CAPTCHA

Co oznacza CAPTCHA po polsku?

CAPTCHA oznacza automatyczny test, którego zadaniem jest odróżnienie człowieka od programu komputerowego. Skrót pochodzi od angielskiego określenia Completely Automated Public Turing test to tell Computers and Humans Apart.

Test może polegać na zaznaczeniu pola, rozpoznaniu obiektów na zdjęciach, przepisaniu znaków albo analizie zachowania użytkownika w tle. Wspólny cel pozostaje ten sam: ograniczenie działań wykonywanych masowo przez boty.

CAPTCHA chroni zwykle formularze kontaktowe, rejestrację kont, logowanie, odzyskiwanie hasła, komentarze oraz finalizowanie zamówień. Nie zastępuje zabezpieczeń serwera, limitów żądań ani kontroli poprawności danych. Jest jedną z warstw ochrony konkretnej operacji.

Dlaczego wyskakuje CAPTCHA?

CAPTCHA pojawia się, gdy serwis wymaga potwierdzenia, że żądanie wykonuje człowiek, albo gdy system oceni ruch jako podwyższonego ryzyka. Samo wyświetlenie testu nie oznacza, że użytkownik zrobił coś zabronionego.

Powodem może być duża liczba zapytań z jednego adresu IP, używanie współdzielonej sieci, VPN lub serwera proxy, wyłączony JavaScript, zablokowane pliki cookie albo nietypowa konfiguracja przeglądarki. Test może uruchomić się także po wielu nieudanych próbach logowania.

Zbyt agresywne ustawienia powodują, że prawdziwi klienci rozwiązują kolejne zadania, a część z nich porzuca formularz. Zbyt łagodne ustawienia przepuszczają automatyczne zgłoszenia. Dlatego reguły należy dostroić na podstawie rzeczywistego ruchu i skutków dla konwersji.

Jak sprawdzić, czy nie jestem robotem?

Aby przejść sprawdzenie, należy wykonać polecenie wyświetlone przy formularzu, na przykład zaznaczyć pole lub wskazać wymagane elementy obrazu. W rozwiązaniach działających w tle użytkownik może nie zobaczyć żadnego zadania.

Przykładem jest reCAPTCHA v3, która ocenia interakcję i zwraca wynik ryzyka. Serwis sam decyduje, czy zaakceptować operację, poprosić o dodatkowe potwierdzenie, ograniczyć żądanie lub skierować je do moderacji. Token powinien zostać sprawdzony na serwerze, ponieważ sama obsługa w przeglądarce nie zapewnia ochrony.

Cloudflare Turnstile jest alternatywą dla klasycznej CAPTCHA. Może wykonywać testy w tle, a w wybranych sytuacjach wyświetla prosty element do zaznaczenia. Da się go osadzić na stronie bez kierowania całego ruchu przez sieć Cloudflare.

Właściciel serwisu powinien uwzględnić osoby korzystające z czytnika ekranu, klawiatury lub powiększenia. Jeżeli test obrazkowy jest jedyną drogą do wysłania formularza, część prawdziwych użytkowników może zostać odrzucona. Dostępna alternatywa i możliwość ponowienia zadania ograniczają ten problem.

Gdzie jest kod CAPTCHA i jak go wpisać?

Kod CAPTCHA znajduje się bezpośrednio w zadaniu wyświetlonym przy zabezpieczanej czynności, jeżeli dana wersja wymaga przepisywania znaków. Nie przychodzi SMS-em ani e-mailem i nie jest stałym kodem przypisanym do konta.

Nowocześniejsze mechanizmy często nie pokazują kodu tekstowego. reCAPTCHA v2 może wyświetlić pole „Nie jestem robotem” albo zadanie obrazkowe, natomiast reCAPTCHA v3 działa bez takiego testu. Sposób weryfikacji zależy więc od rozwiązania wdrożonego przez właściciela serwisu.

Jeżeli obraz jest nieczytelny, można odświeżyć zadanie lub skorzystać z dostępnej wersji dźwiękowej. Formularz powinien mieć również czytelny komunikat błędu i pozwalać ponowić próbę bez utraty wcześniej wpisanych danych.

Jak zlikwidować błąd CAPTCHA?

Błąd CAPTCHA można zwykle usunąć przez ponowne załadowanie zadania, włączenie JavaScriptu i plików cookie oraz wyłączenie dodatku blokującego skrypty zabezpieczenia. Pomaga też rezygnacja z VPN lub zmiana sieci, jeśli bieżący adres IP ma złą reputację.

Użytkownik powinien najpierw odświeżyć formularz, ponieważ tokeny zabezpieczeń mają ograniczony czas działania. Następnie może otworzyć stronę w aktualnej przeglądarce i sprawdzić, czy jej ustawienia prywatności nie blokują domen potrzebnych do wykonania testu.

Administrator zaczyna diagnostykę od sprawdzenia konsoli przeglądarki, odpowiedzi serwera i zgodności kluczy z domeną. Powinien też potwierdzić, że token jest przesyłany i weryfikowany po stronie serwera, a mechanizm cache nie zwraca starej wersji formularza.

Całkowite wyłączenie CAPTCHA może ponownie otworzyć formularz na automatyczne nadużycia. Bezpieczniejszym rozwiązaniem bywa poprawienie integracji, zmiana progu ryzyka lub połączenie mniej uciążliwego testu z limitami żądań i ukrytym polem wykrywającym boty.