Защита форм от спама «невидимой» Google reCAPTCHA v3 без потери баллов по PageSpeed Insight

[zer0nka]

рекапча обходится на раз два, нужно было скачать кучу файлов с файлшарингов, потратил около 200 рублей на 1500 распознаваний

[pepelsbey]

Заменяя <input type="submit"> на <input type="button"> вы ломаете нативное поведение формы и теперь её нельзя отправить нажатием Enter или без JS. Зачем вам в принципе это делать? Ведь можно отменять отправку из JS, если он в принципе сработал.

[DaemonGloom]

Учитывая, что тут подключается reCAPTCHA v3 — наличие js предполагается по умолчанию.

[DRon450]

Это связано с работой стандартных компонентов битрикса в AJAX режиме. Чтобы перехватить стандартную отправку и после вызова капчи сделать свою.

На другом движке это можно и не ломать. Либо в битриксе если написать свой компонент. Мне было удобнее сделать такой вариант.

[Akuma]

Самая лучшая защита форм от спама — это их отправка через вебсокеты. Ни один бот так делать не будет. Все остальное — лютая дичь. Каптча давно обходится за копейки.

[TheShock]

Для бота в целом нету проблем в вебсокетах.
Пока них один бот этого не делает только потому что мало таких сайтов

[Akuma]

Для бота в целом нет никаких проблем. Просто 99.9% ботов будут искать пост-формы.
Если кто-то задастся целью наспамить именно вам его не остановят никакие веб-сокеты.

[DRon450]

Самая лучшая защита форм от спама — это их отправка через вебсокеты. Ни один бот так делать не будет. Все остальное — лютая дичь. Каптча давно обходится за копейки.

Что вы имеете ввиду под отправкой через вебсокеты?

В моём случае она прекрасно работает. Много крупных ресурсов её использует, например Авито при авторизации.

[Akuma]

Имею ввиду использование вебсокетов вместо POST-запроса.
Само-собой у вас и Авито все прекрасно работает. И так же прекрасно обходится ботами.

[Massacre]

Рекапча — лучшая защита сайта от пользователей…

[DRon450]

Рекапча — лучшая защита сайта от пользователей…

Обычная капча с кривым шрифтом ещё лучше от пользователей защищает.

[Paranoich]

Это лучшее, что сейчас доступно на рынке из понятных и надежных решений к тому же бесплатных.

Недавно читал что

Ранее в этом году Google сообщила нам о том, что они собираются начать взимать плату за использование сервиса reCaptcha

m.habr.com/ru/company/ruvds/blog/497984
Кому верить?

[DRon450]

На текущий момент бесплатная. Раньше и API карт было бесплатное у Google.

[BlackStar1991]

Спасибо за статью. Сам как раз решаю проблему с капчей именно из-за проблем с производительностью. У меня вопрос, а как быть если необходимо поставить капчу на сайт без CMS? У меня вот просто html странички и в качестве плагина который отсылает почту swiftmailer.

[DRon450]

Мне сложно сказать про swiftmailer, я не работал с ним. Суть такая же, нужно инициализировать капчу при клике по форме. И в момент отправки проверять ответ.

[Vladusik2]

3-я версия почему-то на сайте вообще не показала результат, все ботовые регистрации которые проходили с установленной капчей, показывали оценку пользователя 90.
Попробуйте капчу от cloudflare, только не каждый пользователь со слабым знанием английского ее решит.

[DRon450]

3-я версия почему-то на сайте вообще не показала результат, все ботовые регистрации которые проходили с установленной капчей, показывали оценку пользователя 90.

Интересно, а v2 пробовали?

Попробуйте капчу от cloudflare, только не каждый пользователь со слабым знанием английского ее решит.

Спасибо за наводку, посмотрю.

Вы заменили v3 на cloudflare?

[Murmurianez]

Кто с ReCAPTCHA v3 работал, можете ответить на вопрос — Что происходит, когда проверка не проходит? Со второй всё понятно — появляется попап со светофорами в месте нахождения каптчи, а со скрытой тройкой что в этой ситуации?

[DRon450]

При отправке форм она выдаст балл, например 0.3. Дальше можно сказать пользователю, что вероятно он бот и попросить перезагрузить страницу. После рефреша обычно всё налаживается.

Если не наладится, то в моё случае всё. Хотя можно усложнить и предложить в этом случае например угадать картинки у v2.

[aliencash]

Поздравляю, вы догадались грузить скрипты только когда они нужны.

[nckma]

Есть такие люди (я сам такой же), которые поддерживают CMS-ный сайт. Ну то есть они не пишут или почти не пишут код для сайта, а по большей части используют сторонние компоненты. Ну просто потому, что писать сайты это не основной вид деятельности.
Для меня описанная в этой статье проблема очень актуальна.
Все так и есть — Google Page Speed показывает малый рейтинг, при этом указывает на источник проблем — Google CDN и капча.
Что делать? Исправлять сторонний компонент (у меня используется очень популярный JComments), прикручивать туда отложенную загрузку?
Так новая версия компонента выйдет и не получится сделать его апдейт — уже проходили это.
Многократно исправлять компоненты после каждого выхода новой версии?

[DRon450]

В моём случае с битриксом я реализовал как раз так, чтобы обновление битрикса не приводило к отключению капчи.

Про JComments я не знаю, насколько возможно реализовать, функционал так чтобы при обновлении всё продолжало работать.

[Acident_D]

Автору маленькое замечание в тексте кода дважды использовано . Но один раз в значении <PUBLIC_API_KEY>, а для бека <SECRET_API_KEY>. Может ввести в заблуждение

[DRon450]

Спасибо, Вы правы. Исправил.

[SpleenUa]

Самое бесящее в reCAPTCHA v3 — это отсутствие нативного метода reset по аналогии со второй версией и короткое время жизни. в результате приходится пихать ряд костылей, чтобы это хоть как-то работало.

[Taraflex]

reCAPTCHA v3 — самое бесполезное решение для защиты.
Куча сервисов для распознавания по приемлемым ценам.
Самое смешное, что если раньше v2 разгадывался не меньше, чем за примерно секунд 40 (ибо пользователи ручками натыкивали решение). То решения для v3 предоставляются практически мгновенно (так как могут быть полностью автоматизированны).