Для захисту від ботів і автоматичних атак BotBlocker підтримує інтеграцію reCAPTCHA v2 як один із додаткових способів перевірки користувача на важливих сторінках. Це допомагає зупинити навіть складні скрипти й автоматизацію.
Навіщо потрібна reCAPTCHA v2?
- Надійно виявляє й блокує автоматичні дії за допомогою зручного віджета («Я не робот»)
- Зупиняє більшість ботів і скриптів, здатних обходити базові фільтри й перевірки JS
- Може бути ввімкнена на сторінках перевірки, входу, реєстрації, коментарів або під час виявлення підозрілого трафіку
Як працює reCAPTCHA v2 у BotBlocker
- Після ввімкнення reCAPTCHA v2 з\\\\\\\’являється в користувачів, яким потрібна додаткова верифікація (наприклад, за підозри на підозрілу активність)
- Користувач має пройти перевірку, щоб продовжити - автоматизація зазвичай не справляється
- Це надійно захищає від брутфорсу, спаму, масових реєстрацій і скриптів
Коли BotBlocker фіксує підозрілу поведінку відвідувача - наприклад, занадто часті запити, переходи незвичними маршрутами або відсутність стандартних заголовків браузера - він автоматично пропонує пройти перевірку через віджет. Реальна людина ставить позначку й продовжує роботу із сайтом без жодних затримок. Скрипт чи бот, як правило, не може взаємодіяти з віджетом так, як живий користувач, і отримує відмову.
Важливо розуміти, що сам сервіс Google аналізує поведінку відвідувача ще до натискання на позначку: рух миші, час на сторінці, історію браузера. Саме тому більшість реальних користувачів проходять перевірку миттєво, а боти застрягають на ній або взагалі не можуть її пройти. Докладніше про те, як Google оцінює ризики, можна прочитати в офіційній документації reCAPTCHA.
Як створити ключі reCAPTCHA v2: покрокова інструкція
- Перейдіть до адмін-панелі reCAPTCHA:
https://www.google.com/recaptcha/admin - Увійдіть в акаунт Google.
- Зареєструйте новий сайт:
- У полі Label придумайте назву для проєкту
- Виберіть «reCAPTCHA v2» (Checkbox або Invisible - залежно від завдання)
- Вкажіть свої домени (лише основне ім\\\\\\\’я, без «http://» чи «/»)
- Прийміть умови, збережіть
- Скопіюйте Site Key і Secret Key:
- Після реєстрації з\\\\\\\’являться два коди: публічний (для сайту) і секретний (для серверної перевірки)
- Додайте ключі в налаштування BotBlocker:
- В адмінці WordPress відкрийте BotBlocker → Інтеграції → reCAPTCHA v2
- Вставте обидва ключі у відповідні поля й збережіть
- Перевірте роботу:
- Зайдіть на сторінку перевірки або входу як звичайний користувач - reCAPTCHA має працювати
Checkbox чи Invisible: який режим вибрати
reCAPTCHA v2 пропонує два варіанти роботи. Checkbox - класичний режим, у якому користувач бачить віджет із позначкою «Я не робот». Він підходить для форм входу й реєстрації, де невелика взаємодія з елементом не дратує. Invisible - прихований режим, у якому перевірка запускається у фоні під час натискання кнопки надсилання форми. Віджет не показується на сторінці, якщо Google не вважає сесію підозрілою. Цей варіант менше заважає користувачам, але підходить не для всіх сайтів: деякі розширення браузера можуть блокувати його роботу.
Для більшості сайтів на WordPress у зв\\\\\\\’язці з BotBlocker оптимальним залишається режим Checkbox: він зрозумілий користувачам, добре сумісний з усіма браузерами й не створює проблем із налаштуванням. Invisible варто розглядати, якщо ви хочете максимально прибрати зайві елементи з форм і готові додатково протестувати поведінку капчі на своєму сайті.
Що таке Site Key і Secret Key
Site Key - це публічний ключ, який вбудовується прямо в код сторінки. Він потрібен, щоб віджет завантажувався в браузері користувача. Його бачить будь-хто, хто переглядає вихідний код сторінки, і це нормально: сам по собі він не дає жодного доступу.
Secret Key - це закритий ключ, який зберігається лише на сервері. Після того як користувач пройшов перевірку, сервер надсилає цей ключ разом із токеном від Google, щоб підтвердити результат. Його не можна публікувати чи передавати третім особам. Якщо Secret Key став відомий стороннім - негайно згенеруйте нову пару ключів у консолі Google.
Рекомендації щодо використання reCAPTCHA v2
- Використовуйте капчу лише на формах перевірки, входу чи реєстрації, а не на всіх сторінках - так ви не відлякаєте реальних користувачів
- Оновлюйте ключі під час зміни домену чи перенесення сайту
- Стежте за відгуками - у разі проблем запропонуйте користувачам альтернативний спосіб верифікації
Якщо ваш сайт працює на кількох піддоменах, додайте кожен із них до списку доменів під час реєстрації в консолі Google. Без цього віджет може не завантажуватися на частині сторінок, і користувачі просто не зможуть пройти перевірку. Також варто періодично заходити в консоль reCAPTCHA і дивитися статистику: там відображається кількість запитів, частка підозрілих сесій та інші дані, які допомагають зрозуміти, наскільки активно ваш сайт атакують боти.
Якщо ви помічаєте, що реальні користувачі скаржаться на труднощі з проходженням перевірки, перевірте налаштування BotBlocker: можливо, поріг спрацювання встановлено занадто низько і віджет показується навіть добросовісним відвідувачам. У такому разі скоригуйте чутливість фільтрів або обмежте показ капчі лише конкретними сторінками.
Сумісність із мобільними пристроями
Віджет коректно відображається на смартфонах і планшетах. Користувачу достатньо натиснути на позначку пальцем. Якщо Google вирішить показати додаткове завдання із зображеннями, воно теж адаптоване під невеликі екрани. Це важливо, адже значна частина трафіку сьогодні надходить саме з мобільних пристроїв, і незручна перевірка може призвести до втрати реальних клієнтів. За даними офіційного FAQ Google reCAPTCHA, сервіс оптимізований для роботи в усіх сучасних браузерах, зокрема мобільних.
Часті запитання
Чи потрібно платити за reCAPTCHA v2?
Ні, стандартний сервіс безоплатний для більшості сайтів. Google надає reCAPTCHA v2 без оплати за стандартного обсягу запитів. Платні плани існують лише для дуже великих проєктів із величезним трафіком, для звичайного сайту на WordPress вони не потрібні.
Чи може вона блокувати реальних користувачів?
Рідко. Капча максимально «дружня», але бажано передбачити запасний варіант.
Чи можу я використовувати reCAPTCHA v3?
BotBlocker підтримує й v3 - виберіть відповідну до вашого сценарію.
Що робити, якщо віджет не завантажується?
Переконайтеся, що домен сайту точно збігається з тим, який ви вказали під час реєстрації ключів. Також перевірте, чи не блокує ваш сервер запити до серверів Google. Якщо сайт працює через CDN чи проксі, переконайтеся, що запити до www.google.com/recaptcha проходять без обмежень.
Чи можна використовувати одні ключі для кількох сайтів?
Ні. Ключі прив\\\\\\\’язані до конкретного домену. Для кожного сайту потрібно реєструвати окрему пару ключів у консолі Google. Використання чужих чи універсальних ключів призведе до помилки під час перевірки.