Scarnox · Blog

So finden Sie den Captcha-Sitekey auf jeder Seite (4 Wege)

Jede Captcha-Lösung beginnt mit dem Sitekey: der öffentlichen ID, die die Website beim Captcha-Anbieter registriert hat. Der Browser kann ihn sehen, also können Sie ihn auch lesen. Bei PopularCaptcha ist der Sitekey eine UUID wie a5f74b19-9e45-40e0-b45d-47ff91b7a6c2. Andere Anbieter verwenden andere Formate. Google-reCAPTCHA-Schlüssel beginnen zum Beispiel mit 6L. Hier sind vier Stellen, an denen Sie ihn finden, von der einfachsten zur zuverlässigsten.

Scarnox löst heute PopularCaptcha. Die Suche nach dem Sitekey funktioniert bei jedem Captcha gleich, diese Methoden helfen Ihnen also auch, wenn Sie einen anderen Typ einplanen. Andere Typen, etwa reCAPTCHA und Cloudflare Turnstile, kommen bald.

1. Das Attribut data-sitekey

Öffnen Sie die DevTools (F12), gehen Sie zu Elements, drücken Sie Strg+F und suchen Sie nach data-sitekey. Die meisten Widgets legen den Schlüssel in einem Attribut wie diesem ab:

<div class="h-captcha" data-sitekey="a5f74b19-9e45-40e0-b45d-47ff91b7a6c2"></div>

Wenn Sie ihn hier finden, sind Sie fertig. Kopieren Sie den Wert und gehen Sie zur Lösung über.

2. Der Netzwerk-Tab

Wenn das Widget per JavaScript gerendert wird, taucht das Attribut vielleicht nie im HTML auf. Öffnen Sie Network, laden Sie die Seite neu und filtern Sie nach der Konfigurationsanfrage des Widgets. Bei PopularCaptcha heißt diese Anfrage meist checksiteconfig. Der Sitekey ist einer ihrer Query-Parameter:

.../checksiteconfig?v=...&host=example.com&sitekey=a5f74b19-...

Ein Filter nach dem Wort sitekey in der Anfrage-URL funktioniert auch, falls der Name auf der getesteten Website anders lautet.

3. Die iframe-URL

Die Challenge selbst ist ein iframe, das vom Captcha-Anbieter ausgeliefert wird. Sein src enthält den Sitekey als Parameter. Klicken Sie mit der rechten Maustaste auf das Widget, wählen Sie Untersuchen und lesen Sie den Wert aus der Adresse des iframes. Dies ist die zuverlässigste Methode, wenn die Seite das Attribut vor dem Hauptdokument verbirgt.

4. Unsichtbare Widgets

Ein unsichtbares Widget hat kein Kontrollkästchen. Die Website ruft die Funktion render() oder execute() des Widgets aus ihrem eigenen Code auf, und der Sitekey wird als Argument übergeben. Durchsuchen Sie das JavaScript der Seite danach: Öffnen Sie das Panel Sources und drücken Sie Strg+Umschalt+F, dann suchen Sie nach sitekey. Unsichtbare Sitekeys brauchen beim Lösen das Flag für unsichtbar. Siehe unsichtbare Captchas lösen.

Den Sitekey per Skript lesen

Wenn das Attribut im rohen HTML steht, kann ein Skript es ohne Browser lesen:

import re
import requests

html = requests.get("https://example.com/signup", timeout=30).text
m = re.search(r'data-sitekey="([^"]+)"', html)
print(m.group(1) if m else "no data-sitekey in the raw HTML")

Gibt dies nichts aus, wird das Widget per JavaScript gerendert. Verwenden Sie dann einen echten Browser, wie bei der Methode mit dem Netzwerk-Tab oben. Rufen Sie nur Seiten ab, die Sie automatisieren dürfen, und halten Sie Ihre Anfragerate niedrig.

Welche URL gehört dazu?

Senden Sie die URL der Seite, auf der das Widget liegt, als site_url. Maßgeblich ist vor allem der Host, daher ist https://example.com/signup der richtige Wert für ein Registrierungs-Widget. Eine vollständige Anfrage für PopularCaptcha sieht so aus:

{
  "captcha_type": "PopularCaptchaTaskProxyless",
  "site_key": "a5f74b19-9e45-40e0-b45d-47ff91b7a6c2",
  "site_url": "https://example.com/signup"
}

Senden Sie sie an https://api.scarnox.com/api/tasks/create mit Ihrem Schlüssel im Header Authorization: Bearer. Der Aufruf blockiert, bis das Token bereit ist, es gibt also keine zweite Anfrage, um das Ergebnis zu prüfen.

Häufige Probleme

• Zwei Sitekeys auf einer Seite. Websites binden manchmal ein Widget für das Login-Formular und ein weiteres für die Registrierung ein. Ordnen Sie den Schlüssel dem Formular zu, das Sie tatsächlich abgelehnt hat, und prüfen Sie, welcher am nächsten am Absende-Button liegt.
• Der Schlüssel ändert sich zwischen Besuchen. Lesen Sie ihn bei jedem Lauf neu. Schlüssel sind normalerweise stabil, aber ein zwischengespeicherter Schlüssel aus einem alten Deployment kann aufhören zu funktionieren.
• Der Schlüssel wurde gefunden, das Token wird aber abgelehnt. Der Sitekey ist wahrscheinlich richtig. Prüfen Sie als Nächstes die Widget-Größe und die Proxy-Einstellung, beginnend mit dem Leitfaden unsichtbares Captcha und dem Vergleich von Proxy und proxyless.

Prüfen, ob Sie den richtigen Sitekey haben

Eine Seite kann mehr als einen Sitekey enthalten. Analyse-Widgets, Kommentarformulare und Newsletter-Boxen bringen manchmal eigene mit. Bestätigen Sie vor dem Lösen, dass der Sitekey zu dem Formular gehört, das Sie automatisieren. Drei kurze Prüfungen helfen:

• Suchen Sie den Absende-Button des Formulars in den DevTools und gehen Sie im DOM nach oben bis zum nächsten Element, das ein data-sitekey enthält. Das ist das Widget, das das Formular schützt.
• Vergleichen Sie den Schlüssel mit dem in der iframe-URL. Stimmen sie überein, haben Sie den Schlüssel, den das Widget tatsächlich nutzt.
• Senden Sie das Formular einmal von Hand mit einem gelösten Token ab, falls Sie dazu berechtigt sind, und prüfen Sie, ob die Website es annimmt.

Schlüssel können sich auch ändern, wenn eine Website neu deployt wird. Wenn ein Schlüssel, der gestern funktioniert hat, heute keine akzeptierten Tokens mehr erzeugt, lesen Sie die Seite erneut, bevor Sie an etwas anderem etwas ändern. Ein frisches Lesen kostet nichts und schließt die häufigste Ursache für einen plötzlichen Ausfall aus.

Seiten, die das Widget erst nach einem Klick laden, brauchen einen zusätzlichen Schritt. Öffnen Sie die Seite, führen Sie den Klick aus, der das Widget zeigt, und lesen Sie erst dann den Sitekey. Liest man die Seite vor dem Klick, kommt nichts zurück, was wie ein fehlendes Widget aussieht, in Wahrheit aber ein Timing-Problem ist. Warten Sie auf ein Element, das [data-sitekey] entspricht, statt eine feste Zeit zu schlafen.

Nächste Schritte

• PopularCaptcha in Python lösen
• PopularCaptcha in Playwright und Puppeteer lösen
• Captcha-Typen erklärt
• Kostenlose Testphase für den Captcha-Solver

Starten Sie mit einer kostenlosen Testphase, ganz ohne Karte: Erstellen Sie ein Konto und testen Sie Ihren ersten Sitekey.