Co to jest reCAPTCHA? Definicja, wersje i działanie

reCAPTCHA: skąd się wzięła

reCAPTCHA wywodzi się z testów CAPTCHA, czyli „Completely Automated Public Turing test to tell Computers and Humans Apart”. Pojęcie kojarzone jest z Luisem von Ahnem z Carnegie Mellon University. Pierwsza wersja reCAPTCHA miała podwójny cel: oprócz blokowania botów pomagała digitalizować książki. Użytkownik przepisywał dwa zniekształcone słowa, z których jedno pochodziło ze skanu, którego program OCR nie umiał odczytać.

W ten sposób miliony ludzi, często nieświadomie, pomogły przepisać stare teksty, w tym według The Register archiwum „New York Timesa”. Po przejęciu przez Google w 2009 roku usługa rozwijała się już głównie jako narzędzie bezpieczeństwa, a dziś chroni miliony stron, od małych blogów po duże sklepy.

Jak działa reCAPTCHA

reCAPTCHA analizuje sygnały o przeglądarce i zachowaniu użytkownika, a potem przekazuje serwerowi strony werdykt albo ocenę ryzyka. Samo wdrożenie wygląda zwykle tak:

1. Na stronie ładuje się skrypt reCAPTCHA z kluczem witryny.
2. Skrypt zbiera sygnały w tle albo pokazuje checkbox lub zadanie obrazkowe.
3. Formularz wysyła na serwer token razem z danymi.
4. Serwer weryfikuje token w Google i decyduje: przyjąć, sprawdzić ręcznie albo odrzucić.

Najczęstszy błąd, jaki widzę we wdrożeniach, to pominięcie czwartego kroku. Widżet jest na stronie, ale serwer nie sprawdza tokenu, więc bot omija zabezpieczenie bez wysiłku. Drugi częsty problem to klucze wygenerowane dla innej domeny, np. środowiska testowego, przez co formularz po przeniesieniu na produkcję przestaje działać.

Wersje reCAPTCHA

reCAPTCHA przeszła trzy etapy: od przepisywania tekstu, przez słynny checkbox, do niewidocznej oceny ryzyka.

W wersji v3 to Twój serwer decyduje, co zrobić z wynikiem. Dokumentacja Google sugeruje próg startowy 0,5, który warto dostroić do własnego ruchu. Od wersji v1 Google odszedł, gdy jego własne badania pokazały, że programy rozwiązują nawet trudne tekstowe CAPTCHA niemal bezbłędnie.

Pakiety w Google Cloud to dziś Essentials (bezpłatnie do 10 000 weryfikacji miesięcznie), Premium (8 USD za przedział od 10 001 do 100 000 weryfikacji, potem 1 USD za każde kolejne 1000) i Enterprise z rocznym zobowiązaniem.

reCAPTCHA a konwersja i jakość leadów

reCAPTCHA chroni dane, ale dodaje tarcie, więc zawsze ważę te dwie rzeczy. Bez ochrony formularz kontaktowy potrafi zbierać dziesiątki spamowych zgłoszeń dziennie, które zawyżają liczbę konwersji w analityce i zaśmiecają CRM fałszywymi leadami. Z drugiej strony każde zadanie „zaznacz wszystkie sygnalizatory” to szansa, że prawdziwy klient zrezygnuje. Google przyznaje też, że reCAPTCHA nie obsługuje osób głuchoniewidomych.

Dlatego nie traktuję reCAPTCHA jako jedynej linii obrony. Dobrze działa zestaw kilku prostych zabezpieczeń: ukryte pole honeypot, którego człowiek nie widzi, a bot wypełnia, limit zgłoszeń z jednego adresu IP, walidacja numeru telefonu i adresu e-mail po stronie serwera oraz filtr słów typowych dla spamu. Dopiero gdy to nie wystarcza, dodaję widoczne zadanie.

Spam z formularzy bywa też wektorem dla scamu: boty wysyłają linki phishingowe, licząc, że ktoś w firmie w nie kliknie.

reCAPTCHA w SEO i RODO

reCAPTCHA nie wpływa bezpośrednio na pozycje w Google, ale jej skrypt ładuje się na każdej stronie, na której ją osadzisz. Wiele motywów i wtyczek WordPressa ładuje go globalnie, również tam, gdzie nie ma żadnego formularza. To niepotrzebny kod JavaScript, który może pogorszyć Core Web Vitals na urządzeniach mobilnych. W ramach technicznego SEO ograniczam ładowanie skryptu do podstron z formularzem.

Druga kwestia to prywatność. Skrypt przesyła do Google dane o zachowaniu użytkownika, więc trzeba go opisać w polityce prywatności zgodnej z RODO. Część firm wybiera alternatywy: Cloudflare w 2020 roku przeszedł z reCAPTCHA na hCaptcha, a we wrześniu 2022 roku pokazał własne rozwiązanie Turnstile, działające bez ciasteczek.