<b>Антибот — это не «поставить капчу», а выстроить несколько слоёв отказа</b>

<b>Антибот — это не «поставить капчу», а выстроить несколько слоёв отказа</b>

Если на лендинге стоит только hCaptcha или Turnstile, бот обычно упирается в один барьер и дальше ищет обход. Рабочая схема у защитника — не один фильтр, а цепочка: поведенческий слой, fingerprint, сетевой риск, затем challenge.

На практике это выглядит так:
— сначала режется очевидный мусор: пустые заголовки, кривой TLS, нестыковки языка и часового пояса;
— потом проверяется связка браузера: canvas, WebGL, аудио, fonts, navigator, storage;
— дальше — поведение: скорость кликов, скролл, паттерн заполнения формы, повторяемость движений;
— и только после этого отдаётся капча или полный доступ.

Ошибка многих команд — мерить качество защиты по проценту решённых капч. Капча не должна быть единственной линией обороны. Если бот уже дошёл до неё, часть бюджета на фрод вы всё равно потеряли.

С другой стороны, у арбитража часто ломается не «обход капчи», а стабильность сессии: один и тот же профиль, чистый IP, предсказуемый fingerprint, аккуратный прогрев. Чем меньше пересборок окружения между шагами, тем ниже шанс словить лишний challenge.

Хорошая проверка для любого проекта проста: можно ли отделить живого пользователя от автотрафика <i>до</i> капчи, а не после неё? Если нет — защита у вас пока декоративная.