CAPTCHA ломают не только ботами: чаще всего её “сдают” ваши же настройки

CAPTCHA ломают не только ботами: чаще всего её “сдают” ваши же настройки

Если защита сыпется, сначала смотрят не на «силу капчи», а на точку входа. Типовые провалы: слишком длинная сессия, одинаковый путь от лендинга до формы, отсутствие поведенческого шума и один и тот же fingerprint на десятках попыток. Для антибота это выглядит как аккуратный, но слишком ровный пользователь.

Удобнее разбирать CAPTCHA как цепочку, а не как экран:
— выдача токена или challenge;
— привязка токена к сессии и IP;
— проверка скорости, кликов и навигации;
— повторная валидация на сервере, а не только в браузере.
Если выпадает любой слой, обход становится дешевле, чем защита.

Со стороны атаки обычно ищут не «взлом», а снижение сигнала: меняют отпечаток браузера, рвут паттерн переходов, растягивают действия по времени, подставляют чистую сессию. Со стороны защиты работает обратное: связывать challenge с контекстом, ограничивать жизнь токена, сравнивать поведение до и после капчи и не доверять одному успешному решению.

Есть наблюдение которое стоит проверить: если CAPTCHA видят только «подозрительные» пользователи, а сервер не сверяет контекст запроса, её обходят не реже, чем отклоняют. Хорошая схема — та, где капча не финальная дверь, а один из сигналов в антифрод-цепочке.