CAPTCHA ломается не на клике, а на плохом поведении сессии

CAPTCHA ломается не на клике, а на плохом поведении сессии

CAPTCHA — это не только картинка или чекбокс. Для антибот-системы важнее, как ведёт себя браузер до и после вызова: совпадают ли IP, timezone, язык, canvas/WebGL, cookies, история навигации.

Что обычно палит арбитражный трафик:
— холодный профиль без прогрева и лишние перезагрузки;
— резкие скачки между доменами и редирект-цепочки;
— несовпадение fingerprint и сетевого слоя;
— попытка решить challenge в одном контексте, а продолжить в другом.

Для защитника это сигнал строить не один барьер, а цепочку: challenge, поведенческий скоринг, проверка повторных визитов, отдельные правила для нового и возвращающегося пользователя. Для атакующего — наоборот, задача не «обойти CAPTCHA», а удержать связность сессии: один профиль, один сетевой контур, минимум лишних действий, стабильные параметры среды.

Если challenge проходит, а дальше трафик всё равно режется, проблема часто не в CAPTCHA, а в том, что после неё браузер выглядит как другой человек. Сначала чинят целостность сессии, потом уже спорят с антиботом.