Антибот ломается не на CAPTCHA, а на слабом флоу вокруг неё

Антибот ломается не на CAPTCHA, а на слабом флоу вокруг неё

Если защита строится только на виджете, её быстро начинают мерить как один чекбокс: прошёл — пустили, не прошёл — заблокировали. Но рабочий антибот обычно смотрят целиком: как приходит сессия, совпадает ли fingerprint, есть ли паузы между шагами, не скачет ли поведение между экранами. Именно тут чаще всего живут ошибки, а не в самой капче.

Минимальный чек-лист для паблишера:
— не пускать в критичные ручки без прогрева сессии;
— связывать токен капчи с конкретным UA, IP и временем жизни;
— проверять последовательность действий, а не только финальный POST;
— ловить повторяющиеся паттерны по скорости, заголовкам и canvas/WebGL.

Для арба это тоже полезно: если стопорит не challenge, а логика вокруг него, значит надо искать не «как пройти капчу», а где рвётся цепочка доверия. Часто хватает стабильного профиля браузера, аккуратных таймингов и отсутствия резких смен сетки/языка/гео.

Хорошая защита не выглядит как стена. Она выглядит как серия мелких несостыковок, которые бот не умеет прожить последовательно.