Een CAPTCHA vraagt elke bezoeker te bewijzen dat hij een mens is. De meesten zijn dat, dus het grootste deel van de kosten komt terecht bij de mensen die je wilt hebben: een puzzel bij de registratie, een vinkje bij het inloggen, een nieuwe poging als het op een telefoon mislukt. Ondertussen beantwoorden oplosdiensten de puzzels voor een fractie van een cent. Zoek je een alternatief voor reCAPTCHA, Turnstile of hCaptcha, dan helpt het te weten wat je in plaats daarvan wilt.
Wat je waarschijnlijk wilt
- Niets op te lossen voor mensen. De controle draait op de achtergrond, op basis van wat de browser over zichzelf laat zien en hoe hij wordt gebruikt.
- Een antwoord waar je server iets mee kan. Niet alleen geslaagd of gezakt, maar hoe zeker, en waarom: een klasse, een score en het soort bewijs erachter.
- Zeggenschap over wat er daarna gebeurt. Weigeren, vertragen, om een tweede factor vragen of gratis credits achterhouden, beslist in je eigen code, per actie.
- Geen nieuw single point of failure. Is de controle traag of plat, dan blijft het formulier werken.
Hoe een onzichtbare controle werkt
Een klein script op je pagina's leest signalen die een mens niet ziet: of de browser door automatisering wordt bestuurd, of zijn onderdelen met elkaar kloppen, welke soorten invoer de pagina ontving. Het laat een ondertekend token achter in een cookie. Voor de registratie, het inloggen of de checkout stuurt je server het token mee met het IP-adres en de User-Agent van het verzoek en krijgt een beslissing terug, binnen een timeout die jij kiest. Zo werkt Bot Protection: human_high, human, unknown, bot of bot_high, en de actie die erbij hoort.
Een beslissing, geen geslaagd of gezakt
Geslaagd of gezakt verbergt de gevallen ertussenin, en juist die tellen. De meeste eerste bezoeken leveren weinig bewijs in de ene of de andere richting; een goede controle zegt unknown en laat ze binnen, in plaats van te gokken. Sterk bewijs van automatisering is bot_high, geweigerd. Daartussen is bot de plek waar je een mildere reactie kiest: de credits van een trial achterhouden tot het e-mailadres is bevestigd, om een tweede factor vragen of alleen die bezoekers een challenge tonen.
Wanneer een CAPTCHA nog steeds klopt
Een challenge heeft zijn plek: als antwoord op een bot, getoond aan de paar bezoekers die hem verdiend hebben in plaats van aan iedereen. Bot Protection kan ze naar zijn eigen challengepagina sturen, of je toont de CAPTCHA die je al hebt. En wil je een gratis widget en een ja of nee op één formulier, dan is een gratis CAPTCHA misschien alles wat je nodig hebt; de vergelijkingen hieronder zeggen wanneer.
Vergeleken, met bronnen
Elke vergelijking noemt alleen wat de eigen pagina's van de leverancier zeggen, en wanneer de andere tool de betere keuze is: Cloudflare Turnstile, Google reCAPTCHA, hCaptcha, en alle vergelijkingen naast elkaar.