Scarnox · Blog

Punteggio reCAPTCHA v3 spiegato: come i siti giudicano i visitatori senza sfide

reCAPTCHA v3 non mostra alcuna sfida. Lavora in background nella pagina, osserva il visitatore e restituisce un punteggio da 0,0 a 1,0, dove un numero più alto indica che il visitatore è più probabilmente un essere umano. Il backend del sito decide cosa fare con il punteggio. Un modulo di registrazione potrebbe far passare un visitatore con 0,7 e bloccarne uno con 0,3. Il supporto di Scarnox per reCAPTCHA v3 è in arrivo. Questa guida spiega come funziona il punteggio e i modi legittimi per evitare che il lavoro automatizzato venga valutato come bot.

Come viene prodotto il punteggio

La pagina carica lo script di reCAPTCHA e lo invoca per un'azione, come login o signup. Lo script raccoglie segnali nel browser e li invia a Google, che restituisce un token. Il backend del sito invia poi il token all'endpoint di verifica di Google, insieme alla propria chiave segreta, e riceve in cambio un punteggio e il nome dell'azione.

Il punteggio è una stima del rischio costruita da diversi tipi di segnale:

Il peso esatto non è pubblicato, e cambia nel tempo. Ciò che è pubblico è il contratto: il sito sceglie una soglia, e il punteggio decide l'esito.

Perché l'automazione ottiene un punteggio basso

Il traffico automatizzato tende ad avere un punteggio basso per motivi prevedibili. Un browser headless con impostazioni predefinite ha segnali insoliti. Una nuova sessione non ha cronologia. Una sequenza di richieste veloce e regolare non assomiglia a una persona che naviga. Gli indirizzi dei datacenter sono trattati con più sospetto delle connessioni domestiche. Ogni fattore è un segnale, e più segnali insieme possono far scendere il punteggio sotto la soglia.

Poiché non c'è una sfida visibile, un punteggio basso spesso è un fallimento silenzioso. La pagina si carica, il modulo viene rifiutato, e nulla ti dice perché. Costruisci i log in modo da poter vedere l'errore dal lato server.

Modi legittimi per mantenere sano il punteggio

Questi approcci sono per il tuo lavoro e per la raccolta legittima di dati:

  1. Usa un profilo di browser reale. Un browser normale con impostazioni ordinarie ed estensioni è meno soggetto a essere valutato come bot rispetto a una build headless spoglia. La guida all'impronta digitale del browser spiega come viene letto l'ambiente del browser.
  2. Mantieni calde le sessioni. Conserva i cookie tra le richieste e non far partire ogni pagina da uno stato vuoto.
  3. Scandisci le richieste. I visitatori umani non caricano cento pagine in un secondo. Aggiungi ritardi e randomizzali entro un intervallo sensato.
  4. Evita indizi evidenti. User agent predefiniti, impostazioni della lingua mancanti e dimensioni dello schermo incoerenti sono segnali facili da correggere.
  5. Testa sulla tua soglia. Se gestisci il sito, leggi il punteggio in staging e verifica quali segnali lo abbassano. Le chiavi di test di Google sono utili per testare l'integrazione senza un punteggio reale.

Questi passaggi riducono i falsi positivi nel lavoro reale. Non sono un modo per simulare un punteggio umano a fini di abuso, e nessun approccio qui cambia il fatto che sia il titolare del sito a decidere la soglia.

Cosa non fa il punteggio

Il punteggio non dimostra che un visitatore sia umano, e non ti dice perché un visitatore ha ottenuto un punteggio basso. Un punteggio basso può derivare da un browser insolito ma legittimo, da una rete condivisa o da una VPN. Considera il punteggio un solo elemento. Se il tuo lavoro legittimo continua a ottenere un punteggio basso, la risposta onesta spesso è chiedere al titolare del sito una lista di indirizzi autorizzati o un'API.

Dove si colloca Scarnox

Scarnox non risolve oggi reCAPTCHA v3 in produzione. L'unico tipo di attività attivo è PopularCaptcha, proxyless. reCAPTCHA v3 è in arrivo. Un solver basato sul punteggio deve restituire un token che il sito accetta, che è un problema diverso dalla risoluzione di un puzzle visibile, quindi i dettagli di integrazione saranno documentati nel riferimento API quando il supporto sarà disponibile.

Crea un account per iniziare con il credito di prova gratuito, senza carta, e sarai pronto quando il tipo sarà attivo.

Leggere il punteggio nei tuoi log

Poiché non c'è una sfida visibile, l'unico modo per capire un fallimento basato sul punteggio è registrarlo. Sul tuo sito, registra il punteggio, il nome dell'azione e il flag di successo che il tuo backend riceve dalla chiamata di verifica, insieme al timestamp della richiesta e al percorso da cui arriva. Dopo una settimana di traffico, lo schema di solito mostra quali pagine o flussi ottengono punteggi bassi. Un flusso sempre basso può essere un vero problema per gli utenti legittimi, ad esempio un passaggio di registrazione che avviene troppo rapidamente dopo il caricamento della pagina, piuttosto che un problema di bot.

Confronta anche i punteggi della stessa azione su browser e reti diversi. Se un visitatore normale su una connessione domestica ottiene un buon punteggio e lo stesso visitatore su una VPN aziendale ottiene un punteggio scarso, il punteggio risponde alla rete, non al browser, e la soluzione è un confronto sull'accesso piuttosto che una modifica dell'automazione.

Tieni i log privi di dati personali. Un punteggio e un nome di azione bastano a diagnosticare la maggior parte dei problemi, e memorizzare di più crea un obbligo di privacy che non vuoi.

Scraping responsabile

Controlla robots.txt e i termini del sito prima di un lavoro di scraping. Mantieni bassa la frequenza, evita di raccogliere dati personali che non ti servono, e ricorda che un controllo basato sul punteggio è il modo scelto dal sito per proteggersi. Aggirarlo su larga scala è un segnale che il lavoro va riconsiderato o concordato con il titolare. La guida sulla legalità del web scraping copre il quadro più ampio.

Passi successivi