Pontuação do reCAPTCHA v3 explicada: como os sites julgam visitantes sem desafio
O reCAPTCHA v3 não mostra nenhum desafio. Ele roda em segundo plano na página, observa o visitante e devolve uma pontuação de 0,0 a 1,0, em que um número maior indica maior probabilidade de ser uma pessoa. O backend do site decide o que fazer com a pontuação. Um formulário de cadastro pode deixar um visitante passar com 0,7 e bloqueá-lo com 0,3. O suporte da Scarnox ao reCAPTCHA v3 está em breve. Este guia explica como a pontuação funciona e as formas legítimas de evitar que um trabalho automatizado seja pontuado como bot.
Como a pontuação é produzida
A página carrega o script do reCAPTCHA e o chama para uma ação, como login ou signup. O script coleta sinais no navegador e os envia ao Google, que devolve um token. O servidor do site então envia o token ao endpoint de verificação do Google, junto com a chave secreta, e recebe de volta uma pontuação e o nome da ação.
A pontuação é uma estimativa de risco construída a partir de vários tipos de sinal:
- o ambiente do navegador, incluindo se ele parece um navegador de desktop padrão;
- o comportamento na página, como movimento do mouse, rolagem e tempo;
- o histórico do visitante com aquele site, como sessões anteriores bem-sucedidas;
- o padrão das requisições, incluindo com que frequência e com que velocidade elas chegam de um mesmo endereço.
A ponderação exata não é publicada, e muda. O que é público é o contrato: o site escolhe um limite, e a pontuação decide o resultado.
Por que a automação recebe pontuação baixa
O tráfego automatizado tende a receber pontuação baixa por motivos previsíveis. Um navegador headless com configurações padrão tem sinais incomuns. Uma sessão nova não tem histórico. Um padrão de requisições rápido e regular não se parece com a navegação de uma pessoa. Endereços de datacenter são tratados com mais desconfiança do que conexões residenciais. Cada um deles é um sinal, e vários juntos podem empurrar a pontuação abaixo do limite.
Como não há desafio visível, uma pontuação baixa costuma significar uma falha silenciosa. A página carrega, o formulário é rejeitado e nada informa o motivo. Monte o seu log de modo que você possa ver o erro do lado do servidor.
Formas legítimas de manter sua pontuação saudável
Estas abordagens servem para o seu próprio trabalho e para coleta de dados legítima:
- Use um perfil de navegador real. Um navegador normal, com configurações e extensões comuns, tem menos chance de ser pontuado como bot do que um build headless simplificado. O guia de fingerprinting de navegador explica como o ambiente do navegador é lido.
- Mantenha as sessões aquecidas. Preserve os cookies entre as requisições e não comece cada página em um estado vazio.
- Controle o ritmo das requisições. Visitantes humanos não carregam cem páginas em um segundo. Adicione atrasos e torne-os aleatórios dentro de uma faixa sensata.
- Evite sinais óbvios. User agents padrão, configurações de idioma ausentes e tamanhos de tela inconsistentes são sinais fáceis de corrigir.
- Teste contra o seu próprio limite. Se você administra o site, leia a pontuação em homologação e veja quais sinais a derrubam. As chaves de teste do Google são úteis para testar a integração sem pontuação real.
Essas etapas reduzem falsos positivos em trabalhos reais. Elas não são uma forma de simular uma pontuação humana para abuso, e nenhuma delas muda o fato de que o dono do site decide o limite.
O que a pontuação não faz
A pontuação não prova que um visitante é humano, e não diz por que um visitante recebeu uma nota baixa. Uma nota baixa pode vir de um navegador incomum, mas legítimo, de uma rede compartilhada ou de uma VPN. Trate a pontuação como uma entrada entre outras. Se o seu trabalho legítimo continua com nota baixa, a resposta honesta muitas vezes é pedir ao dono do site uma lista de permissões ou uma API.
Onde a Scarnox está
A Scarnox não resolve o reCAPTCHA v3 em produção hoje. O único tipo de tarefa ativo é o PopularCaptcha, proxyless. O reCAPTCHA v3 está em breve. Um solver baseado em pontuação precisa devolver um token que o site aceite, o que é um problema diferente de resolver um quebra-cabeça visível, então os detalhes da integração serão documentados na referência da API quando o suporte for lançado.
Crie uma conta para começar com crédito de teste grátis, sem cartão, e você estará pronto quando o tipo for ativado.
Lendo a pontuação nos seus próprios logs
Como não há desafio visível, a única forma de entender uma falha baseada em pontuação é registrá-la. No seu próprio site, registre a pontuação, o nome da ação e a flag de sucesso que o seu backend recebe da chamada de verificação, junto com o carimbo de data e hora da requisição e o caminho de onde ela veio. Ao longo de uma semana de tráfego, o padrão geralmente mostra quais páginas ou fluxos recebem notas baixas. Um fluxo que está sempre baixo pode ser um problema real para usuários legítimos, como uma etapa de cadastro que acontece rápido demais após o carregamento da página, e não um problema de bot.
Compare também as pontuações da mesma ação em navegadores e redes diferentes. Se um visitante normal em uma conexão residencial tem boa pontuação, e o mesmo visitante em uma VPN corporativa tem pontuação ruim, a pontuação está reagindo à rede, e não ao navegador. Nesse caso, a solução é uma conversa sobre acesso, não uma mudança na automação.
Mantenha os logs livres de dados pessoais. Uma pontuação e um nome de ação bastam para diagnosticar a maioria dos problemas, e armazenar mais do que o necessário cria uma obrigação de privacidade que você não quer ter.
Faça scraping com responsabilidade
Verifique o robots.txt e os termos do site antes de um trabalho de scraping. Mantenha a taxa baixa, evite coletar dados pessoais de que não precisa e lembre que uma verificação baseada em pontuação é a forma escolhida pelo site para se proteger. Contornar isso em escala é sinal de que o trabalho deve ser repensado ou combinado com o dono. O guia sobre se web scraping é legal cobre o panorama mais amplo.