрых поисков или работы программы проверки позиций | Остановить программу и подождать |
| Расширения браузера | Капча только в одном браузере, в другом на том же компьютере её нет | Отключать расширения по одному, в первую очередь SEO-бары и парсеры |
| Вредоносная программа | Капча везде и постоянно, компьютер сам открывает страницы или тормозит | Проверить компьютер антивирусом, заглянуть в файл hosts |
| Браузер без «памяти» | Режим инкогнито, запрет куки, жёсткий блокировщик — капча не запоминает, что вы уже проходили | Разрешить куки для этого сайта, обновить браузер |
Самый частый случай из таблицы — VPN: один адрес делят тысячи человек, и достаточно нескольких ботов среди них, чтобы весь адрес попал под подозрение. Ищите причину методом исключения: выключите VPN, откройте сайт в другом браузере, затем с телефона через мобильный интернет. Где капча пропала — там и ответ.
Настоящая капча никогда не просит номер телефона, код из СМС и не предлагает скачать файл. Страницы «запросы похожи на автоматические, введите телефон» — мошенничество, о котором Яндекс отдельно предупреждал в блоге для вебмастеров. Если капча требует что-то, кроме галочки, картинок или ползунка, закройте вкладку.
Ставить ли капчу на свой сайт и где она отпугивает клиентов
Капча уместна там, куда боты ходят массово: регистрация, вход, формы заявок, отзывы, оформление заказа с промокодами. На страницах, которые человек просто читает, — каталог, статья, контакты — капча только мешает: часть посетителей закроет вкладку, не дожидаясь картинок со светофорами.
Четыре правила для владельца сайта:
- Начинайте с невидимой капчи. reCAPTCHA v3, невидимая SmartCaptcha и Turnstile показывают задание только подозрительным посетителям, остальные ничего не замечают.
- Не делайте капчу единственным барьером. Google рекомендует при низкой оценке не блокировать, а просить подтверждение по почте или включать второй фактор. Так вы не потеряете живого клиента из-за общего IP-адреса.
- Учитывайте, откуда грузится скрипт. reCAPTCHA загружается с серверов Google: если они у посетителя открываются медленно, форма зависнет. Для аудитории из России это аргумент в пользу SmartCaptcha или Turnstile.
- Проверьте сами глазами клиента. Откройте свою форму с телефона, через VPN и в режиме инкогнито. Если картинки появились хотя бы раз — настройки слишком жёсткие.
Отдельная история — антибот-стена на весь сайт: «проверка браузера» Cloudflare, DDoS-Guard и подобные щиты. При жёстких настройках капчу получают все подряд, включая ваших клиентов и сервисы мониторинга. Сервер при этом обычно отвечает кодом 403 или 503, поэтому проверка кода ответа из другого города — простой способ заметить, что щит опустился.
Можно ли показывать капчу поисковым роботам
Нельзя. Робот капчу не решает: представитель Google Джон Мюллер в 2021 году прямо сказал, что Googlebot не заполняет никакие капчи, даже собственные капчи Google. Страница, спрятанная за проверкой, для поисковика пустая — она теряет позиции или выпадает из выдачи.
Google допускает схему «роботу — полная страница, людям — капча поверх контента». Но настраивать её нужно аккуратно: если робот и человек получают разные версии страницы по ошибке, это уже случайный клоакинг, за который поисковики наказывают. Проверить, что видит Google, можно инструментом «Проверка URL» в Search Console.
Антибот-защита ломается тихо: сервер жив, страница отвечает, но вместо каталога посетители видят «Подтвердите, что вы не робот». Пруфен раз в несколько минут открывает ваш сайт из 20 городов и пишет вам, если он перестал открываться. Проверка «Наличие контента» ловит именно заглушку: вы задаёте фразу, которая должна быть на странице (название товара, «Добавить в корзину»), и получаете уведомление в Telegram или на почту, когда фраза пропала. Бесплатный план — 5 проверок, начать можно на главной странице Пруфена.
- Капча проверяет не вас, а признаки: IP-адрес, браузер и поведение.
- Современные капчи невидимы, задание с картинками видят только подозрительные посетители.
- Постоянная капча — почти всегда VPN, общий IP-адрес, расширение или вирус.
- Ищите причину по одной: выключите VPN, смените браузер, откройте с телефона.
- Настоящая капча не просит телефон, код из СМС и не предлагает скачать файл.
- На свой сайт ставьте невидимую капчу и только на формы.
- Поисковому роботу капчу показывать нельзя — страница выпадет из поиска.
Частые вопросы
Что такое капча простыми словами? Это проверка «вы человек или программа?» на сайте. Человек легко ставит галочку или выбирает картинки, а автоматической программе это даётся с трудом. Так сайт отсекает спам, подбор паролей и ботов-скупщиков.
Почему капча Яндекса просит отметить картинки, хотя я просто искал? Яндекс оценивает не вас, а адрес и браузер, с которых пришёл запрос. Если с того же IP-адреса до вас работал бот, включён VPN или в браузере стоит расширение, которое само отправляет запросы, проверка сработает на вас. Если капча появляется каждый раз, пройдитесь по таблице причин выше.
Капча защищает от ботов полностью? Нет. Существуют сервисы, где капчи за деньги разгадывают люди, а современные нейросети распознают картинки и текст. Поэтому Google и советует не полагаться только на капчу, а при подозрении включать второй фактор: подтверждение по почте, модерацию, лимит на число попыток.
Что капча узнаёт обо мне, когда я нажимаю «Я не робот»? Она получает технические данные браузера и то, как вы ведёте себя на странице; из этого считается оценка риска. Полный состав сигналов ни Google, ни Яндекс не раскрывают. Cloudflare в документации Turnstile отдельно заявляет, что не читает содержимое форм и переписку на странице.
Почему на телефоне капча выскакивает чаще, чем на компьютере? Мобильные операторы выдают один внешний IP-адрес сразу многим абонентам. Если кто-то из «соседей» по адресу запустил бота, подозрение падает на всех. Переключитесь на Wi-Fi — если капча пропала, дело именно в общем адресе оператора.