Zum Hauptinhalt springen

CAPTCHA-Anbieter für Login-Seiten im Vergleich: reCAPTCHA, hCaptcha, Turnstile, GeeTest und Alibaba Cloud in Casdoor

· 9 Minuten Lektüre
Yang Luo
Yang Luo
Casdoor Maintainer

Für die meisten Anmelde- und Registrierungssseiten im globalen Internet ist Cloudflare Turnstile die einfachste Wahl: Der kostenlose Plan hat keine Obergrenze für Challenges, und der Standardmodus zeigt nur risikoreichen Besuchern ein Checkbox an. Wenn sich viele Ihrer Nutzer in Festlandchina befinden, verwenden Sie stattdessen Alibaba Cloud Captcha oder GeeTest, da Cloudflare angibt, dass Turnstile dort nicht unterstützt wird. Wenn das CAPTCHA ohne einen externen Dienst funktionieren muss, verwenden Sie das integrierte Bild-CAPTCHA von Casdoor. Casdoor unterstützt alle diese Anbieter sowie Google reCAPTCHA (v2 und v3) und hCaptcha als CAPTCHA-Anbieter, und Sie legen fest, wann das CAPTCHA pro Anwendung angezeigt wird.

Der Vergleich​

Die unten genannten Preise und Verfügbarkeiten wurden am 2026-11-02 anhand der Websites der jeweiligen Anbieter überprüft. Wo ein Anbieter keine Zahl veröffentlicht, weist die Tabelle darauf hin, statt zu raten.

AnbieterWas der Benutzer siehtUnsichtbarer ModusDaten und DatenschutzKostenlose Stufe und PreiseFestlandchinaCasdoor-Typ
Casdoor StandardFünf Ziffern aus einem Bild eingebenNeinGeneriert und geprüft durch Ihren Casdoor-Server; kein DrittanbieterKostenlos, Teil von CasdoorFunktioniert, kein externer AufrufDefault
Google reCAPTCHA v2Checkbox; einige Benutzer erhalten eine Bild-Challengev2 hat auch eine unsichtbare Variante, die nur verdächtigen Traffic challenge-tGoogle; setzt den _GRECAPTCHA-Cookie zur RisikoanalyseEssentials-Stufe kostenlos bis zu 10.000 Bewertungen pro Monat pro Organisation; Premium kostet pauschal $8 bis zu 100.000, danach $1 pro 1.000Google empfiehlt die Verwendung von www.recaptcha.net, wenn www.google.com nicht erreichbar istreCAPTCHA, reCAPTCHA v2 (Checkbox)
Google reCAPTCHA v3Nothing; returns a score (Casdoor rejects scores below 0.5)YesSame as v2Same as v2Same as v2reCAPTCHA v3
hCaptchaCheckbox mit Bild-Challenges im kostenlosen PlanPassiver Modus bei Pro ("99,9 % passiv") und ein No-CAPTCHA-Modus bei EnterpriseGibt an, dass der kostenlose Plan mit GDPR, CCPA, LGPD und PIPL konform ist; zertifiziert nach dem EU-U.S. Data Privacy FrameworkBasic ist kostenlos; Pro kostet $139 pro Monat (oder $99 pro Monat bei jährlicher Abrechnung) mit 100.000 Bewertungen, danach $0,99 pro 1.000; Enterprise über den VertriebNicht dokumentiert von hCaptchahCaptcha
Cloudflare TurnstileManaged-Modus zeigt eine Checkbox nur bei BedarfNon-interaktive und Invisible-Widget-ModiCloudflare gibt an, dass nur streng notwendige Daten verarbeitet werden und Formulareinträge nicht gelesen werden; kein Cloudflare-Proxy erforderlichFree-Plan: unbegrenzte Challenges, bis zu 20 Widgets; Enterprise über den VertriebCloudflare: "nicht unterstützt in Festlandchina"Cloudflare Turnstile
GeeTest CAPTCHA v4Ein-Klick, Schiebepuzzle, Textklick, Match-ThreeNicht auf der v4-Produktseite aufgelistetChinesischer Anbieter; produktspezifische DatenschutzerklärungKeine öffentliche Preisliste; 30-tägige kostenlose Testphase, danach VertriebChinesischer AnbieterGEETEST
Alibaba Cloud Captcha 2.0Ein-Klick, Slider, Puzzle, BildwiederherstellungTraceless-Modus in den Editionen Standard und EnterpriseLäuft auf Alibaba CloudPay-as-you-go: 0,005 CNY pro Aufruf in Festlandchina, 0,007 CNY außerhalb; Abonnement-Editionen und Ressourcenpakete ebenfalls verfügbarJa; Casdoor verifiziert gegen den Endpunkt der Shanghai-RegionAliyun Captcha

Zwei Hinweise zu den reCAPTCHA-Zeilen. Google hat reCAPTCHA in Google Cloud Fraud Defense integriert, mit Essentials-, Premium- und Enterprise-Stufen, und das kostenlose Kontingent von 10.000 Bewertungen wird über die gesamte Google-Cloud-Organisation hinweg gebündelt. Casdoor kommuniziert mit reCAPTCHA über einen Site Key und Secret Key über den Standard-siteverify-Endpunkt und lädt das Skript von recaptcha.net anstelle von google.com, sowohl für das Browser-Skript als auch für die serverseitige Verifizierung.

Welchen wählen?​

Globales SaaS​

Beginnen Sie mit Cloudflare Turnstile. Der kostenlose Plan misst keine Challenges, der Managed-Modus verhindert, dass die meisten Benutzer klicken müssen, und Sie müssen Ihre Website nicht über Cloudflare leiten. Wenn Sie bereits auf Google Cloud laufen und die Risikosignale von reCAPTCHA nutzen möchten, ist reCAPTCHA in Ordnung, aber beachten Sie die 10.000 kostenlosen Bewertungen: Eine stark frequentierte Anmeldeseite oder ein SMS-Pumping-Angriff kann dieses Kontingent an einem Tag ausschöpfen. hCaptcha ist die andere übliche Wahl; sein kostenloser Plan zeigt immer eine Challenge an, und die passiven Modi sind kostenpflichtig.

Eine App mit Nutzern in Festlandchina​

Turnstile fällt aus, laut Cloudflares eigener Dokumentation. Für reCAPTCHA dokumentiert Google www.recaptcha.net als die Domain, die verwendet werden soll, wenn www.google.com nicht erreichbar ist, und Casdoor nutzt dies bereits, aber Sie sollten dennoch von den Netzwerken Ihrer Benutzer aus testen, bevor Sie sich darauf verlassen. hCaptcha veröffentlicht keine Aussage über China, daher gilt derselbe Rat.

Die zwei sicheren Optionen sind Alibaba Cloud Captcha und GeeTest. Alibaba Cloud veröffentlicht Preise pro Aufruf und ermöglicht den Start mit Pay-as-you-go; sein Traceless-Modus (in Casdoor verwenden Sie dafür den Popup-Subtyp) kommt dem unsichtbaren Erlebnis von Turnstile nahe. GeeTest verkauft über sein Vertriebsteam nach einer 30-tägigen Testphase. Wenn Sie sowohl China als auch den Rest der Welt von einer Casdoor-Instanz bedienen, denken Sie daran, dass eine Anwendung nur einen CAPTCHA-Anbieter hat, also teilen Sie die Zielgruppen in zwei Anwendungen auf, wenn sie unterschiedliche CAPTCHAs benötigen.

Datenschutzbedenkliche Nutzer in der EU​

Jeder gehostete Captcha-Dienst sendet einige Daten über den Browser des Besuchers an den Anbieter. Wenn Ihr Rechtsbereich keine Drittanbieter im Anmeldeprozess zulassen möchte, ist das Casdoor-Standard-Captcha die einzige Option in der Tabelle, bei der alles auf Ihrem eigenen Server bleibt. Unter den gehosteten Diensten beschreiben sowohl Turnstile als auch hCaptcha Datenschutz als Teil des Produkts (Daten beschränkt auf das, was für die Überprüfung erforderlich ist; jeweils DSGVO bzw. EU-U.S. Data Privacy Framework). reCAPTCHA setzt ein _GRECAPTCHA-Cookie; Google weist darauf hin, dass die Auslieferung von www.recaptcha.net andere Cookies vermeidet, die www.google.com möglicherweise setzt. Welchen Dienst Sie auch wählen, führen Sie ihn in Ihrer Datenschutzerklärung auf.

Selbst gehostet, Intranet oder offline​

Verwenden Sie das Standard-Captcha. Es benötigt keine Schlüssel und keinen ausgehenden Netzwerkzugriff, funktioniert also auch in Air-Gapped-Installationen. Kombinieren Sie es mit der Regel Internet-Only (unten), damit Personen im Büro-Netzwerk es nie sehen, während Anfragen aus dem öffentlichen Internet weiterhin betroffen sind.

Das Standard-Captcha ist in dieser Gruppe am schwächsten gegen automatisierte Solver, da es ein einfaches verzerrtes Ziffernbild ist. Für eine öffentliche Anmelde-Seite mit hohem Traffic kombinieren Sie es mit Multi-Faktor-Authentifizierung oder wechseln Sie Benutzer zu Passwortloser Anmeldung, was das Raten von Passwörtern eliminiert, gegen das Captchas entwickelt wurden.

Wie CAPTCHA in Casdoor funktioniert​

Sie fügen einen Provider hinzu, dessen Category auf Captcha gesetzt ist, und wählen einen dieser Typen: Default, reCAPTCHA, reCAPTCHA v2, reCAPTCHA v3, hCaptcha, Cloudflare Turnstile, GEETEST oder Aliyun Captcha. Dann fügen Sie ihn einer Anwendung im Tab Providers hinzu. Eine Anwendung kann nur einen Captcha-Provider enthalten; Casdoor verweigert das Speichern eines zweiten. Einrichtungsschritte für jeden Anbieter finden Sie in der Dokumentation der Captcha-Provider.

Wo Casdoor danach fragt​

Derselbe Provider schützt mehrere Aktionen, und Casdoor prüft das Token serverseitig, nicht nur im Browser:

  • Anmeldung mit Passwort.
  • Absenden des Registrierungsformulars.
  • Senden eines Verifizierungscodes per E-Mail oder SMS, was den Code-Schritt bei der Registrierung, die Seite zum Zurücksetzen des Passworts und die anmeldungsbasierte Code-Eingabe abdeckt. Dies ist der Schutz gegen Bots, die Ihr SMS-Budget verbrauchen.

Wann Casdoor danach fragt​

Die Rule des Captcha-Providers in der Anwendung entscheidet, wann er erscheint:

RuleBehavior
NoneNie; das Captcha ist deaktiviert
DynamicErst nachdem die fehlgeschlagenen Anmeldungen des Benutzers das Failed signin limit der Anwendung erreicht haben
AlwaysJedes Mal
Internet-OnlyFür Anfragen von öffentlichen IP-Adressen; nicht für private, Loopback- oder andere nicht-öffentliche Adressen

Dynamic ist die schonendste Einstellung für die Anmeldung: Ehrliche Benutzer sehen nie eine Challenge, und jemand, der Passwörter rät, trifft nach einigen Fehlversuchen auf eine. Sie gilt jedoch nur für Konten, die bereits existieren. Eine Registrierung oder ein Code, der an eine Adresse ohne Konto gesendet wird, löst sie nicht aus. Wenn Missbrauch von SMS oder E-Mails bei der Registrierung Ihr Anliegen ist, verwenden Sie Always oder Internet-Only.

Wo es auf der Seite erscheint​

Bei den Anmeldeelementen der Anwendung hat das Element Captcha seine eigene Regel: Pop up zeigt das Captcha in einem Dialog an, wenn es benötigt wird, und Inline platziert es direkt auf der Seite. Siehe Ändern des Captchas. Alibaba Cloud Captcha hat einen zusätzlichen Sub type: Embed zeigt es innerhalb des Casdoor-Dialogs an, und Popup übergibt die Kontrolle an den eigenen Popup-Dialog von Alibaba Cloud, was für traceless Szenarien erforderlich ist.

Verwenden Sie die Schaltfläche Preview auf der Provider-Seite, um die Schlüssel zu überprüfen, bevor Sie die Regel aktivieren.

Referenzen​