Сравнение
CAPTCHA и honeypot в форме регистрации
Honeypot замечает скрипты, которые заполняют поле-ловушку, не предлагая посетителю задачу. CAPTCHA проверяет отдельное задание или взаимодействие. Ни один метод не доказывает контроль ящика или уникальность человека за аккаунтом.
| Что вы хотите узнать | CAPTCHA | Honeypot |
|---|---|---|
| Задача | Проверить ответ на задание или взаимодействие на признаки автоматизации. | Обнаружить отправки с заполненным полем-ловушкой. |
| Свидетельство | Проверенный результат задания или оценка взаимодействия, в зависимости от системы. | Нарушает ли переданное значение ловушки правило формы. |
| Усилия посетителя | Интерактивные варианты добавляют задание. Варианты с оценкой могут работать без него. | Посетитель должен оставить ловушку нетронутой без дополнительного задания. |
| Проверка на сервере | Проверить ответ на сервере до разрешения защищенного действия. | Проверить ловушку на сервере; браузерное правило можно обойти. |
| Что останется незамеченным | Успешная проверка не устанавливает контроль ящика и не предотвращает все злоупотребления при регистрации. | Скрипты, распознающие ловушку и оставляющие ее пустой, могут пройти. |
| Обычные посетители | Интерактивные задания могут создавать барьеры доступности. Проверьте реальный путь выполнения. | Проверьте, что автозаполнение и вспомогательные технологии оставляют ловушку нетронутой. |
| Незавершенная проверка | Разделяйте неверный ответ, истечение срока, сетевой сбой и ошибку сервиса. | Отсутствующая или некорректная ловушка — отдельный случай ввода, а не чистый результат. |
CAPTCHA объединяет разные подходы. Например, документация Google reCAPTCHA v3 описывает оценку без интерактивного задания. Оценку и ожидаемое действие все равно нужно проверить на сервере.
Что устанавливает каждая проверка
Honeypot в форме — поле-ловушка, которое при обычной отправке должно оставаться пустым. Сервер проверяет это правило при получении формы. Ловушка замечает скрипты, заполняющие все поля, но атакующий может распознать ее и пропустить. Документация Drupal Honeypot описывает это ограничение и необязательную проверку минимального времени. Порог времени — отдельное правило, а не свойство любой ловушки.
Интерактивная CAPTCHA предлагает посетителю выполнить задание. В проекте групповой заметки W3C о доступности CAPTCHA описаны возможные барьеры для людей с инвалидностью. Если задание входит в регистрацию, проверьте работу с клавиатурой и вспомогательными технологиями, восстановление после ошибки и альтернативный путь. У неинтерактивной оценки другие компромиссы; ее тоже нужно проверять отдельно.
Пройденная проверка дает свидетельства об этом взаимодействии. Она не устанавливает, что аккаунт принадлежит уникальному человеку. Пустая ловушка не доказывает, что форму отправил человек.
Выберите сочетание для регистрации
Следующие сочетания решают разные задачи проверки. Выбирайте по нужным свидетельствам и стоимости ошибочного решения:
- Honeypot и подтверждение email. Используйте ловушку как начальный фильтр скриптов, которые ее заполняют. Требуйте перехода по ссылке до выдачи прав, зависящих от контроля ящика. Скрипты могут пропускать ловушку, а человек с доступом ко многим ящикам по-прежнему может создать много аккаунтов.
- CAPTCHA и подтверждение email. Используйте проверенный результат задания или оценку взаимодействия, если нужна такая дополнительная проверка. Сохраните подтверждение контроля ящика. Определите, как обычный посетитель продолжит регистрацию, если не сможет выполнить задание. Измеряйте успешные регистрации и отказы от продолжения.
- Сигналы визита и подтверждение email. По свидетельствам визита и отправки формы определяйте необходимость подтверждения. Это позволяет не добавлять задание в интеграцию, но не доказывает эквивалентной защиты выбранной CAPTCHA. Оцените подход на собственном потоке регистраций.
Подтверждение устанавливает доступ к ящику, куда отправлена ссылка. Проверка email изучает адрес и почтовую систему без отправки такого письма. В сравнении проверки и подтверждения объяснено, когда нужен каждый шаг.
Отдельно обрабатывайте незавершенные проверки
В серверной обработке различайте нарушение правила, просроченный ответ и недоступную проверку. Например, документация проверки Cloudflare Turnstile разделяет просроченные или повторные токены и внутренние ошибки и требует серверной валидации. Одного виджета недостаточно для защиты формы. Следуйте правилам проверки и повторов конкретного компонента.
Задайте явное правило на случай недоступности: предложить новое задание, отложить регистрацию или ограничить права до завершения другой проверки. Выбор зависит от прав аккаунта и правил приложения. Ограничьте повторы, по возможности сохраняйте введенные поля и объясняйте следующий шаг. Тайм-аут не доказывает, что посетитель не прошел проверку на человека.
Для honeypot определите реакцию сервера на отсутствующее или некорректное поле наряду с заполненным. До отказа в аккаунтах по этому правилу убедитесь, что обычные браузеры, автозаполнение и вспомогательные технологии правильно отправляют форму.
Какую часть дает Emvero
Signup Protection объединяет свидетельства email и визита или проверяет сигналы отдельно. Сервер передает токен визита и доступные сведения запроса; Emvero возвращает рекомендуемое action. Приложение его применяет. Emvero не предоставляет вашу CAPTCHA или ловушку, не отправляет подтверждение и не выдает права аккаунта.
Сигналы визита могут повысить разрешающий результат email до allow_with_email_confirmation. Сами они не рекомендуют reject; совмещенный ответ может отклонить регистрацию из-за email. Сетевые находки, например VPN, по умолчанию информационные. Статус сигналов unavailable не является свидетельством безопасного визита.
Разделяйте внешнее действие регистрации, вложенный email и исход сигналов. Лимиты частоты, состояние подтверждения и правила доступа остаются в приложении. В руководстве по защите регистрации описаны форма, токен, серверный запрос и действие.
Связанные термины
Учитывайте визит в решении регистрации
Используйте Signup Protection, если в одном процессе нужны свидетельства email и визита. Подтверждение и доступ к аккаунту остаются под контролем приложения.