---
title: "CAPTCHA и honeypot для регистрации: сравнение | Emvero"
description: "Сравнение CAPTCHA и honeypot при регистрации: что они обнаруживают, ограничения доступности, незавершенные проверки и роль подтверждения email."
url: https://emvero.io/ru/compare/captcha-vs-honeypot/
language: ru
updated: 2026-10-30
---

Сравнение

# CAPTCHA и honeypot в форме регистрации

Honeypot замечает скрипты, которые заполняют поле-ловушку, не предлагая посетителю задачу. CAPTCHA проверяет отдельное задание или взаимодействие. Ни один метод не доказывает контроль ящика или уникальность человека за аккаунтом.

| Что вы хотите узнать | CAPTCHA | Honeypot |
| --- | --- | --- |
| Задача | Проверить ответ на задание или взаимодействие на признаки автоматизации. | Обнаружить отправки с заполненным полем-ловушкой. |
| Свидетельство | Проверенный результат задания или оценка взаимодействия, в зависимости от системы. | Нарушает ли переданное значение ловушки правило формы. |
| Усилия посетителя | Интерактивные варианты добавляют задание. Варианты с оценкой могут работать без него. | Посетитель должен оставить ловушку нетронутой без дополнительного задания. |
| Проверка на сервере | Проверить ответ на сервере до разрешения защищенного действия. | Проверить ловушку на сервере; браузерное правило можно обойти. |
| Что останется незамеченным | Успешная проверка не устанавливает контроль ящика и не предотвращает все злоупотребления при регистрации. | Скрипты, распознающие ловушку и оставляющие ее пустой, могут пройти. |
| Обычные посетители | Интерактивные задания могут создавать барьеры доступности. Проверьте реальный путь выполнения. | Проверьте, что автозаполнение и вспомогательные технологии оставляют ловушку нетронутой. |
| Незавершенная проверка | Разделяйте неверный ответ, истечение срока, сетевой сбой и ошибку сервиса. | Отсутствующая или некорректная ловушка — отдельный случай ввода, а не чистый результат. |

CAPTCHA объединяет разные подходы. Например, [документация Google reCAPTCHA v3](https://developers.google.com/recaptcha/docs/v3) описывает оценку без интерактивного задания. Оценку и ожидаемое действие все равно нужно проверить на сервере.

## Что устанавливает каждая проверка

Honeypot в форме — поле-ловушка, которое при обычной отправке должно оставаться пустым. Сервер проверяет это правило при получении формы. Ловушка замечает скрипты, заполняющие все поля, но атакующий может распознать ее и пропустить. [Документация Drupal Honeypot](https://www.drupal.org/docs/contributed-modules/honeypot/using-honeypot) описывает это ограничение и необязательную проверку минимального времени. Порог времени — отдельное правило, а не свойство любой ловушки.

Интерактивная CAPTCHA предлагает посетителю выполнить задание. В [проекте групповой заметки W3C о доступности CAPTCHA](https://www.w3.org/TR/turingtest/) описаны возможные барьеры для людей с инвалидностью. Если задание входит в регистрацию, проверьте работу с клавиатурой и вспомогательными технологиями, восстановление после ошибки и альтернативный путь. У неинтерактивной оценки другие компромиссы; ее тоже нужно проверять отдельно.

Пройденная проверка дает свидетельства об этом взаимодействии. Она не устанавливает, что аккаунт принадлежит уникальному человеку. Пустая ловушка не доказывает, что форму отправил человек.

## Выберите сочетание для регистрации

Следующие сочетания решают разные задачи проверки. Выбирайте по нужным свидетельствам и стоимости ошибочного решения:

- **Honeypot и подтверждение email.** Используйте ловушку как начальный фильтр скриптов, которые ее заполняют. Требуйте перехода по ссылке до выдачи прав, зависящих от контроля ящика. Скрипты могут пропускать ловушку, а человек с доступом ко многим ящикам по-прежнему может создать много аккаунтов.
- **CAPTCHA и подтверждение email.** Используйте проверенный результат задания или оценку взаимодействия, если нужна такая дополнительная проверка. Сохраните подтверждение контроля ящика. Определите, как обычный посетитель продолжит регистрацию, если не сможет выполнить задание. Измеряйте успешные регистрации и отказы от продолжения.
- **Сигналы визита и подтверждение email.** По свидетельствам визита и отправки формы определяйте необходимость подтверждения. Это позволяет не добавлять задание в интеграцию, но не доказывает эквивалентной защиты выбранной CAPTCHA. Оцените подход на собственном потоке регистраций.

Подтверждение устанавливает доступ к ящику, куда отправлена ссылка. Проверка email изучает адрес и почтовую систему без отправки такого письма. В [сравнении проверки и подтверждения](https://emvero.io/ru/blog/email-verification-vs-email-confirmation/) объяснено, когда нужен каждый шаг.

## Отдельно обрабатывайте незавершенные проверки

В серверной обработке различайте нарушение правила, просроченный ответ и недоступную проверку. Например, [документация проверки Cloudflare Turnstile](https://developers.cloudflare.com/turnstile/get-started/server-side-validation/) разделяет просроченные или повторные токены и внутренние ошибки и требует серверной валидации. Одного виджета недостаточно для защиты формы. Следуйте правилам проверки и повторов конкретного компонента.

Задайте явное правило на случай недоступности: предложить новое задание, отложить регистрацию или ограничить права до завершения другой проверки. Выбор зависит от прав аккаунта и правил приложения. Ограничьте повторы, по возможности сохраняйте введенные поля и объясняйте следующий шаг. Тайм-аут не доказывает, что посетитель не прошел проверку на человека.

Для honeypot определите реакцию сервера на отсутствующее или некорректное поле наряду с заполненным. До отказа в аккаунтах по этому правилу убедитесь, что обычные браузеры, автозаполнение и вспомогательные технологии правильно отправляют форму.

## Какую часть дает Emvero

[Signup Protection](https://emvero.io/ru/signup-protection/) объединяет свидетельства email и визита или проверяет сигналы отдельно. Сервер передает токен визита и доступные сведения запроса; Emvero возвращает рекомендуемое `action`. Приложение его применяет. Emvero не предоставляет вашу CAPTCHA или ловушку, не отправляет подтверждение и не выдает права аккаунта.

Сигналы визита могут повысить разрешающий результат email до `allow_with_email_confirmation`. Сами они не рекомендуют `reject`; совмещенный ответ может отклонить регистрацию из-за email. Сетевые находки, например VPN, по умолчанию информационные. Статус сигналов `unavailable` не является свидетельством безопасного визита.

Разделяйте внешнее действие регистрации, вложенный email и исход сигналов. Лимиты частоты, состояние подтверждения и правила доступа остаются в приложении. В [руководстве по защите регистрации](https://emvero.io/ru/guides/stop-bot-registrations/) описаны форма, токен, серверный запрос и действие.

## Связанные термины

### Токен визита

Непрозрачное значение, которое связывает запрос токена из браузера с последующей проверкой регистрации. Это не постоянный идентификатор посетителя.

### Сигнал регистрации

Свидетельство о визите и отправленном запросе, отдельное от результата email и итоговой рекомендации для регистрации.

[Все сравнения](https://emvero.io/ru/compare/)

## Учитывайте визит в решении регистрации

Используйте Signup Protection, если в одном процессе нужны свидетельства email и визита. Подтверждение и доступ к аккаунту остаются под контролем приложения.

Начать бесплатно

Документация