<b>Антибот ломается не на капче, а на дырках в логике: где проверять трафик</b>

<b>Антибот ломается не на капче, а на дырках в логике: где проверять трафик</b>

Если защита строится только вокруг Turnstile, hCaptcha или reCAPTCHA, её обычно обходят через человеческий клиппер, прокси-ферму или перенос сессии. Капча — это не фильтр, а один из сигналов. Основная ошибка — ставить её на вход и считать задачу закрытой.

Гораздо надежнее проверять трафик в нескольких точках:
— до формы: IP/ASN, скорость переходов, совпадение реферера и лендинга;
— на форме: fingerprint, поведение мыши, тайминги ввода, focus/blur;
— после отправки: повторяемость данных, одинаковые паттерны действий, аномальные цепочки сессий.

Для арбитражника это полезно с другой стороны: если одна точка жёсткая, а остальные пустые, значит фильтр можно обойти не “взломом”, а расхождением сигналов. Например, подменить один слой и сохранить остальные — этого часто хватает, чтобы пройти слабую связку.

Для паблишера главный риск — конфликт между удобством и отсечением ботов. Слишком ранняя проверка режет живой трафик, слишком поздняя даёт фроду дойти до события. Лучше делать мягкий скоринг: сначала собирать признаки, потом усиливать защиту только на подозрительных сессиях.

<b>Если защита не умеет связывать капчу, поведение и fingerprint в одну картину, её почти всегда можно обойти частично.</b>