Scarnox · Blog

reCAPTCHA-v3-Score erklärt: wie Seiten Besucher ohne Prüfung bewerten

reCAPTCHA v3 zeigt keine Aufgabe. Es läuft im Hintergrund der Seite, beobachtet den Besucher und liefert einen Score von 0,0 bis 1,0, wobei ein höherer Wert bedeutet, dass der Besucher mit größerer Wahrscheinlichkeit ein Mensch ist. Das Backend der Seite entscheidet, was es mit dem Score macht. Ein Anmeldeformular lässt einen Besucher bei 0,7 vielleicht durch und blockiert ihn bei 0,3. Die Unterstützung von reCAPTCHA v3 bei Scarnox kommt demnächst. Dieser Leitfaden erklärt, wie der Score funktioniert, und legitime Wege, damit automatisierte Arbeit nicht als Bot bewertet wird.

So entsteht der Score

Die Seite lädt das reCAPTCHA-Skript und ruft es für eine Aktion auf, etwa login oder signup. Das Skript sammelt im Browser Signale und schickt sie an Google, das ein Token zurückgibt. Der Server der Seite schickt das Token dann mit ihrem geheimen Schlüssel an den Prüfendpunkt von Google und erhält einen Score und einen Aktionsnamen zurück.

Der Score ist eine Risikoschätzung aus mehreren Arten von Signalen:

die Browser-Umgebung, einschließlich der Frage, ob sie wie ein Standard-Desktop-Browser aussieht;
das Verhalten auf der Seite, etwa Mausbewegung, Scrollen und Timing;
der Verlauf des Besuchers mit dieser Seite, etwa frühere erfolgreiche Sitzungen;
das Anfragemuster, einschließlich wie oft und wie schnell Anfragen von einer Adresse eintreffen.

Die genaue Gewichtung wird nicht veröffentlicht und ändert sich. Öffentlich ist der Vertrag: Die Seite wählt einen Schwellenwert, und der Score entscheidet über das Ergebnis.

Warum Automatisierung niedrig bewertet wird

Automatisierter Datenverkehr erhält aus vorhersagbaren Gründen oft einen niedrigen Score. Ein Headless-Browser mit Standardeinstellungen hat ungewöhnliche Signale. Eine neue Sitzung hat keinen Verlauf. Ein schnelles, regelmäßiges Anfragemuster ähnelt keinem Menschen beim Surfen. Rechenzentrums-Adressen werden mit mehr Misstrauen behandelt als Heimanschlüsse. Jedes davon ist ein Signal, und mehrere zusammen können den Score unter den Schwellenwert drücken.

Weil es keine sichtbare Prüfung gibt, bedeutet ein niedriger Score oft einen stillen Fehlschlag. Die Seite lädt, das Formular wird abgelehnt, und nichts sagt dir warum. Richte dein Logging so ein, dass du den Fehler auf Serverseite sehen kannst.

Legitime Wege, deinen Score gesund zu halten

Diese Ansätze sind für deine eigene Arbeit und für legitime Datenerhebung gedacht:

Ein echtes Browser-Profil verwenden. Ein normaler Browser mit gewöhnlichen Einstellungen und Erweiterungen wird seltener als Bot bewertet als ein nacktes Headless-Build. Der Leitfaden zum Browser-Fingerprinting erklärt, wie die Browser-Umgebung ausgelesen wird.
Sitzungen warm halten. Behalte Cookies über Anfragen hinweg und starte nicht jede Seite aus einem leeren Zustand.
Anfragen takten. Menschliche Besucher laden nicht hundert Seiten in einer Sekunde. Füge Verzögerungen hinzu und randomisiere sie in einem sinnvollen Bereich.
Offensichtliche Hinweise vermeiden. Standard-User-Agents, fehlende Spracheinstellungen und inkonsistente Bildschirmgrößen sind leicht zu behebende, eindeutige Signale.
Gegen deinen eigenen Schwellenwert testen. Wenn du die Seite betreibst, lies den Score in Staging und prüfe, welche Signale ihn nach unten ziehen. Googles Testschlüssel sind nützlich, um die Integration ohne echte Bewertung zu testen.

Diese Schritte verringern Fehlalarme bei echter Arbeit. Sie sind kein Weg, einen menschlichen Score für Missbrauch vorzutäuschen, und keiner dieser Ansätze ändert etwas daran, dass der Betreiber der Seite den Schwellenwert festlegt.

Was der Score nicht leistet

Der Score beweist nicht, dass ein Besucher ein Mensch ist, und er sagt dir nicht, warum ein Besucher niedrig bewertet wurde. Ein niedriger Wert kann von einem ungewöhnlichen, aber legitimen Browser, einem geteilten Netzwerk oder einem VPN kommen. Behandle den Score als eine Eingabe unter mehreren. Wenn dein legitimer Job dauerhaft niedrig bewertet wird, ist die ehrliche Antwort oft, den Betreiber der Seite um eine Allowlist oder eine API zu bitten.

Wo Scarnox steht

Scarnox löst reCAPTCHA v3 heute nicht live. Der einzige live verfügbare Task-Typ ist PopularCaptcha, proxyless. reCAPTCHA v3 kommt demnächst. Ein score-basierter Solver muss ein Token zurückgeben, das die Seite akzeptiert, und das ist ein anderes Problem als das Lösen einer sichtbaren Aufgabe. Die Details zur Integration werden in der API-Referenz dokumentiert, sobald die Unterstützung veröffentlicht ist.

Erstelle ein Konto, um mit kostenlosem Testguthaben zu starten, ohne Karte, dann bist du bereit, wenn der Typ live geht.

Den Score in deinen eigenen Logs lesen

Weil es keine sichtbare Prüfung gibt, kannst du einen score-basierten Fehlschlag nur verstehen, wenn du ihn protokollierst. Erfasse auf deiner eigenen Seite den Score, den Aktionsnamen und das Erfolgsflag, die dein Backend beim Verifizierungs- aufruf erhält, zusammen mit dem Zeitstempel der Anfrage und dem Pfad, von dem sie kam. Über eine Woche Datenverkehr zeigt das Muster meist, welche Seiten oder Abläufe niedrig bewertet werden. Ein Ablauf, der immer niedrig liegt, kann ein echtes Problem für legitime Nutzer sein, etwa ein Anmeldeschritt, der zu kurz nach dem Laden der Seite kommt, und kein Bot-Problem.

Vergleiche auch die Scores für dieselbe Aktion über verschiedene Browser und Netzwerke. Wenn ein normaler Besucher über einen Heimanschluss gut abschneidet und derselbe Besucher über ein Firmen-VPN schlecht, reagiert der Score auf das Netzwerk, nicht auf den Browser, und die Lösung ist ein Gespräch über den Zugang statt eine Änderung an der Automatisierung.

Halte die Logs frei von personenbezogenen Daten. Ein Score und ein Aktionsname reichen aus, um die meisten Probleme zu diagnostizieren, und mehr zu speichern als nötig schafft eine Datenschutzpflicht, die du nicht willst.

Verantwortungsvoll scrapen

Prüfe robots.txt und die Nutzungsbedingungen der Seite, bevor du einen Scraping-Job startest. Halte deine Rate niedrig, vermeide das Erheben personenbezogener Daten, die du nicht brauchst, und denke daran, dass eine score-basierte Prüfung die gewählte Art der Seite ist, sich selbst zu schützen. Sie in großem Umfang zu umgehen ist ein Zeichen, dass der Job überdacht oder mit dem Betreiber abgestimmt werden sollte. Der Leitfaden zur Legalität von Web-Scraping behandelt das weitere Bild.