Ein CAPTCHA verlangt von jedem Besucher den Beweis, dass er ein Mensch ist. Die meisten sind es, also trifft der größte Teil der Kosten die Menschen, die Sie haben wollen: ein Rätsel bei der Registrierung, ein Kästchen beim Login, ein neuer Versuch, wenn es auf dem Handy scheitert. Währenddessen beantworten Lösungsdienste die Rätsel für den Bruchteil eines Cents. Wenn Sie eine Alternative zu reCAPTCHA, Turnstile oder hCaptcha suchen, hilft es zu wissen, was Sie stattdessen wollen.
Was Sie wahrscheinlich wollen
- Nichts, was Menschen lösen müssen. Die Prüfung läuft im Hintergrund, aus dem, was der Browser über sich zeigt, und daraus, wie er benutzt wird.
- Eine Antwort, nach der Ihr Server handeln kann. Nicht nur bestanden oder durchgefallen, sondern wie sicher und warum: eine Klasse, ein Score und die Art der Beweise dahinter.
- Kontrolle darüber, was danach passiert. Ablehnen, bremsen, einen zweiten Faktor verlangen oder Gratis-Guthaben zurückhalten, entschieden in Ihrem Code, für jede Aktion.
- Keinen neuen Single Point of Failure. Ist die Prüfung langsam oder ausgefallen, funktioniert das Formular weiter.
Wie eine unsichtbare Prüfung funktioniert
Ein kleines Skript auf Ihren Seiten liest Signale, die ein Mensch nicht sieht: ob der Browser von Automatisierung gesteuert wird, ob seine Teile zueinander passen, welche Arten von Eingaben die Seite erhalten hat. Es hinterlegt ein signiertes Token in einem Cookie. Vor Registrierung, Login oder Checkout sendet Ihr Server das Token mit IP und User-Agent der Anfrage und erhält eine Entscheidung, innerhalb eines Timeouts, den Sie wählen. So funktioniert Bot Protection: human_high, human, unknown, bot oder bot_high, und die zu ergreifende Aktion.
Eine Entscheidung statt bestanden oder durchgefallen
Bestanden oder durchgefallen verbirgt die Fälle dazwischen, und genau die zählen. Die meisten ersten Besuche bringen wenig Beweise in die eine oder andere Richtung; eine gute Prüfung sagt unknown und lässt sie herein, statt zu raten. Starke Beweise für Automatisierung sind bot_high, abgelehnt. Dazwischen ist bot die Stelle, an der Sie eine sanftere Antwort wählen: das Guthaben eines Tests zurückhalten, bis die E-Mail bestätigt ist, einen zweiten Faktor verlangen oder nur diesen Besuchern eine Challenge zeigen.
Wann ein CAPTCHA noch richtig ist
Eine Challenge hat ihren Platz: als Antwort auf ein bot, gezeigt den wenigen Besuchern, die sie sich verdient haben, nicht allen. Bot Protection kann sie auf seine eigene Challenge-Seite schicken, oder Sie zeigen das CAPTCHA, das Sie schon haben. Und wenn Sie ein kostenloses Widget und ein Ja oder Nein für ein einziges Formular wollen, reicht vielleicht ein kostenloses CAPTCHA; die Vergleiche unten sagen, wann.
Verglichen, mit Quellen
Jeder Vergleich nennt nur, was die eigenen Seiten des Anbieters sagen, und wann das andere Werkzeug die bessere Wahl ist: Cloudflare Turnstile, Google reCAPTCHA, hCaptcha, und alle Vergleiche nebeneinander.