hCaptcha — корпоративный сервис Intuition Machines для обнаружения ботов и предотвращения мошенничества, который сайты встраивают в регистрацию, вход и оплату, применяя поведенческое машинное обучение и архитектуру Zero-PII вместо reCAPTCHA.
Пользовались этим инструментом? Оцените его
Пользовались этим инструментом? Оцените его
hCaptcha — это сервис обнаружения ботов и предотвращения мошенничества, который сайты и приложения встраивают именно там, где злоупотребления происходят на деле: формы регистрации, страницы входа, оформление платежа и API. Если вам доводилось кликать по квадратам с автобусами, вы видели лишь обращённый к публике край продукта — этот виджет его наименьшая часть. Официальный сайт теперь представляет себя корпоративной платформой для обнаружения ботов в реальном времени, проверки ИИ-агентов и предотвращения мошенничества, оценивая поведение непрерывно на протяжении сессии, а не перегораживая головоломкой один-единственный момент.
Компания за продуктом важна для понимания самого продукта. hCaptcha — сервис Intuition Machines, Inc., которой принадлежит товарный знак, а в списке советников значатся глава Brave и создатель языка JavaScript Brendan Eich, а также профессор Калифорнийского университета в Беркли Dawn Song. Эта родословная объясняет позиционирование: мишень названа прямо — reCAPTCHA от Google, а отличие в том, что hCaptcha не принадлежит рекламной компании. Архитектуру подают как Zero-PII, и утверждение состоит в том, что обнаружение возможно без браузерного отпечатка, на который опираются продукты безопасности, соседствующие с рекламным бизнесом. В официальной формулировке: вместо опоры на браузерный отпечаток или персональные данные сервис непрерывно оценивает, отражает ли активность подлинное намерение пользователя, применяя то, что компания называет Advanced Threat Signatures, вместе с поведенческим анализом и оценкой риска, выведенной из тысяч сигналов.
Знать происхождение продукта по-прежнему полезно, потому что следы видны до сих пор. Описание страницы «О компании» всё ещё называет его прямой заменой reCAPTCHA, которая приносит владельцам сайтов деньги и помогает компаниям разметить их данные — двусторонний рынок, где издателям платили за человеческий труд по решению заданий, а этот труд производил обучающие данные. Корпоративная платформа безопасности выросла из той самой машины, и обе половины до сих пор присутствуют в документации.
Это инфраструктура, а не приложение. Никто не регистрируется, чтобы пользоваться hCaptcha так, как подписываются на помощника по письму: разработчик встраивает его, команда безопасности настраивает, а миллионы конечных пользователей сталкиваются с ним, ни разу его не выбрав.
h-captcha и вашим data-sitekey, обычно внутри формы, которую вы защищаете.script-src, frame-src, style-src и connect-src. Принципиально важно: не прописывайте жёстко конкретные поддомены вроде newassets.hcaptcha.com в свою CSP, поскольку используемые поддомены ресурсов могут меняться со временем или по регионам.callback, error-callback и expired-callback, чтобы приложение аккуратно обрабатывало истечение токена, а не падало в момент отправки.По-настоящему бесплатный уровень существует. hCaptcha предлагает бесплатный уровень Basic, уровень Pro с включённой месячной квотой проверок и последующей оплатой за тысячу сверх неё, а также уровень Enterprise, продаваемый через отдел продаж. Бесплатный план не является пробным: он включает базовую защиту от ботов, глобальную доступность и заявленную позицию по соответствию требованиям — потому этот сервис так часто встречается на небольших сайтах и в открытых проектах.
Границы между уровнями стоит изучить до подписания, поскольку возможности, которые многие считают базовыми, таковыми не являются. Оценки риска, полностью пассивный режим No-CAPTCHA, противодействие APT, корпоративные SLA, SAML SSO и API отчётности относятся исключительно к Enterprise, тогда как малозаметный пассивный режим, собственные темы и аналитика находятся на уровне Pro. Если ваш замысел опирается на чтение числовой оценки риска в собственной логике, вы покупаете Enterprise независимо от объёма трафика. Pro предлагается с ограниченной по времени бесплатной пробой без платёжных данных и автоматически возвращается к бесплатному плану. Учтите также, что ключевое конкурентное утверждение о точности и стоимости снабжено сноской: оценки стоимости и точности основаны на сравнительных данных, сообщённых клиентами, то есть на самоотчёте клиентов, а не на независимом тестировании. Актуальные цифры уточняйте на официальной странице тарифов.
Да, существует постоянный бесплатный уровень с базовой защитой от ботов, глобальной доступностью и заявленной позицией по соответствию требованиям — это не просто пробный период. Платные уровни добавляют пассивные режимы, аналитику, оценки риска и корпоративные средства управления, а потребление считается по числу проверок.
Намеренно просто. Методы совместимы по API с аналогами reCAPTCHA вроде render() и onload(), а атрибуты theme, size и tab-index работают так же, поэтому большинству существующих интеграций хватит замены скрипта и нового ключа без переписывания.
Утверждение звучит иначе. Архитектура Zero-PII означает минимизацию персональной информации, но политика конфиденциальности раскрывает сбор поведенческих сигналов — движений мыши, положения прокрутки и событий нажатия клавиш — чтобы определить, человек ли посетитель. Заявленная позиция состоит в том, что это не привязывается к идентифицированному лицу.
Политика конфиденциальности относит ответы на подсказки к Labeled Data, применяемым для разметки данных в приложениях машинного обучения, и указывает, что они не привязаны к идентифицированному лицу. Это отражает происхождение продукта как площадки разметки данных наряду с его функцией безопасности.
Поставщик заявляет, что поддерживает соответствие GDPR и CCPA и имеет сертификаты ISO 27001, SOC 2 Type II и PCI DSS, а передачи из ЕС оформляются стандартными договорными условиями в его приложении об обработке данных. Важно, что обработка данных конечных пользователей регулируется вашим соглашением с hCaptcha, а не публичной политикой, поэтому обязанность ложится на ваше собственное соглашение и уведомление о конфиденциальности.
Отчасти, и поставщик откровенно обозначает границу. Он предлагает текстовое задание доступности и куку доступности после регистрации, ориентируется на WCAG 2.2 AA, но заявляет, что визуальные задания не могут быть полностью доступными, выполняя функцию безопасности, и что оператор сайта сам решает, какие меры включить.
В известной мере да — это верно для всей категории. Независимые публикации задокументировали коммерческие сервисы решения по цене в доли цента за задание и атаки на основе ИИ против широко используемых CAPTCHA, из-за чего дорожная карта поставщика делает упор на пассивное поведенческое обнаружение, а не на более сложные головоломки.
Всегда. Браузер получает только токен; ваш сервер обязан отправить его на конечную точку проверки, прежде чем доверять запросу. Любой контроль, существующий лишь на клиенте, может быть обойдён атакующим, который этим клиентом управляет.
Это сервис Intuition Machines, Inc., которой принадлежит товарный знак. Среди советников компании — глава Brave и создатель JavaScript Brendan Eich и профессор Калифорнийского университета в Беркли Dawn Song, а заявленная специализация — глубокое обучение и машинное обучение в визуальной области в большом масштабе.
Поставщик прямо продвигает глобальную доступность как отличие от reCAPTCHA, который достижим не везде надёжно. Это была одна из причин, названных Cloudflare при переходе в 2020 году, наряду со стоимостью и соображениями приватности.