Перейти до основного вмісту

Порівняння провайдерів CAPTCHA для сторінок входу: reCAPTCHA, hCaptcha, Turnstile, GeeTest та Alibaba Cloud у Casdoor

· Читання за 8 хв
Yang Luo
Yang Luo
Casdoor Maintainer

Для більшості сторінок входу та реєстрації в глобальному інтернеті найпростішим вибором є Cloudflare Turnstile: безкоштовний план не має обмежень на кількість перевірок, а його режим за замовчуванням показує прапорець лише підозрілим відвідувачам. Якщо багато ваших користувачів знаходяться в материковому Китаї, скористайтеся Alibaba Cloud Captcha або GeeTest, оскільки Cloudflare зазначає, що Turnstile там не підтримується. Якщо вам потрібна captcha, яка працює без жодних зовнішніх сервісів, використовуйте вбудовану графічну captcha Casdoor. Casdoor підтримує всі ці варіанти, а також Google reCAPTCHA (v2 та v3) і hCaptcha як провайдери капчі, і ви можете налаштувати, коли саме з'являється captcha для кожного додатка.

Порівняння​

Ціни та доступність, зазначені нижче, були перевірені на сайтах постачальників станом на 2026-11-02. Якщо постачальник не публікує конкретну цифру, у таблиці це вказано замість припущень.

ПровайдерЩо бачить користувачНевидимий режимДані та конфіденційністьБезкоштовний тариф та ціноутворенняМатериковий КитайТип Casdoor
Casdoor defaultВведення п'яти цифр із зображенняНіГенерується та перевіряється вашим сервером Casdoor; без третіх сторінБезкоштовно, частина CasdoorПрацює, без зовнішніх викликівDefault
Google reCAPTCHA v2Прапорець; деякі користувачі отримують завдання із зображеннямиУ v2 також є невидимий варіант, який перевіряє лише підозрілий трафікGoogle; встановлює cookie _GRECAPTCHA для аналізу ризиківEssentials tier безкоштовний до 10 000 оцінок на місяць на організацію; Premium — $8 фіксовано до 100 000, потім $1 за кожні 1 000Google радить використовувати www.recaptcha.net, якщо www.google.com недоступнийreCAPTCHA, reCAPTCHA v2 (checkbox)
Google reCAPTCHA v3Nothing; returns a score (Casdoor rejects scores below 0.5)YesSame as v2Same as v2Same as v2reCAPTCHA v3
hCaptchaПрапорець із завданнями на зображеннях у безкоштовному планіПасивний режим у Pro ("99.9% passive") та режим без CAPTCHA у EnterpriseЗаявляє, що безкоштовний план відповідає GDPR, CCPA, LGPD та PIPL; сертифікований відповідно до EU-U.S. Data Privacy FrameworkBasic безкоштовний; Pro — $139 на місяць (або $99 на місяць при річній оплаті) зі 100 000 оцінок, потім $0.99 за кожні 1 000; Enterprise через відділ продажівНе задокументовано hCaptchahCaptcha
Cloudflare TurnstileManaged mode показує прапорець лише за потребиРежими Non-interactive та Invisible widgetCloudflare заявляє, що обробляє лише строго необхідні дані та не читає введених у форму даних; проксі Cloudflare не потрібенБезкоштовний план: необмежені перевірки, до 20 віджетів; Enterprise через відділ продажівCloudflare: "not supported in Mainland China"Cloudflare Turnstile
GeeTest CAPTCHA v4Клік одним рухом, слайд-пазл, вибір тексту, match-threeНе зазначено на сторінці продукту v4Китайський постачальник; політика конфіденційності специфічна для продуктуНемає публічного прайс-листа; 30-денний безкоштовний пробний період, далі через відділ продажівКитайський постачальникGEETEST
Alibaba Cloud Captcha 2.0Клік одним рухом, слайдер, пазл, відновлення зображенняРежим без слідів (Traceless mode) у версіях Standard та EnterpriseПрацює на базі Alibaba CloudОплата за використання: 0.005 CNY за виклик у материковому Китаї, 0.007 CNY поза ним; також доступні підписки та пакети ресурсівТак; Casdoor перевіряє через ендпоінт регіону ШанхайAliyun Captcha

Два зауваження щодо рядків reCAPTCHA. Google перемістив reCAPTCHA до Google Cloud Fraud Defense з рівнями Essentials, Premium та Enterprise, а безкоштовна квота на 10 000 оцінок розподілена між усією організацією Google Cloud. Casdoor взаємодіє з reCAPTCHA через ключ сайту та секретний ключ стандартного ендпоінту siteverify, і завантажує скрипт з recaptcha.net, а не з google.com, як для браузерного скрипту, так і для серверної перевірки.

Що обрати​

Глобальний SaaS​

Почніть з Cloudflare Turnstile. Безкоштовний план не лімітує кількість перевірок, режим Managed дозволяє більшості користувачів нічого не клікати, і вам не потрібно спрямовувати ваш сайт через Cloudflare. Якщо ви вже використовуєте Google Cloud і хочете отримати сигнали ризику від reCAPTCHA, reCAPTCHA буде чудовим вибором, але стежте за безкоштовною квотою в 10 000 оцінок: активна сторінка входу або атака на SMS-шлюз можуть вичерпати її за день. hCaptcha — інший поширений вибір; його безкоштовний план завжди показує завдання, а пасивні режими є платними.

Застосунок із користувачами в материковому Китаї​

Turnstile не підходить, згідно з документацією Cloudflare. Для reCAPTCHA Google документує www.recaptcha.net як домен для використання, коли www.google.com недоступний, і Casdoor вже використовує його, але вам все одно варто протестувати з мереж ваших користувачів перед тим, як покладатися на це. hCaptcha не публікує жодних заяв щодо Китаю, тому тут діють ті самі поради.

Два надійні варіанти — це Alibaba Cloud Captcha та GeeTest. Alibaba Cloud публікує ціни за виклик і дозволяє почати з моделі оплати за використання; його режим без слідів (у Casdoor використовуйте підтип Popup) наближається до невидимого досвіду Turnstile. GeeTest продається через відділ продажів після 30-денного пробного періоду. Якщо ви обслуговуєте і Китай, і решту світу з одного Casdoor, пам'ятайте, що один додаток може мати лише одного провайдера капчі, тому розділіть аудиторії на два додатки, якщо їм потрібні різні капчі.

Користувачі в ЄС, чутливі до приватності​

Кожна хостингова капча надсилає певні дані про браузер відвідувача постачальнику. Якщо ваш юридичний відділ хоче повністю виключити третіх сторінів із шляху входу, то типова капча Casdoor — єдиний варіант у таблиці, який зберігає все на вашому власному сервері. Серед хостингових рішень і Turnstile, і hCaptcha позиціонують конфіденційність як частину продукту (дані обмежені тим, що потрібно для перевірки; відповідно GDPR та EU-U.S. Data Privacy Framework). reCAPTCHA встановлює cookie _GRECAPTCHA; Google зазначає, що використання www.recaptcha.net дозволяє уникнути інших cookie, які може встановлювати www.google.com. Який би варіант ви не обрали, додайте його до вашого повідомлення про конфіденційність.

Self-hosted, інтранет або офлайн-режим​

Використовуйте типову капчу. Їй не потрібні ключі та вихідний мережевий доступ, тому вона працює в ізольованих середовищах (air-gapped). Поєднайте її з правилом Internet-Only (нижче), щоб користувачі в офісній мережі ніколи не бачили її, а запити з публічного інтернету продовжували її отримувати.

Типова капча є найслабшою з групи проти автоматизованих солверів, оскільки це звичайне зображення спотворених цифр. Для публічної сторінки входу з високим трафіком поєднайте її з багатофакторною автентифікацією або переведіть користувачів на вхід без пароля, що усунує перебір паролів, уповільненням якого й займаються капчі.

Як CAPTCHA працює в Casdoor​

Ви додаєте провайдера з Category, встановленою в Captcha, та одним із цих типів: Default, reCAPTCHA, reCAPTCHA v2, reCAPTCHA v3, hCaptcha, Cloudflare Turnstile, GEETEST або Aliyun Captcha. Потім додаєте його до застосунку на вкладці Providers. Застосунок може містити лише одного провайдера капчі; Casdoor відмовиться зберігати другого. Кроки налаштування для кожного постачальника описано в документації провайдерів капчі.

Де Casdoor запитує капчу​

Той самий провайдер захищає кілька дій, і Casdoor перевіряє токен на сервері, а не лише в браузері:

  • Вхід за паролем.
  • Надсилання форми реєстрації.
  • Надсилання кода верифікації через електронну пошту або SMS, що охоплює крок підтвердження при реєстрації, сторінку відновлення пароля та вхід за кодом. Це захист від ботів, які витрачають ваш бюджет на SMS.

Коли Casdoor запитує капчу​

Правило Rule провайдера капчі в застосунку визначає, коли вона з’являється:

RuleBehavior
NoneНіколи; капча вимкнена
DynamicЛише після того, як кількість невдалих спроб входу користувача досягне значення Failed signin limit застосунку
AlwaysЩоразу
Internet-OnlyДля запитів із публічних IP-адрес; не для приватних, loopback чи інших непублічних адрес

Dynamic — найм’якший параметр для входу: чесні користувачі ніколи не бачать завдання, а той, хто перебирає паролі, стикається з ним після кількох невдалих спроб. Однак це стосується лише вже існуючих облікових записів. Реєстрація або надсилання кода на адресу, яка ще не має облікового запису, не активує його. Якщо вас турбує зловживання SMS або електронною поштою під час реєстрації, використовуйте Always або Internet-Only.

Де вона з’являється на сторінці​

У пунктах входу застосунку елемент Captcha має своє власне правило: Pop up показує капчу в діалоговому вікні, коли вона потрібна, а Inline розміщує її безпосередньо на сторінці. Див. Зміна капчі. Alibaba Cloud Captcha має додатковий Sub type: Embed показує її всередині діалогового вікна Casdoor, а Popup передає управління власному вспливаючому вікну Alibaba Cloud, що необхідно для сценаріїв без трасування (traceless).

Використовуйте кнопку Preview на сторінці провайдера, щоб перевірити ключі перед увімкненням правила.

Посилання​