Рассказываем, что боты делают с формами на сайте, почему без капчи от них не избавиться и как поставить её так, чтобы люди её почти не замечали.
Утро понедельника, в CRM 60 новых заявок. Половина — случайные буквы и одинаковые ссылки, ещё десяток — с номерами из одних единиц. Менеджер час разбирает этот мусор, а настоящие клиенты ждут ответа.
Так выглядят формы, открытые для ботов. Для скрипта заявка, регистрация и вход в кабинет — такая же дверь, как для человека, только он стучится в неё тысячи раз в час. Капча отделяет одних от других до того, как запрос дойдёт до CRM, базы клиентов или платёжной системы.
Что боты делают с формами
Спамят в заявки и комментарии. Фейковые заявки попадают в отчёты как конверсии, и автостратегии в рекламе начинают учиться на ботах.
Регистрируют аккаунты. База пользователей засоряется фейковыми адресами. Письма на них не доходят, и у почтовых сервисов портится репутация вашего отправителя.
Подбирают пароли. Скрипт перебирает популярные комбинации на форме входа, пока не найдёт подходящую.
Подставляют пароли из утечек. Многие используют один пароль на разных сайтах. Боты берут логины и пароли из чужих утечек и проверяют их на вашем сайте.
Проверяют украденные карты. Мошенники проводят через форму оплаты мелкие платежи, чтобы понять, какие карты рабочие. Разбираться с этим потом приходится магазину.
Почему простых мер мало
Часть ботов отсекают и без капчи: скрытым полем-ловушкой, лимитом запросов с одного IP, подтверждением почты. Это полезные меры, но у каждой есть обход:
- скрытое поле ловит примитивные скрипты, а бот в настоящем браузере его просто не заполняет;
- лимит по IP не срабатывает, если бот меняет адрес на каждом запросе;
- подтверждение почты не защищает вход в кабинет и оплату.
Капча проверяет главное: кто стоит за запросом — человек с браузером или программа.
Как работает dCAPTCHA
dCAPTCHA — капча от DDoS-Guard. Её создавали как часть защиты сайтов от DDoS-атак, где нужно отличить посетителя от атакующего бота. Механизмы проверки команда дорабатывает больше 15 лет.
Проверка идёт в два этапа:
- Посетитель кликает по чекбоксу. В этот момент dCAPTCHA незаметно проверяет браузер. Если он выглядит как обычный браузер пользователя, проверка пройдена.
- Если браузер вызвал подозрения, появляется текстовая капча: нужно ввести символы с картинки.
Все запросы проверяются на серверах DDoS-Guard, а не на вашем. Даже если ботов тысячи, сайт не тратит на них ресурсы.
Серверы находятся в России. С 1 июля 2025 года это важно: российским компаниям нельзя отправлять данные посетителей сразу за рубеж, а многие популярные капчи работают именно так.
Капча и конверсия
Главное опасение при установке капчи — что люди начнут бросать форму. Оно обоснованно, если капча предлагает сложные или муторные задания — например, заставляет искать светофоры на девяти картинках.
В dCAPTCHA большинство посетителей проходят проверку одним кликом, без заданий и ребусов. Текстовую капчу видят только те, чей браузер не прошёл невидимую проверку.
Виджет настраивается под дизайн сайта, чтобы не выглядеть чужеродно. На тарифе Бизнес можно управлять невидимой проверкой.
Где ставить капчу
Везде, где действие может совершить бот:
- формы заявки и обратной связи;
- регистрация и вход в личный кабинет;
- восстановление пароля;
- комментарии и отзывы;
- оформление заказа и оплата;
- подписка на рассылку.
Сколько стоит dCAPTCHA
При тарификации учитываются только успешные прохождения. Если бот тысячу раз провалил проверку, вы за это не платите. Так dCAPTCHA защищает ещё и от «атак на кошелёк», когда злоумышленник специально гоняет запросы, чтобы набить вам счёт.
Базовый — 0 ₽. До 100 000 прохождений в месяц, 2 ключа, каждый на 2 домена. После лимита можно пропускать всех без проверки или доплачивать за перерасход.
Бизнес — 10 000 ₽ в месяц. 500 000 прохождений, 10 ключей по 5 доменов, управление невидимой проверкой.
Индивидуальный. Условия и цена под ваши задачи.
Небольшому сайту бесплатного тарифа обычно хватает с запасом.
Как подключить
dCAPTCHA работает сама по себе: другие услуги DDoS-Guard не нужны, подходит любой хостинг и CDN.
- Зарегистрируйтесь в личном кабинете DDoS-Guard, подключите услугу dCAPTCHA и создайте ключ.
- Вставьте скрипт на страницу и плейсхолдер для капчи в форму. Для HTML-формы это несколько строк, для отправки через AJAX есть вариант на JavaScript.
- Настройте на сервере проверку токена: он отправляется на сервер DDoS-Guard, в ответ приходит результат.
Пошаговые инструкции есть в документации. Если сейчас на сайте стоит reCAPTCHA, hCaptcha или Turnstile, для каждой есть отдельный гайд по переезду.
С чего начать
Подключите бесплатный тариф и поставьте капчу на одну форму. Через неделю в кабинете накопится статистика по ключу, на основе которой вы сможете принять решение о дальнейшем использовании dCAPTCHA.
Ниже — страница dCAPTCHA: там можно на интерактивном примере увидеть как это работает, сравнить тарифы и подключить бесплатный.
Листая дальше, вы перейдёте на ddos-guard.ru