CAPTCHA ломается не там, где её «решают», а там, где вы палите свой профиль

CAPTCHA ломается не там, где её «решают», а там, где вы палите свой профиль

CAPTCHA сама по себе редко является единственным рубежом. Обычно её ставят рядом с rate limit, поведенческой моделью, анализом IP/ASN и проверкой консистентности браузера. Поэтому попытка «продавить» только картинку или токен без стабильного профиля часто заканчивается повторным челленджем, баном или тихим переводом в более жёсткую воронку.

На стороне арбитража главная ошибка — резкие смены сигнала между запросами: одно устройство, другой timezone; один язык, другой viewport; чистый IP, но старые cookies; desktop user-agent, но мобильные паттерны событий. Для защиты это выглядит как ручной обход, даже если у вас просто кривой стек. Для атаки это означает: профиль должен быть согласованным, а не «почти похожим». 🙂

Если смотреть глазами defender’а, CAPTCHA полезна только тогда, когда вокруг неё есть три слоя:
— отпечаток клиента не совпадает с ожидаемым сценарием;
— поведение не укладывается в норму по времени, движениям и последовательности;
— после решения челленджа сессия ведёт себя иначе, чем должна вести живая.

Если смотреть глазами арба, проверка перед масштабированием простая: прогоните один и тот же поток через одинаковые окружения, убедитесь, что cookies, fingerprint и network-параметры не спорят друг с другом, и только потом трогайте объём. Не «обходите CAPTCHA», а устраняйте причины, по которым она вообще срабатывает.