Какую капчу поставить на сайт: reCAPTCHA, hCaptcha или SmartCaptcha

Если вы держите интернет-магазин, лендинг с формой заявки или сайт на WordPress и вдруг обнаружили, что форма регистрации или заказа заполняется странным мусором - эта статья для вас. Разберу, какую капчу поставить на сайт: сравню reCAPTCHA, hCaptcha и SmartCaptcha и покажу, как установить любую из них без программиста.

Частая картина у владельцев малого бизнеса - форма обратной связи вдруг получает по 40-60 заявок в сутки с явной бессмыслицей вместо реальных обращений. Это работа ботов, а не всплеск спроса. Проблема не в везении, а в том, что форма изначально стояла без защиты от автоматизированных запросов и не отличала людей от ботов. В интернете это обычная практика для скликивания форм и накрутки заявок, поэтому капча на сайте нужна не для галочки, а для реальной защиты всей воронки заявок.

Для среднего сайта на WordPress без масштабных атак оптимальный выбор - невидимая reCAPTCHA v3 или Яндекс SmartCaptcha. Обе работают без окна с картинками и не мешают людям, тогда как reCAPTCHA v2 с чекбоксом или выбором картинок стоит ставить только там, где нужна видимая проверка.

Статья - про типовые сайты малого и среднего бизнеса на WordPress, лендинги и интернет-магазины; защиту от целенаправленных DDoS-атак и промышленный антибот для крупных проектов здесь не разбираю - это отдельная техническая задача.

Что такое капча и зачем она нужна бизнесу

CAPTCHA - это аббревиатура от английского Completely Automated Public Turing test to tell Computers and Humans Apart, то есть полностью автоматизированный публичный тест Тьюринга для различения компьютеров и людей. Проще говоря, капча - это система проверки, которая перед отправкой формы задаёт пользователю небольшое задание: распознать искажённый текст, выбрать картинки или просто пройти незаметный анализ поведения.

Логика теста Тьюринга проста: если задание легко решает человек, но сложно решает робот, значит перед нами живой посетитель. Капча защищает сайт от спама в комментариях, подбора паролей и автоматического парсинга контента конкурентами. Без такой проверки форма открыта для любого скрипта, который умеет отправлять POST-запросы.

Масштаб проблемы не выдуман. По данным компании Imperva из её ежегодного отчёта Bad Bot Report боты генерируют примерно половину всего интернет-трафика. Часть этого трафика - полезные поисковые роботы, но значительная доля - именно вредоносные боты, которые перебирают пароли, скликивают рекламу и засоряют базы форм фейковыми заявками.

Для бизнеса капча критически важна именно на тех узлах, где цена взлома или спама выше всего: на формах регистрации, авторизации, восстановления пароля и в комментариях к статьям. На практике достаточно поставить проверку на 3-4 таких формы, чтобы закрыть большую часть атак, а не перегружать капчей весь сайт целиком.

Код капчи встраивается через скрипт или плагин и не требует переписывать саму форму - достаточно подключить виджет к обработчику отправки. Для владельца сайта это выглядит как несколько строк в коде темы или настройка плагина, а не отдельная разработка.

Какие виды капчи существуют

Существует несколько видов капчи, и они сильно различаются по удобству для людей и по устойчивости к современным алгоритмам распознавания. Самая старая - классическая текстовая капча: она требует ввести искажённые буквы и цифры с картинки, где символы деформированы и перечёркнуты линиями, чтобы программа не смогла их прочитать.

Проблема текстовой капчи в том, что современные алгоритмы распознавания изображений решают такое задание почти так же легко, как человек, а вот людям с нарушениями зрения разобрать искажённый текст часто сложно. Из-за этого текстовая капча - не лучший вариант для доступности сайта, хотя до сих пор встречается на старых формах.

Графическая капча устроена иначе: она заставляет пользователя выбрать правильные изображения из набора по заданному условию, например отметить все картинки с определённым объектом. Математическая капча проще - предлагает решить несложное уравнение вроде сложения двух однозначных цифр, что снимает барьер для людей с нарушениями зрения, но слабо защищает от специализированных ботов.

Современные капчи чаще работают без видимого задания - это невидимая или поведенческая капча. Такая система анализирует движения мыши, скорость кликов и общее поведение посетителя на странице, оценивает их и присваивает запросу оценку риска без единого клика по картинкам. Именно на этом принципе работает reCAPTCHA v3, о которой расскажу в следующем блоке.

Выбор вида капчи зависит от задачи: если нужна максимальная незаметность для людей - подойдёт невидимая капча, если площадка требует явного подтверждения действия пользователем - обычно используют графическую или текстовую проверку - её легко подключить независимо от языка сайта.

Google reCAPTCHA v2 и v3: в чём разница

Google reCAPTCHA v2 требует от пользователя нажать чекбокс «Я не робот» - это привычная галочка, которую видели почти все, кто заполнял формы на сайтах. Если система заподозрила бота, она подкидывает дополнительный тест с выбором картинок: найти все изображения с автобусом или светофором за несколько секунд.

Версия v3 работает иначе - это полностью невидимая фоновая проверка без участия пользователя. Скрипт анализирует поведение на странице (движения курсора, скорость заполнения полей, историю взаимодействия с сервисами Google) и выдаёт оценку от 0 до 1 (score) - чем ближе к единице, тем выше уверенность, что это человек, а не бот.

Решение, что делать с конкретным score, принимает уже код на вашей стороне - например, при значении ниже 0,5 можно показать дополнительную проверку или заблокировать отправку формы. Это гибче, чем v2, но требует чуть больше настройки на этапе подключения.

Чтобы подключить любую из версий, нужно получить site key и secret key в консоли Google reCAPTCHA. Для этого потребуется аккаунт Google: вы указываете домен сайта, выбираете тип (v2 или v3) и получаете пару ключей - один идёт в код страницы для вставки виджета, второй используется на сервере для проверки ответа через API.

После получения ключей на страницу с формой (регистрации, входа или заказа) добавляется скрипт Google и сам виджет для v2, либо только фоновый скрипт для v3. Серверная часть на WordPress обычно оформляется отдельным плагином или кастомным кодом в functions.php, который дёргает API Google при отправке формы - перед такой правкой сделайте резервную копию файла или используйте дочернюю тему, чтобы не потерять изменения при обновлении.

Честно скажу - reCAPTCHA принадлежит компании Google, и на части российских провайдеров доступ к её скриптам иногда бывает нестабильным. На практике для большинства сайтов виджет всё же грузится нормально, но если вы замечаете, что форма регистрации у части посетителей просто не работает - стоит иметь в запасе альтернативный сервис капчи.

hCaptcha и Яндекс SmartCaptcha как альтернативы

Сервис hCaptcha - приватная альтернатива Google reCAPTCHA - приватная в том смысле, что он передаёт в Google заметно меньше данных о посетителях сайта. Подключить её можно похожим образом: регистрируетесь в личном кабинете hCaptcha, получаете ключ сайта и секретный ключ, вставляете скрипт на страницу с формой.

Модель у hCaptcha своя - часть разметки изображений (определение объектов на картинках) используется партнёрами компании, в том числе для рекламных задач и задач машинного обучения - сайт, который встраивает виджет, получает за это скидку или бесплатный тариф, в зависимости от объёма трафика. Для обычного блога или магазина это просто бесплатный вариант без привязки к экосистеме Google. Отдельный плюс - широкая поддержка разных платформ: hCaptcha встраивается через API не только в самописные формы, но и в большинство популярных CMS и конструкторов.

Яндекс SmartCaptcha - решение, ориентированное на русскоязычную аудиторию и Рунет в целом. Ключи получаются в личном аккаунте Яндекс ID: клиентский ключ идёт в код страницы, серверный - для проверки на сервере. Доступны обычный режим с визуальной проверкой и невидимый, похожий по логике на reCAPTCHA v3.

Главный плюс SmartCaptcha для российских проектов - оплата и техническая поддержка внутри страны, без сложностей с зарубежными платформами и курсами валют. Я ставлю её на часть новых проектов студии именно по этой причине - не нужно думать, будет ли доступен сервис завтра из-за внешних ограничений.

Сравнение капч: что выбрать под свою задачу

Чтобы понять, какой тип капчи подходит для конкретного проекта, удобнее смотреть на сводную таблицу по ключевым критериям: защита, влияние на пользовательский опыт, приватность, стоимость и сложность установки.

Для интернет-магазина с высоким трафиком посетителей и формами заказа на каждой странице я рекомендую невидимые варианты - reCAPTCHA v3 или SmartCaptcha в невидимом режиме: они не мешают оформлять покупку и при этом отсеивают основную массу ботов.

Для лендинга с одной формой заявки удобство важнее масштабируемости: здесь подойдёт и reCAPTCHA v2, и SmartCaptcha в обычном режиме - посетитель один раз нажимает галочку, и это не критично для конверсии. Для блога с активными комментариями встроенная капча плагина иногда оказывается достаточной, особенно если трафик небольшой.

Отдельно стоит проверить, как выбранный тип капчи ведёт себя на мобильных устройствах: виджет с картинками неудобно разглядывать на маленьком экране браузера, тогда как невидимые решения этой проблемы не создают вовсе - это стоит учитывать при выборе под конкретный проект.

Как установить капчу на сайт пошагово

Способ установки зависит от того, какая у вас система управления сайтом (CMS). На WordPress капча на этапе первоначальной настройки подключается через готовый плагин - разбираться в коде не придётся. На конструкторах вроде Tilda защита форм обычно уже встроена в блок, и её нужно просто включить галочкой в настройках.

Для WordPress есть несколько плагинов из официального каталога wordpress.org, которые закрывают формы комментариев и входа: Really Simple CAPTCHA, SI CAPTCHA Anti-Spam, Confident CAPTCHA. Для новичка проще всего начать с Really Simple CAPTCHA - у него минимум настроек и он реже конфликтует с другими плагинами темы.

Пошаговая инструкция для плагина:

1. Установить выбранный плагин из каталога через раздел «Плагины» в админке.
2. Активировать его после установки.
3. Настроить ключи API reCAPTCHA или SmartCaptcha в настройках плагина - их выдаёт сервис после регистрации проекта.
4. Выбрать, какие формы защищать: вход, комментарии, обратная связь.

Весь процесс на готовом плагине занимает 10-15 минут, даже если вы никогда раньше не настраивали защиту форм.

Второй путь - вручную через скрипт и код, без плагина. Он подходит, если нужна гибкая настройка или плагин конфликтует с темой. Порядок такой: получить ключи API в личном кабинете сервиса капчи, вставить скрипт в head через код темы или через отдельный плагин для вставки кода, а затем обработать ответ от капчи на сервере - именно серверная проверка подтверждает, что пользователь прошёл тест, а не просто увидел виджет в окне браузера.

Если у вас интернет-магазин на готовой CMS и форм много - форма заказа, форма отзыва, форма обратного звонка, - разумно сначала протестировать капчу на одной форме, а потом распространить настройку на остальные.

Если разбираться самому не хочется или страшно сломать сайт правкой кода темы, такую настройку на Kwork делают за несколько сотен - пару тысяч рублей в зависимости от сложности: исполнители там используют готовые инструменты и плагины, поэтому простая установка обойдётся дешевле, а кастомная вставка скрипта с проверкой на сервере - дороже.

Типичные ошибки и когда капча мешает бизнесу

Самая распространённая ошибка - поставить слишком агрессивную капчу сразу на все формы сайта. В результате живые посетители не могут пройти проверку с первого раза, часть уходит, не отправив форму, и конверсию это заметно снижает.

Капча может мешать и маркетингу напрямую. Если форма подписки на рассылки отправляет сообщение только после отправки запроса на проверку и прохождения капчи, а виджет у части пользователей не грузится - из-за блокировщика рекламы или особенностей браузера - заявки теряются незаметно, без явной ошибки на экране.

Доступность сайта для людей с ограниченными возможностями, в первую очередь по зрению, - вопрос, который легко упустить. Если на сайте нет альтернативы визуальной капче, например аудиопроверки, часть посетителей физически не может пройти форму, и это не вопрос вкуса, а вопрос доступности сервиса.

Подозрительные массовые запросы от ИИ-ботов сейчас проходят капчи старого типа почти так же легко, как обычные пользователи. Простая картиночная проверка перестаёт быть надёжной защитой от скрипта, который массово перебирает формы при всплеске трафика на сайт. Из-за этого для защиты от спама важно выбирать капчу, которая реально проверяет поведение пользователя, а не только факт клика по картинке.

Частая проблема на уровне структуры сайта - капча стоит не там, где нужно. Переход по внутренним ссылкам между страницами капчу не требует вообще, она там лишняя и только раздражает. Форму поиска по сайту и обычную навигацию капчой лучше не накрывать вовсе, если это не форма отправки данных - иначе под подозрение попадают и роботы поисковых систем, что вредит SEO-сканированию страниц.

Итог: какую капчу поставить на сайт - чеклист выбора

Чтобы не перебирать варианты заново и не плыть по инструкциям разных сайтов, соберите решение по короткому чек-листу - он учитывает тип сайта, уровень безопасности и удобство для посетителей.

1. Малый бизнес, блог, сайт-визитка без высоких требований к защите - подходит SmartCaptcha или встроенный в CMS плагин, этого достаточно для получения базовой защиты от спама.
2. Интернет-магазин, формы заявок с высоким потоком трафика - здесь обычно выбирают reCAPTCHA v3 или hCaptcha: они работают невидимо и не мешают оформлению заказа.
3. Высокочувствительные формы - вход в личный кабинет, оплата, получение персональных данных клиента - добавьте v2 с чекбоксом как дополнительный барьер поверх основной защиты.
4. Обязательно сохранить альтернативу прохождения проверки - аудиовариант или скрытое поле-ловушку для ботов - это важно для доступности и для качества пользовательского опыта в целом.
5. После установки протестируйте форму вручную: убедитесь, что она автоматически отправляется после успешной проверки и ничего не ломается на разных устройствах.

Он не теория, а рабочий инструмент подбора под задачу.

Главная ошибка, которую стоит избежать после этой статьи, - ставить капчу без учёта типа сайта и сценария его развития. Из-за такой спешки либо падает конверсия на формах, потому что защита слишком агрессивна, либо защита остаётся недостаточно надёжной и не способна заменить реальную проверку поведения, пропуская именно те запросы, от которых капчу и ставили.

Данная статья основана на личном опыте автора и актуальна на момент публикации. Интерфейсы сервисов и алгоритмы поисковых систем регулярно меняются - рекомендую проверять актуальность инструкций на официальных ресурсах. Если у вас остались вопросы - задайте их в комментариях.

Список литературы

1. Google - Developer's Guide // reCAPTCHA, Google for Developers // developers.google.com
2. Google - reCAPTCHA v3 // Google for Developers // developers.google.com
3. Яндекс - SmartCaptcha, подключение виджета // документация Yandex Cloud
4. hCaptcha - официальная документация для разработчиков