reCAPTCHA to usługa Google chroniąca formularze internetowe przed spamem i zautomatyzowanymi atakami botów. Ma darmowy limit użycia, ale przy większym ruchu może wymagać płatnego planu zgodnie z aktualnym cennikiem Google.
W WordPress reCAPTCHA pojawia się najczęściej przy formularzach logowania, rejestracji, komentarzy i kontaktu – wszędzie tam, gdzie boty mogą wysyłać masowe zapytania.
Wersje reCAPTCHA
reCAPTCHA v2
Wersja v2 wymaga od użytkownika bezpośredniej interakcji. Najczęstsza forma to pole wyboru „Nie jestem robotem”. Jeśli Google uzna, że odpowiedź jest wątpliwa, wyświetla dodatkową zagadkę obrazkową – np. zaznaczenie wszystkich samochodów lub sygnalizatorów.
Zaletą v2 jest prostota wdrożenia. Wadą – dodatkowy krok dla użytkownika, który może wpływać na konwersję, szczególnie na formularzach sprzedażowych.
reCAPTCHA v3
Wersja v3 działa w tle, bez żadnej widocznej interakcji. Analizuje ruch użytkownika na stronie (ruchy myszą, czas spędzony na stronie, historię interakcji) i przypisuje mu ocenę ryzyka w skali 0.0 do 1.0. Wartość bliska 0.0 sugeruje bota, bliska 1.0 – człowieka. Właściciel strony sam decyduje, od jakiego progu blokować żądania.
reCAPTCHA v3 ładuje zewnętrzny skrypt JS na każdej stronie, na której działa. Ten skrypt może nieznacznie wpływać na metryki wydajności – szczególnie na wskaźnik INP (Interaction to Next Paint), który mierzy czas reakcji strony na interakcje użytkownika. Przy zaawansowanej optymalizacji Core Web Vitals warto to uwzględnić.
Jak wdrożyć reCAPTCHA w WordPress
Implementacja wymaga:
1. Rejestracji w Google reCAPTCHA (console.cloud.google.com) i uzyskania klucza strony (Site Key) oraz klucza tajnego (Secret Key)
2. Instalacji wtyczki obsługującej reCAPTCHA (np. Contact Form 7 + reCAPTCHA add-on, WPForms, Advanced noCaptcha) lub bezpośredniego wdrożenia przez kod
Popularne wtyczki formularzy i bezpieczeństwa (np. Wordfence, Solid Security) mają wbudowaną integrację reCAPTCHA dla formularza logowania WordPress.
reCAPTCHA a RODO i prywatność
Korzystanie z reCAPTCHA wiąże się z przesyłaniem danych użytkownika do serwerów Google w celu analizy zachowania. To wyzwanie z perspektywy RODO: reCAPTCHA zalicza się do zewnętrznych narzędzi śledzących, które wymagają uwzględnienia w polityce prywatności i potencjalnie – w mechanizmie zgody na cookies.
Bezpieczne podejście to poinformowanie użytkowników o stosowaniu reCAPTCHA i dołączenie stosownego zapisu do polityki prywatności.
Czym reCAPTCHA nie jest
reCAPTCHA to nie to samo co tradycyjne CAPTCHA z lat 2000 – zniekształcone ciągi liter i cyfr do przepisania. Tamte systemy są dziś łatwo łamane przez systemy OCR i nie stanowią skutecznej ochrony.
reCAPTCHA nie zastępuje też Akismeta. Akismet analizuje treść komentarza i klasyfikuje go jako spam lub nie. reCAPTCHA weryfikuje tożsamość nadawcy przed wysłaniem formularza. Oba narzędzia chronią przed różnymi wektorami i mogą działać razem.
reCAPTCHA nie jest też w pełni odporna na ataki. Systemy oparte na rozwiązywaniu zagadek przez ludzi (tzw. CAPTCHA farms) oraz zaawansowane modele ML potrafią ją obejść, choć zwiększa to koszt i złożoność ataku.
Kiedy stosować
reCAPTCHA v2 sprawdza się przy formularzach, gdzie dodatkowy krok weryfikacji jest akceptowalny dla użytkownika i gdzie bezpieczeństwo ma wyższy priorytet niż płynność UX.
reCAPTCHA v3 jest dobrym wyborem tam, gdzie liczy się UX – formularz logowania, rejestracja, koszyk. Wymaga jednak aktywnego monitorowania wyników i dostosowywania progu akceptacji, żeby nie blokować prawidłowych użytkowników.
Obie wersje działają jako element zabezpieczenia logowania i ochrony przed atakami brute force, ale żadna z nich nie zastępuje kompleksowej strategii bezpieczeństwa. reCAPTCHA weryfikuje nadawcę, podczas gdy nonce’y WordPress chronią formularze przed atakami CSRF po zalogowaniu – to dwa uzupełniające się mechanizmy.
Podsumowanie
reCAPTCHA to usługa Google weryfikująca, czy formularz wypełnia człowiek. Wersja v2 wymaga interakcji użytkownika, wersja v3 działa niewidocznie w tle. Wdrożenie wymaga rejestracji kluczy i konfiguracji wtyczki. Należy uwzględnić wpływ zewnętrznych skryptów na wydajność i obowiązki wynikające z RODO.