Ochrona przed automatycznym spamem w formularzach
Największą zaletą mechanizmu CAPTCHA w formularzu kontaktowym jest odcięcie wiadomości wysyłanych przez skrypty, zanim trafią do skrzynki. Zabezpieczenie ogranicza napływ niechcianych komunikatów, bo bot, który masowo rozsyła reklamy albo złośliwe linki, zatrzymuje się na teście wymagającym reakcji człowieka. Najpopularniejsze rozwiązanie, Google reCAPTCHA, ma trzy typy do wyboru przy rejestracji strony: v3 z oceną w tle, v2 z polem "I'm not a robot" i niewidoczną v2. Pierwszą wersję (v1) Google wyłączył w marcu 2018 roku.
Dodatkową korzyścią jest zdolność do rozróżnienia prawdziwych odwiedzających od programów komputerowych. Formularz pozostaje otwarty dla osób zainteresowanych kontaktem, a próby automatycznego wypełniania pól są blokowane. Taki filtr chroni też zasoby serwera przed wielokrotnym wysyłaniem żądań w krótkim czasie, bo każdy token reCAPTCHA wygasa według dokumentacji Google po 2 minutach.
CAPTCHA chroni również formularze logowania i rejestracji przed atakami typu brute force, czyli zgadywaniem haseł przez program. Przy niskiej ocenie w takim miejscu Google radzi w dokumentacji reCAPTCHA v3 żądać weryfikacji dwuetapowej albo potwierdzenia mailem, zamiast od razu blokować ruch. W efekcie właściciel obsługuje prawdziwe zapytania, zamiast ręcznie filtrować setki śmieciowych wiadomości.
Problemy użytkowników z weryfikacją CAPTCHA
Najczęstszą przeszkodą są trudne do odczytania, zniekształcone litery lub rozmyte cyfry, przez które część osób rezygnuje z wysłania formularza. Ktoś, kto kilka razy z rzędu nie przejdzie testu, może zamknąć kartę, a firma traci zapytanie, o którym nawet się nie dowie. Dlatego nowsze wersje, takie jak reCAPTCHA v2 w trybie niewidocznym, według Google pokazują zadanie domyślnie wyłącznie przy najbardziej podejrzanym ruchu.
Szczególnie dotkliwy jest wpływ CAPTCHA na osoby z ograniczeniami funkcjonalnymi. Ludzie słabowidzący, z dysleksją czy zaburzeniami percepcji wzrokowej mogą nie rozpoznać wymaganych elementów graficznych. Starsze osoby, mniej oswojone z nowymi technologiami, napotykają barierę, która odcina je od formularza kontaktowego.
Wersje audio, oferowane jako alternatywa, bywają równie kłopotliwe: zniekształcony dźwięk, szumy w tle i niewyraźna wymowa sprawiają, że weryfikacja jest nie mniej uciążliwa niż obrazkowa. W efekcie część odwiedzających rezygnuje z kontaktu, a firma traci leady, czyli zapytania od zainteresowanych klientów.
Błędne klasyfikowanie użytkowników przez algorytmy
Systemy CAPTCHA nie są wolne od pomyłek w ocenie zachowań odwiedzających, bo podają szacunek, a nie pewność. Wersja reCAPTCHA v3 zwraca dla każdego żądania wynik od 0,0 (duże ryzyko bota) do 1,0 (najpewniej człowiek), a Google sugeruje na start próg 0,5 i dostosowanie go po obserwacji ruchu w konsoli administracyjnej. Zbyt wysoki próg sprawia, że prawdziwy klient, np. korzystający z VPN albo wypełniający pola samą klawiaturą, zostaje potraktowany jak bot.
Konsekwencje błędnego rozpoznania to frustracja użytkownika i realne straty dla firmy. Osoba niesłusznie zablokowana rzadko podejmuje kolejną próbę, częściej opuszcza stronę i trafia do konkurencji. Google zaznacza też, że wyniki v3 na środowisku testowym albo zaraz po wdrożeniu mogą się różnić od produkcyjnych, bo mechanizm uczy się na prawdziwym ruchu.
| Problem | Opis |
|---|---|
| Błędna identyfikacja | CAPTCHA może niesłusznie blokować prawdziwych ludzi, uznając ich za boty |
| Niska ocena użytkownika | Algorytmy oceniające zachowanie w sieci mogą źle interpretować normalne działania użytkowników jako podejrzane |
| Nadmierna czułość systemu | Zbyt restrykcyjne ustawienia prowadzą do częstych fałszywych alarmów i blokowania autentycznego ruchu |
| Brak kontekstu behawioralnego | System nie uwzględnia indywidualnych wzorców użytkowania, co skutkuje błędnymi ocenami atypowych, lecz legalnych zachowań |
Wpływ na konwersję i porzucanie formularzy
CAPTCHA, która wymaga rozwiązania zadania, wiąże się z ryzykiem spadku współczynnika konwersji, bo dokłada krok między decyzją o kontakcie a wysłaniem wiadomości. Ludzie oczekują szybkiego sposobu komunikacji, a wymuszona zagadka, nawet prosta, wprowadza tarcie. Formularz z 4 polami i testem obrazkowym to w praktyce 5 kroków zamiast 4 (przykład).
Efekt widać szczególnie na telefonach, gdzie mały ekran i niedokładność dotyku utrudniają precyzyjne zaznaczanie elementów w zadaniach obrazkowych. Użytkownik wybierający wszystkie pola z fragmentem obrazu często musi powtarzać czynność, a według WCAG 2.2 cel wskazania powinien mieć co najmniej 24 x 24 piksele CSS (kryterium 2.5.8), czego drobne kafelki nie zawsze spełniają.
Alternatywą jest niewidoczna CAPTCHA działająca w tle, która ocenia zachowanie użytkownika bez angażowania go w rozwiązywanie testów. Google pisze o reCAPTCHA v3 wprost, że nigdy nie przerywa odwiedzającym i można ją uruchamiać bez wpływu na konwersję, a decyzję, co zrobić przy niskim wyniku, podejmuje właściciel strony, np. kieruje wiadomość do moderacji zamiast ją odrzucać.
Kwestie prywatności i wykorzystania danych
CAPTCHA od zewnętrznego dostawcy przetwarza dane odwiedzających, więc jej wdrożenie wymaga informacji dla osób wypełniających formularz. Według dokumentacji Google usługa ustawia niezbędny plik cookie _GRECAPTCHA na potrzeby analizy ryzyka. Skrypt pobierany z domeny recaptcha.net zamiast google.com pozwala uniknąć innych ciasteczek Google. Przeglądarka gościa łączy się wtedy z serwerami dostawcy, dlatego zakres przetwarzania warto opisać w polityce prywatności.
Zewnętrzny skrypt budzi pytania o zgodność z przepisami o ochronie danych osobowych, w tym z RODO obowiązującym w Unii Europejskiej. Zakres informacji i podstawę przetwarzania właściciel strony powinien ustalić z inspektorem albo prawnikiem firmy. Plakietkę z logo usługi wolno według Google ukryć tylko wtedy, gdy przy wysyłce formularza widać tekst "This site is protected by reCAPTCHA.".
Rozwiązaniem może być wybór alternatywnych metod zabezpieczenia formularzy, które nie wymagają usług zewnętrznych dostawców. Pola honeypot (niewidoczne dla człowieka, wypełniane tylko przez boty), limit liczby wysłanych formularzy z jednego adresu IP, np. 5 na godzinę (przykład), czy analiza czasu potrzebnego na uzupełnienie formularza to techniki działające bez przekazywania danych firmie trzeciej.
Dostępność i zgodność z wytycznymi WCAG
Wytyczne WCAG 2.2 dopuszczają CAPTCHA pod warunkiem, że ma ona słowny opis i alternatywną formę dla innego zmysłu. Kryterium 1.1.1 (poziom A) mówi, że przy treści potwierdzającej, że stronę odwiedza człowiek, a nie komputer, trzeba zapewnić tekst opisujący jej cel oraz formy CAPTCHA korzystające z różnych rodzajów percepcji, np. obrazu i dźwięku. Test oparty wyłącznie na rozpoznawaniu zniekształconych znaków tego warunku nie spełnia.
Alternatywy audio w praktyce bywają równie trudne do rozwiązania jak wersje wizualne. Zniekształcony głos, szumy i wymóg bezbłędnego przepisania ciągu cyfr lub liter tworzą kolejną barierę dla osób z problemami słuchu lub przetwarzania dźwięku. Przy formularzach logowania dochodzi kryterium 3.3.8 (poziom AA, nowe w WCAG 2.2): test funkcji poznawczych, np. łamigłówka, nie może być wymagany na żadnym etapie uwierzytelniania, chyba że strona daje alternatywną metodę, mechanizm pomocy albo test polega na rozpoznawaniu obiektów.
Nowoczesne zabezpieczenia formularzy starają się eliminować te przeszkody przez analizę behawioralną w tle, która nie wymaga aktywnego udziału użytkownika. Systemy takie jak reCAPTCHA v3 oceniają interakcję na podstawie zachowania na stronie i nie wyświetlają zadania, więc osoby korzystające z technologii asystujących, np. czytnika ekranu, nie muszą przechodzić testu.
