Как защитить сайт от ботов: капча без Google

Боты регистрируют тысячи фейковых аккаунтов, спамят формы обратной связи и перебирают пароли на странице входа. Капча — это фильтр, который отсекает автоматизированный трафик. Разберём, как она работает, чем неудобен Google reCAPTCHA в рунете и как поставить свою лёгкую капчу.

Откуда боты и чем они вредят

• Регистрации: тысячи фейковых аккаунтов под спам, накрутку и обход лимитов.
• Формы обратной связи: спам с ссылками летит вам на почту и в CRM.
• Вход: перебор паролей (credential stuffing) по утёкшим базам.
• Парсинг и накрутка: боты выкачивают контент и крутят голосования/промокоды.

Любая публичная форма без защиты рано или поздно находится ботами — это делается автоматически по всему интернету. Капча поднимает стоимость атаки настолько, что массовый бот идёт дальше.

Как работает капча

Классическая капча показывает задачу, которую человеку решить легко, а боту — дорого: распознать искажённый текст, выбрать картинки, передвинуть ползунок. На сервере проверяется не «правильность ответа на картинке», а одноразовый токен, который выдаётся после решения и подтверждается запросом с вашего бэкенда (siteverify). Подделать токен нельзя — он привязан к конкретной сессии и одноразовый.

Чем неудобен Google reCAPTCHA в рунете

• Зависимость от Google: скрипты грузятся с доменов Google, которые в РФ работают нестабильно.
• Приватность: пользовательский трафик уходит на чужие серверы, что усложняет 152-ФЗ.
• Вес и UX: тяжёлый виджет, бесконечные «выберите все светофоры», просадка конверсии.
• Чужой брендинг на вашей форме и невозможность подстроить под дизайн.

Как поставить лёгкую капчу

Современная альтернатива — self-hosted или независимая капча, которая не тянет за собой сторонние домены. Lockio Captcha устроена так:

• Один тег <script> и контейнер с вашим sitekey — виджет рисуется сам.
• Картинка генерируется на нашем сервере, без обращений к третьим сторонам.
• Фрейм автоматически подстраивается под фон и фирменные цвета сайта.
• Проверка ответа — один POST-запрос siteverify с секретным ключом с вашего бэкенда.

Мы и сами используем её на собственной форме регистрации — это честный dogfooding. Технические детали интеграции и примеры кода собраны в документации.