Scarnox · Blog

reCAPTCHA v3 score อธิบาย: เว็บไซต์ตัดสินผู้เข้าชมโดยไม่มีความท้าทายอย่างไร

reCAPTCHA v3 ไม่แสดงความท้าทายใด ๆ มันทำงานเบื้องหลังในหน้าเว็บ สังเกตผู้เข้าชม และคืนคะแนนตั้งแต่ 0.0 ถึง 1.0 โดยตัวเลขที่สูงขึ้นหมายถึงผู้เข้าชมมีแนวโน้มเป็นมนุษย์มากขึ้น backend ของเว็บไซต์เป็นผู้ตัดสินว่าจะทำอย่างไรกับคะแนนนั้น เช่น ฟอร์มสมัครสมาชิกอาจให้ผ่านที่ 0.7 และบล็อกที่ 0.3 การรองรับ reCAPTCHA v3 ของ Scarnox กำลังจะมาเร็ว ๆ นี้ คู่มือนี้อธิบายว่าคะแนนทำงานอย่างไร และวิธีที่ชอบด้วยกฎหมายในการไม่ให้งาน automation ถูกให้คะแนนเป็นบอท

คะแนนถูกสร้างขึ้นอย่างไร

หน้าเว็บโหลดสคริปต์ reCAPTCHA และเรียกใช้สำหรับ action เช่น login หรือ signup สคริปต์รวบรวมสัญญาณในเบราว์เซอร์และส่งไปยัง Google ซึ่งคืน token จากนั้น server ของเว็บไซต์ส่ง token ไปยัง endpoint ตรวจสอบของ Google พร้อม secret key ของตน และรับคะแนนกับชื่อ action กลับมา

คะแนนคือการประมาณความเสี่ยงที่สร้างจากสัญญาณหลายประเภท:

น้ำหนักที่แน่นอนไม่ได้เผยแพร่ และมันเปลี่ยนแปลงได้ สิ่งที่เปิดเผยต่อสาธารณะคือสัญญาการทำงาน: เว็บไซต์เลือกเกณฑ์ และคะแนนเป็นตัวกำหนดผลลัพธ์

ทำไมงาน automation ได้คะแนนต่ำ

ทราฟฟิกอัตโนมัติมักได้คะแนนต่ำด้วยเหตุผลที่คาดเดาได้ เบราว์เซอร์ headless ที่ตั้งค่าเริ่มต้นมีสัญญาณที่ผิดปกติ session ใหม่ไม่มีประวัติ รูปแบบ request ที่เร็วและสม่ำเสมอไม่เหมือนการท่องเว็บของคน address ของ datacenter ถูกมองด้วยความสงสัยมากกว่าการเชื่อมต่อจากบ้าน สัญญาณแต่ละอย่างเป็นเพียงหนึ่งสัญญาณ แต่หลายอย่างรวมกันอาจดันคะแนนให้ต่ำกว่าเกณฑ์

เนื่องจากไม่มีความท้าทายที่มองเห็นได้ คะแนนต่ำมักหมายถึงความล้มเหลวแบบเงียบ หน้าโหลด ฟอร์มถูกปฏิเสธ และไม่มีอะไรบอกว่าเพราะอะไร ให้สร้างการ log ของคุณเพื่อให้เห็น error จากฝั่ง server

วิธีที่ชอบด้วยกฎหมายในการรักษาคะแนนให้ดี

แนวทางเหล่านี้ใช้สำหรับงานของคุณเองและการเก็บข้อมูลที่ชอบด้วยกฎหมาย:

  1. ใช้โปรไฟล์เบราว์เซอร์จริง เบราว์เซอร์ปกติที่มีการตั้งค่าและส่วนขยายตามปกติมีโอกาสถูกให้คะแนนว่าเป็นบอทน้อยกว่า build headless แบบเปล่า คู่มือ browser fingerprinting อธิบายว่าสภาพแวดล้อมของเบราว์เซอร์ถูกอ่านอย่างไร
  2. รักษา session ให้อุ่น เก็บ cookie ข้าม request และอย่าเริ่มทุกหน้าจากสถานะว่าง
  3. ควบคุมจังหวะ request ผู้เข้าชมที่เป็นมนุษย์ไม่โหลดหนึ่งร้อยหน้าในหนึ่งวินาที เพิ่มการหน่วงเวลาและสุ่มให้อยู่ในช่วงที่สมเหตุสมผล
  4. หลีกเลี่ยงสัญญาณที่เห็นได้ชัด user agent เริ่มต้น การไม่ตั้งค่าภาษา และขนาดหน้าจอที่ไม่สอดคล้องกันเป็นสัญญาณที่แก้ได้ง่าย
  5. ทดสอบกับเกณฑ์ของคุณเอง หากคุณดูแลเว็บไซต์ ให้อ่านคะแนนใน staging และตรวจว่าสัญญาณใดดันคะแนนลง test key ของ Google มีประโยชน์สำหรับทดสอบการเชื่อมต่อโดยไม่ต้องให้คะแนนจริง

ขั้นตอนเหล่านี้ลด false positive ในงานจริง แต่ไม่ใช่วิธีปลอมคะแนนมนุษย์เพื่อการใช้งานในทางที่ผิด และไม่มีแนวทางใดในที่นี้เปลี่ยนความจริงที่ว่าเจ้าของเว็บไซต์เป็นผู้กำหนดเกณฑ์

คะแนนไม่ได้ทำอะไรบ้าง

คะแนนไม่ได้พิสูจน์ว่าผู้เข้าชมเป็นมนุษย์ และไม่ได้บอกว่าทำไมผู้เข้าชมจึงได้คะแนนต่ำ คะแนนต่ำอาจเกิดจากเบราว์เซอร์ที่ไม่ธรรมดาแต่ถูกต้องตามกฎหมาย เครือข่ายที่ใช้ร่วมกัน หรือ VPN ให้ถือคะแนนเป็นข้อมูลหนึ่งชิ้น หากงานที่ชอบด้วยกฎหมายของคุณได้คะแนนต่ำต่อเนื่อง คำตอบที่ซื่อตรงมักเป็นการขอให้เจ้าของเว็บไซต์เพิ่มคุณใน allowlist หรือขอ API

Scarnox อยู่ตรงไหน

Scarnox ยังไม่ solve reCAPTCHA v3 แบบใช้งานจริงในวันนี้ task type เดียวที่ใช้งานได้คือ PopularCaptcha แบบ proxyless reCAPTCHA v3 กำลังจะมาเร็ว ๆ นี้ solver ที่อิงคะแนนต้องคืน token ที่เว็บไซต์ยอมรับ ซึ่งเป็นปัญหาคนละอย่างกับการแก้ปริศนาที่มองเห็นได้ ดังนั้นรายละเอียดการเชื่อมต่อจะถูกบันทึกไว้ใน API reference เมื่อการรองรับเปิดให้ใช้งาน

สร้างบัญชี เพื่อเริ่มด้วยเครดิตทดลองใช้ฟรี ไม่ต้องใช้บัตรเครดิต และคุณจะพร้อมเมื่อประเภทนี้เปิดให้ใช้งาน

อ่านคะแนนจาก log ของคุณเอง

เนื่องจากไม่มีความท้าทายที่มองเห็นได้ วิธีเดียวที่จะเข้าใจความล้มเหลวที่อิงคะแนนคือการ log บนเว็บไซต์ของคุณเอง บันทึกคะแนน ชื่อ action และ success flag ที่ backend ของคุณได้รับจากการเรียกตรวจสอบ พร้อม timestamp ของ request และ path ที่มาถึง เมื่อผ่านทราฟฟิกหนึ่งสัปดาห์ รูปแบบมักจะแสดงให้เห็นว่าหน้าหรือ flow ใดได้คะแนนต่ำ flow ที่ต่ำอยู่เสมออาจเป็นปัญหาจริงสำหรับผู้ใช้ทั่วไป เช่น ขั้นตอนสมัครสมาชิกที่เกิดขึ้นเร็วเกินไปหลังโหลดหน้า มากกว่าเป็นปัญหาเรื่องบอท

เปรียบเทียบคะแนนของ action เดียวกันข้ามเบราว์เซอร์และเครือข่ายต่าง ๆ ด้วย หากผู้เข้าชมปกติบนการเชื่อมต่อที่บ้านได้คะแนนดี แต่ผู้เข้าชมคนเดียวกันบน VPN ขององค์กรได้คะแนนต่ำ แสดงว่าคะแนนตอบสนองต่อเครือข่าย ไม่ใช่ต่อเบราว์เซอร์ และแนวทางแก้คือการพูดคุยเรื่องการเข้าถึง ไม่ใช่การเปลี่ยน automation

ให้ log ปราศจากข้อมูลส่วนบุคคล คะแนนและชื่อ action เพียงพอสำหรับวินิจฉัยปัญหาส่วนใหญ่ การเก็บมากกว่าที่จำเป็นจะสร้างภาระด้านความเป็นส่วนตัวที่คุณไม่ต้องการ

Scrape อย่างมีความรับผิดชอบ

ตรวจ robots.txt และข้อกำหนดการใช้งานของเว็บไซต์ก่อนงาน scraping รักษาอัตราให้ต่ำ หลีกเลี่ยงการเก็บข้อมูลส่วนบุคคลที่ไม่จำเป็น และจำไว้ว่าการตรวจสอบแบบอิงคะแนนคือวิธีที่เว็บไซต์เลือกเพื่อปกป้องตัวเอง การเลี่ยงมันในปริมาณมากเป็นสัญญาณว่างานควรถูกพิจารณาใหม่หรือตกลงกับเจ้าของให้ถูกต้อง คู่มือความถูกกฎหมายของ web scraping ครอบคลุมภาพรวมที่กว้างกว่า

ขั้นตอนถัดไป