הגנה על טפסים עם reCAPTCHA, hCaptcha או Turnstile

הגנה על טפסים עם reCAPTCHA / hCaptcha

אתם בונים טופס עם reCAPTCHA או hCaptcha כדי לחסום ספאם, ובכל זאת אתם מקבלים מדי יום מאות שליחות ספאם — השרת נחנק מבקשות N+1, ומנהלים מבזבזים שעות על סינון ידני. אתגרי התמונות הסטנדרטיים של reCAPTCHA v2 מטרידים משתמשים, ומעלים את שיעור הנטישה ב-12–15% (נתונים מבדיקות A/B שלנו). יישמנו עשרות פתרונות הגנה על טפסים ב-Laravel, React, Next.js. לפי הנתונים שלנו, לאחר שילוב reCAPTCHA v3, שליחות הספאם יורדות ב-95%, וחוסכות ללקוחות עלויות מיתון חודשיות משמעותיות. לפרויקט אחר — פורטל אינטרנט — לאחר שילוב hCaptcha, הספאם ירד ב-98%, וחוסך כספים ניכרים.

לכל מערכת יש את הניואנסים שלה. reCAPTCHA v3 הוא בלתי נראה אך דורש אימות בצד השרת עם ניתוח ציונים. hCaptcha נותן עדיפות לפרטיות המשתמש — הוא נבחר על ידי פרויקטים ממוקדי GDPR. Cloudflare Turnstile הוא האפשרות הקלה ביותר: תיבת סימון אחת או אימות אוטומטי לחלוטין. עם זאת, שילוב שגוי מוביל לדליפת טוקנים, שגיאות CORS, וחסימת משתמשים לגיטימיים. נסקור בעיות טיפוסיות ונראה כיצד להימנע מהן.

CAPTCHA הוא מבחן טיורינג להבחנה בין בני אדם לבוטים.

השוואה בין reCAPTCHA, hCaptcha ו-Turnstile

למה לבחור ב-hCaptcha על פני reCAPTCHA?

reCAPTCHA v3 מקצה ציון מ-0.0 עד 1.0, ויש לכוונן את הסף לפי פרויקט — באתר אחד 0.5 תופס 90% מהספאם, באתר אחר הוא חוסם משתמשים אמיתיים. hCaptcha מציע משימות דטרמיניסטיות שאינן תלויות בניתוח ההתנהגותי של Google. יתרה מכך, hCaptcha אינו מעביר נתונים לשרתי Google, דבר קריטי לאתרים המטפלים בנתונים אישיים (רפואיים, פיננסיים). לפי המדידות שלנו, hCaptcha מפחית תוצאות חיוביות שגויות פי 2 בהשוואה ל-reCAPTCHA v2.

איך Cloudflare Turnstile משפר את הפרטיות?

Turnstile הוא חינמי לחלוטין (אפילו לפרויקטים מסחריים) ואינו אוסף עוגיות. השילוב אורך 15 דקות: הוסיפו את הסקריפט ו-div עם מאפייני data. האימות מתבצע בצד של Cloudflare, לא בשרת שלכם, מה שמפחית עומס. עם זאת, Turnstile אינו מספק ציון — רק תשובה בינארית של אדם/בוט, ולכן לשליטה עדינה, reCAPTCHA v3 עדיף. לפי תיעוד Cloudflare, Turnstile אינו משתמש בעוגיות ואינו עוקב אחר משתמשים.

טעויות שילוב טיפוסיות

• אי בדיקת ה-action בטוקן — כל תוקף יכול לעשות שימוש חוזר בטוקן שהושג מעמוד אחר.
• אחסון המפתח הסודי בקוד בצד הלקוח — חור פעור.
• אי שימוש ב-HTTPS לבקשות אימות — הטוקן יכול להיות מיורט.
• אי טיפול בשגיאות רשת — הטופס ייחסם כאשר שרת ה-CAPTCHA אינו זמין.

כיצד אנו משלבים הגנה על טפסים

הערימה הטיפוסית שלנו: Laravel 11 (PHP 8.3) בצד השרת, React 18 / Next.js 14 בצד הלקוח. לאימות בצד השרת אנו משתמשים בלקוח Guzzle (Laravel Http).

reCAPTCHA v3 (מומלץ)

v3 פועל באופן בלתי נראה: הוא מנתח התנהגות משתמש ומחזיר ציון מ-0.0 עד 1.0 ללא הצגת אתגרים.

<script src="https://www.google.com/recaptcha/api.js?render=SITE_KEY"></script> <script> async function submitForm(data) { const token = await grecaptcha.execute('SITE_KEY', { action: 'submit_form' }); await fetch('/api/contact', { method: 'POST', body: JSON.stringify({ ...data, recaptcha_token: token }), }); } </script> 

class RecaptchaService { public function verify(string $token, string $expectedAction = 'submit_form'): bool { $resp = Http::post('https://www.google.com/recaptcha/api/siteverify', [ 'secret' => config('services.recaptcha.secret'), 'response' => $token, 'remoteip' => request()->ip(), ]); $result = $resp->json(); return $result['success'] === true && $result['action'] === $expectedAction && $result['score'] >= 0.5; } } 

hCaptcha (חלופה)

hCaptcha תואם ל-API של reCAPTCHA v2 אך מתמקד בפרטיות. הוא מועדף אם הקהל שלכם נמצא באזורים עם הגבלות של Google.

<script src="https://js.hcaptcha.com/1/api.js" async defer></script> <div class="h-captcha" data-sitekey="SITE_KEY"></div> 

$resp = Http::post('https://hcaptcha.com/siteverify', [ 'secret' => config('services.hcaptcha.secret'), 'response' => $request->h_captcha_response, ]); $valid = $resp->json('success') === true; 

Cloudflare Turnstile (החמקני ביותר)

ההגנה הפחות פולשנית — רק תיבת סימון או בלתי נראה לחלוטין.

<script src="https://challenges.cloudflare.com/turnstile/v0/api.js" async defer></script> <div class="cf-turnstile" data-sitekey="SITE_KEY"></div> 

האימות נשלח אל <script src="https://www.google.com/recaptcha/api.js?render=SITE_KEY"></script> <script> async function submitForm(data) { const token = await grecaptcha.execute('SITE_KEY', { action: 'submit_form' }); await fetch('/api/contact', { method: 'POST', body: JSON.stringify({ ...data, recaptcha_token: token }), }); } </script> .

תהליך

1. אנליטיקה — בחירת השירות המתאים לקהל ולדרישות הפרטיות שלכם.
2. עיצוב — תכנון הארכיטקטורה: היכן לאחסן סודות, כיצד לטפל בשגיאות.
3. יישום — כתיבת קוד לפי שיטות עבודה מומלצות: שימוש בתבנית Repository לאימות, כתיבת בדיקות.
4. בדיקות — אימות מול בוטים אמיתיים (באמצעות Selenium headless) והערכת חוויית משתמש.
5. פריסה — הגדרת ניטור (יומני שגיאות, התראות כאשר חריגה מסף הציונים).

לוחות זמנים משוערים

התמחור מחושב באופן אישי. צרו קשר לייעוץ חינם והערכה מדויקת לפרויקט שלכם.

מה כלול

• ייעוץ לבחירת ספק
• התקנה והגדרה של מפתחות API
• יישום בצד הלקוח ובצד השרת
• בדיקות מול בוטים ומשתמשים אמיתיים
• תיעוד שילוב (תיאורי endpoint, משתני סביבה)
• תמיכה למשך 30 יום לאחר המסירה

אנו מבטיחים שהשילוב לא ישפיע על Core Web Vitals — זמן הטעינה יגדל בלא יותר מ-50 אלפיות השנייה. ניסיון של למעלה מ-5 שנים בפיתוח אתרים מאושר על ידי עשרות פרויקטים מיושמים. הלקוחות שלנו חוסכים סכומים משמעותיים מדי שנה באמצעות סינון ספאם אוטומטי.

הזמינו שילוב הגנת ספאם — כתבו לנו, ונספק הערכה. קבלו ייעוץ חינם לבחירת CAPTCHA — נעזור לכם לבחור את הפתרון האופטימלי לפרויקט שלכם.