Капча на сайт: когда она нужна, какую выбрать и сколько заявок вы из-за неё теряете

Капча на сайт ставится обычно в один день и по одной причине: в почту посыпался спам с формы обратной связи. Решение кажется очевидным, а цена — нулевой. Но у каждой преграды перед кнопкой «Отправить» есть цена, и платится она заявками, которых вы уже не увидите и не посчитаете. Человек, который не разобрал искажённые буквы с третьего раза, не пишет вам об этом — он закрывает вкладку.

Ниже — что капча действительно останавливает, а с чем не справляется в принципе, какие виды проверки существуют, что из возможностей сервисов подтверждено их документацией, а что домыслы, и как измерить потери в отчётах, а не на глаз. Отдельно — почему начинать стоит не с капчи. Если нужна доработка сайта и рост заявок руками, это тоже решаемо, но сперва разберитесь, какую задачу вы вообще закрываете.

Что капча останавливает, а с чем не справляется

Капча решает ровно один класс задач: отсекает автоматические отправки там, где есть поле ввода и кнопка. Практических сценариев три.

Первый — спам в формах: заявки с ссылками, текстом на чужих языках, бессмысленными наборами символов. Второй — перебор паролей на входе в панель управления и на восстановлении доступа: скрипт гоняет тысячи комбинаций, проверка на каждой попытке делает это бессмысленным. Третий — автоматическая регистрация и массовая отправка форм, когда у вас есть личный кабинет или каталог с фильтрами, которые кто-то перебирает через форму поиска.

А теперь главное, чего капча не делает. Она не останавливает имитацию визитов. Искусственные посещения заходят на страницу, проводят на ней несколько секунд и уходят: форму они не открывают, кнопку не нажимают, поля не заполняют. Капча стоит на отправке формы — значит, для этого сценария её просто нет. Поставить капчу против накрутки посещаемости — то же самое, что повесить замок на калитку, через которую никто и не ходил, и потом удивляться, что во дворе по-прежнему шумно.

Здесь же стоит зафиксировать рамку: искусственное наращивание посещаемости Яндекс относит к нарушению «Имитация действий пользователей», за него сайт ограничивают в ранжировании. Владельцу, на чей сайт идёт такой трафик, нужны блокировки на уровне сервера, а не преграды в форме.

Не решает капча и парсинг каталога. Парсер не отправляет формы — он просто скачивает страницы. Если вас беспокоит, что конкурент тянет прайс, проверка перед кнопкой тут бесполезна, помогает ограничение частоты запросов.

Пять видов проверки: от ловушки до картинок с заданиями

Виды перечислены по возрастанию заметности для посетителя. Логика та же, что в любой защите: чем меньше человек замечает, тем меньше вы теряете.

Скрытое поле-ловушка. В разметку формы добавляется поле, убранное с экрана и помеченное для программ чтения с экрана как «не заполнять». Человек его не видит. Примитивный бот заполняет все поля подряд — и если поле пришло непустым, отправка отбрасывается на сервере. Ноль преград для клиента, ноль стоимости. Оговорка: отбрасывать нужно именно на сервере, проверка скриптом в браузере обходится элементарно.

Проверка времени заполнения. Форма запоминает момент, когда её открыли. Если отправка пришла через полсекунды, это не человек. Порог берут с запасом — три-четыре секунды, чтобы не задеть тех, кто вставляет данные из буфера обмена. Тоже невидимо и тоже бесплатно.

Невидимая проверка. Сервис анализирует поведение и параметры запроса и показывает задание только тем, кого счёл подозрительным. Остальные просто нажимают «Отправить». Это компромисс: большинство клиентов ничего не замечает, меньшинство получает задание.

Кнопка «Я не робот». Одно нажатие, после которого система либо пропускает, либо выдаёт задание. Уже заметная преграда, но привычная.

Картинки с заданиями. Выбрать светофоры, разобрать искажённые буквы, собрать пазл. Самый дорогой для вас вариант: часть людей ошибается, часть раздражается, часть уходит. На мобильном экране цена выше — попасть пальцем в нужный квадрат сложнее, чем мышкой.

Что подтверждено документацией, а что домыслы

Вокруг капч много пересказов. Полезно держаться того, что написано в документации самих сервисов.

Из российских решений подробно документирован Yandex SmartCaptcha. В официальной документации подтверждено следующее. Сервис определяет, человек перед ним или программа. Есть режим невидимой капчи: защита показывается только тем запросам, которые сервис счёл подозрительными. Есть обычный режим с кнопкой «Я не робот». После проверки выдаётся одноразовый токен, действующий пять минут; повторное использование того же токена возвращает ошибку. Результат подтверждается серверным запросом к адресу проверки с секретным ключом и этим токеном, в ответе приходит статус: проверка пройдена или нет. Передавать адрес посетителя в этом запросе не обязательно, но рекомендуется.

Практический вывод из последнего абзаца важнее, чем кажется. Если проверка не подтверждается на сервере, капча на сайте — украшение: отправку можно сделать в обход виджета. Половина жалоб «поставили капчу, а спам идёт» объясняется именно этим.

С зарубежными сервисами картина другая, и дело не в качестве. Любая такая проверка передаёт данные о вашем посетителе на сервер за пределами страны. По статье 12 закона «О персональных данных» оператор до начала деятельности по трансграничной передаче обязан уведомить уполномоченный орган, причём отдельным уведомлением — не тем, которое подаётся об обработке данных вообще. В уведомлении указывают цели и основания передачи, категории данных, перечень стран и меры защиты. Плюс сам сервис нужно упомянуть в политике обработки данных на сайте. Для малого бизнеса это лишняя процедура там, где есть российский аналог.

Сколько заявок стоит капча и как это измерить

Здесь нет универсальной цифры, и любой, кто её называет, эту цифру придумал. Зато есть способ посчитать потери на вашем сайте, а не в среднем по интернету.

В Метрике включается аналитика форм — отдельная опция в настройках счётчика, в одной строке с Вебвизором и картой скроллинга. После этого по форме видно три величины: сколько раз просмотрели страницу с формой, сколько раз с формой взаимодействовали и сколько форм отправили. Отношение второго к третьему и есть ваш показатель. Поставили капчу — сравните это отношение до и после на сопоставимом отрезке времени.

Одна техническая оговорка из справки Метрики: данные по форме собираются корректно, если на сайте используется кодировка UTF-8, содержимое передаётся событием submit и поля формы не скрыты значением display:none. Последнее прямо касается скрытого поля-ловушки: прячьте его выносом за пределы экрана, иначе отчёт по форме будет неполным.

Параллельно нужна цель на отправку. В Метрике для этого есть готовые типы — «Отправка формы» и «Клик по кнопке», а для случаев, когда адрес страницы не меняется, подходит JavaScript-событие. Как выбрать тип и не испортить статистику, разобрано в материале про настройку целей в Яндекс Метрике.

Условный пример расчёта, чтобы было понятно, как рассуждать. Допустим, за месяц страницу с формой открыли 1 000 раз, взаимодействовать с формой начали 120 человек, отправили 60. После установки капчи при тех же 120 начавших отправили 48. Разница — 12 заявок в месяц. Дальше вопрос арифметики: если средняя сделка приносит вам 15 000 рублей, а закрывается каждая пятая заявка, эти 12 заявок стоят примерно 36 000 рублей в месяц. Цифры здесь взяты для иллюстрации — подставьте свои, и решение обычно становится очевидным.

Задача, капча и чем её заменить

Прежде чем ставить проверку, определите, какую именно задачу вы решаете. В половине случаев она решается без капчи.

Задача	Нужна ли капча	Чем заменить или дополнить
Спам в форме обратной связи	Не сразу	Сначала скрытое поле-ловушка и проверка времени заполнения. Спам не ушёл — тогда невидимая проверка
Перебор паролей на входе в панель	Да	Плюс лимит попыток входа, второй фактор и жёсткое ограничение частоты запросов к этому адресу
Перебор на восстановлении пароля	Да	Плюс одинаковый ответ независимо от того, есть такой адрес почты в базе или нет
Искусственные визиты на страницы	Нет	Блокировка подсетей дата-центров на уровне сервера. Капча тут бесполезна полностью
Парсинг каталога и цен	Нет	Ограничение частоты запросов, отдача тяжёлых выгрузок только авторизованным
Автоматическая регистрация в кабинете	Да	Плюс подтверждение почты или телефона перед активацией
Нагрузка на сервер от запросов	Нет	Лимит частоты, кэширование, блокировка источника
Мусорные отзывы и комментарии	Иногда	Премодерация и ловушка обычно достаточны, капча — если поток не спадает

Строки с ответом «нет» — самые ценные в этой таблице. Именно в этих сценариях капчу ставят чаще всего и совершенно зря, теряя заявки и не решая исходную проблему.

Где капча нужна почти всегда

Есть два места, где проверку стоит поставить, не считая потери: вход в панель управления и восстановление пароля. Причина простая — цена ошибки несимметрична. Потеря заявки стоит денег, потеря доступа к сайту стоит сайта.

Перебор паролей идёт круглосуточно у всех, это фоновый шум интернета. Скрипт пробует сочетания логинов вроде admin и распространённых паролей. Проверка на входе делает такой перебор бессмысленным, а неудобство вы ощущаете ровно один раз в день, когда заходите сами. Здесь же уместен второй фактор: какие аккаунты закрывать им в первую очередь, подробно разобрано в материале про двухфакторную аутентификацию для бизнеса.

Восстановление пароля — вторая дверь в тот же дом, и про неё забывают. Форма «забыли пароль» позволяет ещё и перебирать адреса почты: по разному ответу системы видно, зарегистрирован такой адрес или нет. Ставьте проверку и делайте ответ одинаковым в обоих случаях.

Всё, что связано с попаданием внутрь сайта, — отдельная большая тема, и капча там лишь один из слоёв; общая картина есть в разборе, как защитить сайт от взлома.

Порядок внедрения по шагам

Правильная последовательность экономит и время, и заявки. Она построена так, чтобы каждый следующий шаг делался только при неудаче предыдущего.

Шаг	Что сделать	Когда переходить дальше
1	Включить аналитику форм и цель на отправку, собрать данные за 2–4 недели	Есть базовые цифры: взаимодействия с формой и отправки
2	Посчитать, сколько мусорных заявок приходит в неделю на самом деле	Понятно, что это поток, а не пять писем в месяц
3	Добавить скрытое поле-ловушку с проверкой на сервере	Подождать неделю и посмотреть, сколько спама осталось
4	Добавить проверку времени заполнения формы	Ещё неделя наблюдения
5	Сократить форму до необходимых полей	Число отправок не падает, а растёт
6	Если спам остался — подключить невидимую проверку	Проверить, что валидация идёт на сервере, а не только в браузере
7	Поставить проверку на вход в панель и восстановление пароля	Делается независимо от шагов 1–6, в любой момент
8	Через месяц сравнить отношение отправок к взаимодействиям	Просело заметно — вернуться на шаг назад

Шаг пятый стоит в этом списке не случайно. Сокращение формы часто возвращает больше заявок, чем отнимает любая защита; механика разобрана в материале про то, как каждое лишнее поле формы стоит вам клиентов.

Когда это не сработает и когда нужен специалист

Ловушка и проверка времени бессильны, если скрипт написан именно под вашу форму. Такое бывает, когда сайт кому-то интересен персонально: конкурент, недовольный бывший подрядчик, сборщик контактов. Признак — спам приходит стабильно, с одинаковой структурой, и не реагирует на изменения в форме. Здесь помогает только проверка на стороне сервиса, а иногда ещё и разбор логов.

Капча не поможет, если форма отправляется не туда. Классика: заявки уходят на почту, которая переполнена, или попадают в папку спама у вашего же почтового провайдера. Владелец уверен, что заявок нет, ставит капчу от несуществующего спама и делает хуже. Прежде чем что-то защищать, отправьте тестовую заявку и убедитесь, что письмо доходит.

Капча не спасёт сайт, который уже взломан: вредоносный код внутри отправляет что угодно откуда угодно, минуя любые формы. Если начали приходить странные письма от вашего же домена, проблема не в защите форм.

Специалист нужен в двух случаях. Первый — когда форма самописная и валидацию на сервере нужно встраивать в код: ошибка здесь ломает отправку целиком, и узнаёте вы об этом по тишине в почте. Второй — когда капча уже стоит, заявки просели, а откатить некому. Такие правки как раз входят в доработку сайта по конкретному списку. Если не уверены, что именно у вас происходит, опишите ситуацию через форму обратной связи — иногда хватает одного взгляда со стороны.

Частые вопросы

Капча снизит позиции сайта в поиске?

Сама по себе — нет, но косвенно повлиять может. Виджет проверки грузится со стороннего сервера и добавляет вес странице, а скорость загрузки поисковики учитывают. Плюс если из-за проверки люди чаще уходят, не достигнув цели, это ухудшает поведенческие показатели страницы. Поэтому ставить проверку на все страницы подряд не нужно — только туда, где есть отправка данных.

Можно ли ставить капчу сразу, не возясь с ловушкой?

Можно, но вы заплатите заявками за задачу, которая часто решается бесплатно. Скрытое поле ловит основную массу примитивного спама, а стоит десять минут работы. Логика «сначала невидимое, потом заметное» экономит деньги, а не время.

Что делать, если спам идёт, хотя капча стоит?

Первым делом проверьте, подтверждается ли проверка на сервере. Виджет в браузере сам по себе ничего не гарантирует: отправку можно сделать напрямую в обработчик, минуя страницу. Если серверная проверка есть и спам всё равно идёт, значит, форму заполняют вручную или скриптом с распознаванием — тогда смотрите на источник и закрывайте его на уровне сервера.

Нужно ли что-то писать в политике обработки данных?

Да. Сервис проверки получает сведения о посетителе, значит, его следует упомянуть среди тех, кому данные передаются. Для зарубежного сервиса добавляется отдельная процедура уведомления надзорного органа о трансграничной передаче до её начала. Российское решение эту часть работы снимает.

Капча на каждой странице защитит от ботовой нагрузки?

Нет, и это самый дорогой из возможных вариантов. Проверка на входе в сайт отсеет и живых посетителей, и поисковых роботов, если настроена неаккуратно, а нагрузка от парсеров никуда не денется — они просто перестанут заходить, вместе с вашими клиентами. Нагрузка лечится ограничением частоты запросов и блокировкой конкретных источников.

Коротко

Капча решает три задачи: спам в формах, перебор паролей и автоматические регистрации. Она не останавливает ни искусственные визиты на страницы, ни парсинг каталога — эти сценарии вообще не проходят через форму.

Начинайте не с капчи. Скрытое поле-ловушка и проверка времени заполнения невидимы для клиента, бесплатны и снимают основную массу примитивного спама. Прятать поле нужно выносом за пределы экрана, а не значением display:none, иначе сломается аналитика форм.

Любая проверка обязана подтверждаться на сервере. Виджет в браузере без серверной валидации ничего не защищает — отправку делают напрямую в обработчик. Это самая частая причина жалоб «капча стоит, а спам идёт».

У зарубежных сервисов помимо технической стороны есть правовая: передача данных за пределы страны требует отдельного уведомления надзорного органа до её начала, а сам сервис нужно указать в политике обработки данных. Российское решение эту работу снимает.

Потери считайте у себя, а не по чужим процентам: включите аналитику форм и цель на отправку, сравните отношение отправок к взаимодействиям до и после. На входе в панель и на восстановлении пароля проверку ставьте не считая — цена потери доступа несопоставима с ценой заявки.

И про канал в целом. Реклама даёт поток ровно до тех пор, пока идут списания: остановился бюджет, слетела модерация, поменялись правила площадки — и вечером звонков нет. Страницы, которые стоят в поиске, приносят обращения без ежедневного платежа, а каждое улучшение формы работает на оба канала сразу. Разумно держать оба и понемногу увеличивать долю собственного потока, который никто не выключит. Хотите посчитать, что даст такой сдвиг именно вам, — приходите на консультацию по продвижению сайта, посмотрим формы, цели и цифры вместе.