BITSPARK / Статьи / Дизайн и элементы сайта

Капча на сайте: что это, какой бывает и нужна ли она форме

Коротко: по описанию Yandex Cloud, SmartCaptcha определяет, человек перед ним или компьютер. web.dev: сервис вроде reCAPTCHA отличает людей от ботов, чтобы форма не получала спам. У сервисов из статьи посетитель видит разное: в Yandex SmartCaptcha - кнопку «Я не робот» или слайдер и задание только в подозрительных случаях, в режиме Invisible у Cloudflare Turnstile виджета на странице нет. Капча на сайте для заказчика - четыре вопроса: что видит посетитель, доступность, данные и цена.

Страницы источников открыты 06.10.2026. Документация каждого сервиса описывает этот сервис, поэтому дальше названо, чьи слова приведены: Yandex SmartCaptcha, reCAPTCHA в составе Google Cloud Fraud Defense, Cloudflare Turnstile. Сервисы между собой статья не сравнивает. Английские цитаты даны в оригинале, перевод наш. Пример вымышленный: мастерская мебели с сайтом example.ru и формой заявки на замер.

Что такое капча на сайте и для чего она нужна?

Коротко: Yandex Cloud описывает SmartCaptcha как сервис, который определяет, человек пользователь или компьютер. web.dev называет задачу такого сервиса: отличать настоящих людей от ботов, чтобы форма не принимала спам. В глоссарии WCAG слово CAPTCHA расшифровано как название теста для различения компьютеров и людей.

Начнём с определения на первой странице документации Yandex SmartCaptcha:

«Yandex SmartCaptcha позволяет определить, кем является пользователь системы: человеком или компьютером.»

Для чего это нужно владельцу сайта, сказано в курсе web.dev о формах, в разделе о безопасности:

«To help protect your data, you have various options to prevent spam submissions from bots. The first option is to use a service such as reCAPTCHA, to distinguish between real people and bots.» Перевод наш: чтобы защитить ваши данные, есть несколько способов не допустить отправки спама ботами. Первый способ - использовать сервис вроде reCAPTCHA, чтобы отличать настоящих людей от ботов.

Бот здесь - автоматическая программа. На той же странице web.dev написано про задания такого сервиса: «Automated software, such as a bot, cannot accomplish these challenges and can't submit the form». Перевод наш: автоматическая программа, например бот, не может выполнить эти задания и не может отправить форму.

В глоссарии страницы WCAG 2.2 о критерии 1.1.1 слово CAPTCHA стоит отдельной статьёй:

«initialism for "Completely Automated Public Turing test to tell Computers and Humans Apart"» Перевод наш: аббревиатура от полностью автоматизированного публичного теста Тьюринга для различения компьютеров и людей.

Там же дано пояснение: «A Turing test is any system of tests designed to differentiate a human from a computer» (перевод наш: тест Тьюринга - любая система проверок, созданная, чтобы отличить человека от компьютера).

Для мастерской с формой заявки на замер вопрос звучит так: что стоит между посетителем и кнопкой отправки. Капча - один из ответов. Ответы, которые называют сами источники, разобраны по разделам статьи.

Какой бывает капча для посетителя?

Коротко: в Yandex SmartCaptcha основное задание - кнопка «Я не робот» или слайдер, дополнительное - одно из трёх, если запрос покажется подозрительным. В документации reCAPTCHA на сайте Google Cloud названы три вида ключей: оценка без действий посетителя, флажок и задание по порогу оценки. В Cloudflare Turnstile три режима виджета: Managed, Non-Interactive и Invisible.

Таблица собирает слова трёх сервисов. Каждая строка пересказывает одну страницу, общих выводов о том, как работает любая капча, из неё делать нельзя: у каждого сервиса свои названия и свои правила.

СервисСтраницаЧто видит посетитель по этой странице
Yandex SmartCaptcha, основное заданиеТипы заданийЧекбокс: нужно нажать кнопку «Я не робот». Слайдер: нужно переместить слайдер слева направо
Yandex SmartCaptcha, дополнительное заданиеТипы заданийРаспознавание текста, силуэты или калейдоскоп; задание предлагается, если результат основного задания кажется сервису подозрительным
reCAPTCHA, ключи score-basedChoose the appropriate key typeПроверка легитимности действия без какого-либо действия посетителя
reCAPTCHA, ключи checkboxChoose the appropriate key typeФлажок «I'm not a robot» (перевод наш: я не робот); после него посетителю могут показать или не показать задание
reCAPTCHA, ключи policy-based challengeChoose the appropriate key typeЗадание показывается, если оценка ниже заданного порога
Cloudflare Turnstile, режим ManagedTurnstile widgetsСервис сам выбирает между проверкой без действий и флажком по уровню риска
Cloudflare Turnstile, режим Non-InteractiveTurnstile widgetsВиджет с индикатором загрузки; посетителю не нужно ничего нажимать
Cloudflare Turnstile, режим InvisibleTurnstile widgetsВиджета на странице нет

Теперь подробнее по каждому сервису, и только по тому, что написано на его страницах.

Yandex SmartCaptcha. Страница «Типы заданий» описывает проверку в два этапа:

«Валидация пользователя состоит из двух этапов. На первом этапе выполняется базовая проверка, где пользователю предлагается решить основное задание.»

Если сервис посчитает запрос подозрительным, он предлагает дополнительное задание. Страница называет три типа: «Распознавание текста» (ввести искажённый текст с картинки), «Силуэты» (отметить значки на картинке в определённом порядке) и «Калейдоскоп» (собрать картинку из частей ползунком). Силуэты и калейдоскоп страница относит к стадии Preview. О слайдере сказано так:

«Слайдер находится на стадии Preview, поэтому может некорректно работать на некоторых видах устройств. Например, на телевизорах.»

Страница называет и четыре уровня сложности: «Легкая», «Средняя», «Высокая», «Максимальная». О последнем сказано: «Решение дополнительного задания обязательно, вне зависимости от результатов выполнения основного задания.» Уровень сложности влияет, по той же странице, на прохождение основного и дополнительного заданий.

reCAPTCHA. Страница обзора Google Cloud сообщает, где теперь находится reCAPTCHA:

«reCAPTCHA has become a part of Google Cloud Fraud Defense» Перевод наш: reCAPTCHA стала частью Google Cloud Fraud Defense.

Для сайтов страница «Choose the appropriate key type» называет три вида ключей: score-based, checkbox и policy-based challenge. О каждом там сказано отдельно:

«Score-based keys let you verify whether an interaction is legitimate without any user interaction.» Перевод наш: ключи score-based позволяют проверить, что действие на сайте допустимо, без какого-либо действия пользователя.

«This checkbox key might or might not challenge them with CAPTCHA challenges.» Перевод наш: этот ключ checkbox может показать пользователю задание, а может не показать.

Вид задания на этой странице описан так: пользователь выбирает на картинках объекты определённого вида, например уличные знаки (street signs). Для ключей policy-based challenge страница пишет, что задание показывается, если начальная оценка reCAPTCHA ниже заданного порога.

Cloudflare Turnstile. Страница обзора называет Turnstile «smart CAPTCHA alternative» и пишет, как он встраивается:

«Turnstile can be embedded into any website without sending traffic through Cloudflare and works without showing visitors a CAPTCHA.» Перевод наш: Turnstile можно встроить на любой сайт без пропуска трафика через Cloudflare, и он работает, не показывая посетителям капчу.

Режимы Managed, Non-Interactive и Invisible описаны на странице «Turnstile widgets». О режиме Managed сказано, что он автоматически выбирает проверку без действий или флажок по уровню риска посетителя; о режиме Non-Interactive - что посетитель видит виджет с индикатором загрузки и ничего не нажимает.

Что значит невидимая капча и проверка без действий посетителя?

Коротко: у Yandex SmartCaptcha невидимая капча - способ подключения, при котором на странице нет кнопки «Я не робот»; окно с заданием увидят только те, чьи запросы сервис посчитает подозрительными. Проверка при этом идёт: Yandex пишет, что сервис проверяет запросы своими ML-алгоритмами. Момент проверки выбирает разработчик, например нажатие кнопки отправки формы.

Определение невидимой капчи в Yandex SmartCaptcha:

«Невидимая капча - это способ подключения виджета SmartCaptcha, при котором кнопка Я не робот отсутствует на странице. Окно с заданием увидят только те пользователи, запросы которых сервис SmartCaptcha посчитает подозрительными.»

О том, когда сервис проверяет посетителя, на той же странице сказано: «Разработчик сам выбирает, когда сервис проверит пользователя, например, по клику на submit формы». Для заказчика отсюда следует вопрос к подрядчику: в какой момент срабатывает проверка. О том, как проходит сама проверка, говорит страница «Валидация пользователя»:

«SmartCaptcha проверяет запросы пользователей своими ML-алгоритмами и показывает задание только тем пользователям, запросы которых посчитает подозрительными.»

Yandex пишет и об ожидании: у посетителей, которым покажут задание, время загрузки виджета может варьироваться. Следом идёт рекомендация:

«Поэтому мы рекомендуем предупреждать пользователей о показе капчи, чтобы не приводить их в замешательство во время ожидания.»

Yandex называет показ задания окном: «Окно с заданием увидят только те пользователи». Как называют окна на сайте и что проверить при их приёмке, рассказано в статье Всплывающее окно на сайте: как называется и что проверить.

В Cloudflare Turnstile невидимость описана отдельным режимом:

«Visitors will also not see a widget or any indication that an invisible browser challenge is in progress.» Перевод наш: посетители также не увидят виджет и никаких признаков того, что идёт невидимая проверка в браузере.

В reCAPTCHA проверка без действий посетителя относится к ключам score-based: по странице Google Cloud они проверяют, что действие допустимо, без действий посетителя. Названия у сервисов разные, поэтому в задании подрядчику записывают название режима из документации выбранного сервиса.

Чем капчу дополняют или заменяют?

Коротко: web.dev называет три способа защиты формы от спама: сервис вроде reCAPTCHA, скрытое поле-приманку и сервис фильтрации спама вроде Akismet. W3C в рабочем черновике заметки 2021 года относит приманку и фильтрацию спама к неинтерактивным подходам, которые можно считать альтернативой капче или дополнением к ней. Какой способ выбрать форме, ни одна из этих страниц не говорит.

Приманка в описании web.dev выглядит так:

«Another option is to use a so-called 'honeypot': a visually hidden form field. Humans won't see a honeypot field, but bots will fill it in. On the backend, your processing script can check if the field was completed. If it was, the submission was probably from a bot, and you can ignore it.» Перевод наш: другой способ - так называемая приманка (honeypot): визуально скрытое поле формы. Люди это поле не увидят; боты его заполнят. На стороне сервера скрипт обработки может проверить, заполнено ли поле. Если заполнено, заявка, вероятно, пришла от бота, и её можно игнорировать.

Третий способ web.dev описывает через сервис Akismet:

«The Akismet filter works by combining information about spam captured on all participating sites, and then using those spam rules to block future spam.» Перевод наш: фильтр Akismet работает так: объединяет сведения о спаме, пойманном на всех участвующих сайтах, и по этим правилам блокирует будущий спам.

Про Akismet на странице добавлено, что он прозрачен для пользователя (transparent to the user). W3C в рабочем черновике заметки «Inaccessibility of CAPTCHA» собирает такие подходы в раздел о неинтерактивных способах:

«The approaches described in this section can be regarded as alternatives or complimentary approaches to traditional CAPTCHA.» Перевод наш: подходы из этого раздела можно считать альтернативой традиционной капче или дополнением к ней.

В разделе перечислены фильтрация спама, проверка вычислительной работой, эвристики, приманки и аккаунты с ограничениями. Сам черновик помечен W3C: цитировать его уместно только как работу в процессе (work in progress).

В задании подрядчику это записывается вопросом: чем защищена форма, когда капчи нет, и что будет, если защиту обойдут. Ответ записывает подрядчик, а проверить его можно при приёмке.

Что с доступностью капчи?

Коротко: web.dev советует проверять защиту от спама программой чтения с экрана и только с клавиатуры. Страница WCAG о критерии 1.1.1 пишет, что каждый вид капчи останется неразрешимым для пользователей с определёнными ограничениями, и требует альтернативные формы капчи. Yandex SmartCaptcha ориентируется на ГОСТ Р 52872-2019 и WCAG 2.1; Cloudflare пишет о Turnstile «WCAG 2.2 AA compliant».

Программа чтения с экрана (screen reader) озвучивает содержимое страницы для людей, которые не видят экран. web.dev оставляет для защиты от спама отдельное примечание:

«Always make sure your spam protections are accessible. Try them out by using a screen reader, and by only using your keyboard. The best spam protection is useless if it makes the form unusable for real people.» Перевод наш: всегда проверяйте, что защита от спама доступна. Попробуйте её с программой чтения с экрана и только с клавиатуры. Лучшая защита от спама бесполезна, если из-за неё форма становится непригодной для настоящих людей.

Страница WCAG содержит требование о капче в критерии 1.1.1 (уровень A) и поясняет его:

«If the purpose of non-text content is to confirm that content is being accessed by a person rather than a computer, then text alternatives that identify and describe the purpose of the non-text content are provided, and alternative forms of CAPTCHA using output modes for different types of sensory perception are provided to accommodate different disabilities.» Перевод наш: если назначение нетекстового содержимого - подтвердить, что к содержимому обращается человек, но не компьютер, то даны текстовые альтернативы, которые определяют и описывают назначение такого содержимого, и даны альтернативные формы капчи с разными способами восприятия, чтобы учесть разные ограничения.

В примечании о капче эта же страница сообщает:

«Every type of CAPTCHA will be unsolvable by users with certain disabilities.» Перевод наш: каждый вид капчи будет неразрешим для пользователей с определёнными ограничениями.

Google Cloud пишет о заданиях ключей checkbox:

«CAPTCHAs are not accessible for all users, so they might not be suitable if your website has accessibility requirements.» Перевод наш: капча доступна не для всех пользователей, поэтому может не подойти, если у вашего сайта есть требования к доступности.

Страница Yandex о доступности формулирует так: SmartCaptcha «ориентируется на два документа» - ГОСТ Р 52872-2019 и Web Content Accessibility Guidelines (WCAG) 2.1. «Ориентируется» - слово страницы, о соответствии документам она не пишет. Из того, как это реализовано, страница называет:

  • альтернативу задания - аудиокапчу;
  • управление элементами «с помощью мыши, клавиатуры и ТВ-пульта»;
  • текстовые капчи на 17 языках и аудиокапчи на русском и английском.

Cloudflare пишет в разделе Accessibility страницы обзора одну строку:

«Turnstile is WCAG 2.2 AA compliant.» Перевод наш: Turnstile соответствует WCAG 2.2 уровня AA.

Это слова Cloudflare о своём сервисе; как проводилась проверка, в этой строке не сказано. Доступность записывается в приёмку: страницу с формой проходят с клавиатуры и с программой чтения с экрана, как советует web.dev.

Что сами сервисы пишут о неудобствах и ограничениях капчи?

Коротко: Yandex Cloud называет метрику своего сервиса: примерно половина пользователей проходит капчу с первого раза. Google Cloud в разделе об ограничениях заданий пишет, что задания добавляют трение и могут снизить конверсию. Это слова документации, а сколько заявок теряет конкретный сайт, из них не следует.

В разделе о доступности Yandex пишет о собственных метриках:

«Согласно собранным Yandex Cloud метрикам, примерно половина пользователей проходит капчу с первого раза.»

Период, за который собраны метрики, страница не называет. Причины неудачи там названы так: «яркое солнце, устройство не поддерживает необходимые библиотеки JavaScript и другое». Что предлагается посетителю дальше:

«В таком случае пользователю предлагаются дополнительные попытки, аудиокапча или обращение в поддержку - у таких обращений повышенный приоритет.»

В начале той же страницы Yandex Cloud пишет, что доступность капчи влияет на комфорт пользователя и «позволяет сохранить конверсию веб-приложения». В Google Cloud раздел «Caveats with CAPTCHA challenges» первым пунктом называет:

«CAPTCHAs require user interaction, which increases friction and might decrease conversion rates.» Перевод наш: капча требует действий пользователя, что добавляет трение и может снизить конверсию.

Там же есть слова о самой пользе заданий:

«Due to the advances in computer vision and machine intelligence, CAPTCHAs are becoming less useful to distinguish between humans and bots.» Перевод наш: из-за развития компьютерного зрения и машинного интеллекта капча становится менее полезной для различения людей и ботов.

Оба фрагмента Google Cloud стоят в разделе об ограничениях ключей checkbox с заданиями.

Какие данные посетителя обрабатывает сервис капчи и что об этом сообщать?

Коротко: на странице о невидимой капче Yandex пишет: «Вы обязаны уведомлять пользователей о том, что их данные обрабатывает SmartCaptcha». Для этого в Yandex SmartCaptcha по умолчанию есть блок со ссылкой на документ сервиса. Cloudflare для режима Invisible требует сослаться на Turnstile Privacy Addendum в собственной политике конфиденциальности. Юридической оценки в статье нет.

Требование Yandex стоит в разделе «Уведомление об обработке данных» страницы о невидимой капче:

«Вы обязаны уведомлять пользователей о том, что их данные обрабатывает SmartCaptcha. Если вы скрываете блок с уведомлением, сообщите пользователям иным способом о том, что SmartCaptcha обрабатывает их данные.»

По умолчанию, пишет страница, на странице с невидимой капчей появляется блок со ссылкой на документ «Уведомление об условиях обработки данных сервисом». Блок расположен в нижнем правом углу; его можно переместить параметром и скрыть. Размещение блока - вопрос к дизайну страницы.

Страница «Валидация пользователя» содержит примечание о данных запросов:

«Чтобы сделать вашу защиту более эффективной, мы используем информацию об HTTP-запросах для развития моделей машинного обучения (ML). Вы можете отключить использование этой информации в консоли управления при создании капчи или позднее в ее настройках.»

У Cloudflare Turnstile условие для невидимого режима записано в документации:

«As a condition of enabling invisible mode, you must reference Cloudflare's Turnstile Privacy Addendum (...) in your own privacy policy.» Перевод наш: как условие включения невидимого режима нужно сослаться на Turnstile Privacy Addendum от Cloudflare в собственной политике конфиденциальности.

На странице обзора Cloudflare описывает и сам объём обработки:

«Turnstile does not access, store, or transmit user communications, form entries, or other page inputs.» Перевод наш: Turnstile не получает доступ к сообщениям пользователей, записям формы и другим данным, введённым на странице, не хранит и не передаёт их.

W3C в рабочем черновике заметки 2021 года пишет о неинтерактивных подходах в целом:

«Unfortunately, some current non-interactive approaches come at the price of exposing much data about the individual user to the non-interactive host analysis engine that user might rather prefer to keep confidential.» Перевод наш: к сожалению, у некоторых современных неинтерактивных подходов цена такая: анализирующая система получает много данных о конкретном посетителе, которые он предпочёл бы сохранить в тайне.

Этот фрагмент стоит во введении черновика, в разделе 1.1, и говорит о некоторых неинтерактивных подходах в целом. На той же странице web.dev есть примечание:

«Link to your privacy policy on each page with a form, especially if personal data is processed.» Перевод наш: давайте ссылку на политику конфиденциальности на каждой странице с формой, особенно если обрабатываются персональные данные.

Что закон говорит о документе оператора и о согласии, в этой статье не разбирается. Для этого есть статьи раздела: Политика конфиденциальности для сайта: что требует 152-ФЗ и Согласие на обработку персональных данных на сайте: ст.9 152-ФЗ. У каждого сервиса капчи свой документ об обработке данных: у Yandex это «Уведомление об условиях обработки данных сервисом», у Cloudflare - Turnstile Privacy Addendum. Для другого сервиса название документа выясняют на его странице.

Сколько стоит капча и как Яндекс считает плату?

Коротко: на странице «Правила тарификации для Yandex SmartCaptcha» тарифицируются только корректные запросы к API проверки, на которые API вернул статус ok. Период - календарный месяц, цена считается ступенчато. В статье приведены суммы из примеров расчёта на этой странице; страница оговаривает, что цены в примерах могут отличаться от действующих. У Google Cloud на странице сравнения уровней для Essentials назван бесплатный объём до 10 000 оценок (assessments) в календарный месяц. Цены другого сервиса смотрят на его странице тарифов.

Что оплачивается, страница Yandex определяет так. Тарифицируются запросы к API SmartCaptcha на проверку результата (адрес /validate): так сервер сайта спрашивает у сервиса, прошёл ли посетитель проверку. Оплата идёт только за корректные запросы, на которые API вернул статус ok. Для этого запрос должен удовлетворять трём условиям:

  1. SmartCaptcha определил, что запрос отправил человек.
  2. Переданы корректные значения secret и token. Токен - одноразовый идентификатор проверки, по странице «Валидация пользователя».
  3. Уникальный токен выдан не более 10 минут назад.

О сроке жизни токена страницы Yandex называют два числа: страница тарификации - «не более 10 минут назад», страница «Валидация пользователя» - «Токен действителен в течение 5 минут». Это два разных числа на двух страницах. Какой срок действует в конкретной настройке, спрашивают у подрядчика.

Примеры и примечание самой страницы:

Случай по странице тарификацииЧто пишет страница
Пользователь прошёл капчу, это привело к корректному запросу /validate с сервератарифицируется
Пользователь отправил пустой или некорректный токенне тарифицируется
Разработчик отправил некорректный secret или token, API вернул ошибку в поле messageне тарифицируется
Злоумышленник прошёл капчу и отправил токен 10 раз в течение первой минутытарифицируется только первый запрос
Злоумышленник отправил токен 10 раз спустя 10 минутни один запрос не тарифицируется
Сервис работает в ограниченном режимене тарифицируется

Последняя строка - слова страницы: «Использование SmartCaptcha не тарифицируется, если сервис работает в ограниченном режиме». Что такое ограниченный режим, сказано на странице «Ограниченный режим SmartCaptcha»: сервис работает в нём, если платёжный аккаунт не в статусе ACTIVE или TRIAL_ACTIVE.

Суммы ниже взяты из примеров расчёта на странице. Прочитано 06.10.2026, страница обновлена 09.09.2026 по данным в коде страницы:

«Все цены в рублях и тенге указаны с НДС, все цены в долларах - без НДС.»

«Цены в примерах расчета могут отличаться от действующих.»

В примере на 50 000 корректных запросов в месяц страница считает: «(50 000 - 10 000) / 1 000 × 109,8 ₽ = 4 392 ₽». В примере на 101 000 запросов: «(100 000 - 10 000) / 1 000 × 109,8 ₽ + (101 000 - 100 000) / 1 000 × 76,86 ₽ = 9 958,86 ₽». В примерах названы два шага цены: 109,8 ₽ и 76,86 ₽ за 1 000 запросов. Из числа запросов в обоих примерах вычитается 10 000; пояснения к этому вычитанию в тексте примеров нет. Действующие тарифы страница показывает отдельным блоком прайс-листа в разделе «Цены для региона Россия» и выносит в карточки «Калькулятор цен» и «Прайс-лист»; в статье приведены только суммы из примеров. Период тарификации - календарный месяц по московскому времени.

У reCAPTCHA в составе Google Cloud Fraud Defense цена зависит от уровня. На странице сравнения уровней в строке Monthly assessment cost для Essentials указано:

«Free up to 10,000 assessments per calendar month» Перевод наш: бесплатно до 10 000 оценок (assessments) в календарный месяц.

Сноска к бесплатным 10 000 уточняет, что лимит считается на организацию и суммирует использование по всем аккаунтам и сайтам. Что Google считает одной оценкой, на этой странице не определено. Суммы для других уровней в статье не приводятся. Условия и цены Cloudflare Turnstile в статье не приведены.

Что решить до разработки и что спросить у подрядчика?

Коротко: до разработки заказчик записывает ответы на восемь вопросов: что защищается, нужна ли капча, какой сервис и режим, когда срабатывает проверка, что у посетителя при неудаче, как проходят проверку люди с ограничениями, что сообщается об обработке данных и кто платит. Каждый вопрос опирается на страницу из статьи.

На главной странице BITSPARK шаг «Разработка» описан так: «Верстаем, программируем и подключаем сервисы. Технологии выбираем под задачу.» Список ниже - вопросы для разговора с любым подрядчиком, решения записывает заказчик вместе с ним.

  1. Какая форма защищается и что в неё приходит? Опора: web.dev пишет о защите формы от спама, отправляемого ботами. Для мастерской это форма заявки на замер.
  2. Нужна ли капча или достаточно других способов? Опора: web.dev перечисляет сервис вроде reCAPTCHA, приманку и фильтр спама, W3C называет приманку и фильтрацию неинтерактивными подходами.
  3. Какой сервис и какой режим выбран? Опора: у Yandex основное задание - чекбокс или слайдер, а невидимая капча - способ подключения; у Google три вида ключей; у Cloudflare три режима. Название режима записывают словами документации сервиса.
  4. Когда срабатывает проверка? Опора: Yandex пишет, что разработчик выбирает момент проверки, например нажатие кнопки отправки формы.
  5. Какой уровень сложности и что будет у посетителя, который не справился? Опора: Yandex называет четыре уровня сложности и три выхода после неудачи: дополнительные попытки, аудиокапча, обращение в поддержку.
  6. Как капчу пройдёт человек с клавиатуры или с программой чтения с экрана? Опора: web.dev советует проверять так; WCAG требует альтернативные формы капчи.
  7. Что сообщается посетителю об обработке данных и где? Опора: требование Yandex об уведомлении и требование Cloudflare о ссылке в политике. Ответ записывают рядом с решением о документах из статей о политике конфиденциальности и о согласии.
  8. Кто платит, на кого оформлен аккаунт сервиса и кто следит за ним? Опора: страницы тарификации и ограниченного режима Yandex, страница сравнения уровней Google Cloud.

Для мастерской запись в задании могла бы выглядеть так. Форма заявки на замер на example.ru защищается сервисом Yandex SmartCaptcha в режиме невидимой капчи. Проверка срабатывает при нажатии кнопки отправки. Рядом с формой стоит ссылка на документ об обработке данных сервисом. Запись вымышленная: она показывает форму ответа и не рекомендует сервис.

Что проверить при приёмке?

Коротко: при приёмке формы с капчей проверяют пять вещей, и каждая опирается на источник из статьи: прохождение формы с клавиатуры, прохождение с программой чтения с экрана, работу на телефоне, уведомление об обработке данных и вид окна с заданием. Список нужен для разговора с подрядчиком; настройка капчи в него не входит.

  1. Пройдите форму только с клавиатуры. Страница Yandex о доступности называет управление клавиатурой, а web.dev просит попробовать защиту от спама только с клавиатуры.
  2. Включите программу чтения с экрана и пройдите форму. Это вторая половина примечания web.dev о доступности.
  3. Откройте форму на телефоне. Страница Yandex сообщает, что слайдер на стадии Preview может некорректно работать на некоторых видах устройств, и приводит пример - телевизоры. Как выбирать браузеры и устройства для проверки, описано в статье Кроссбраузерность сайта: что это и как проверить до приёмки.
  4. Найдите на странице уведомление об обработке данных сервисом капчи или ссылку на политику. Yandex требует уведомлять пользователей, Cloudflare для режима Invisible - ссылаться в политике, web.dev советует ссылку на политику на каждой странице с формой.
  5. Если у сервиса предусмотрено окно с заданием, посмотрите, как оно выглядит на компьютере и на телефоне. Yandex называет показ задания окном; общие вопросы об окнах на сайте собраны в статье Всплывающее окно на сайте: как называется и что проверить.

На главной странице BITSPARK шаг «Запуск» описан так: «Проверяем desktop и mobile, скорость, формы и ключевые сценарии - затем запускаем.»

Что проверить владельцу, если посетители жалуются на капчу?

Коротко: Yandex называет причины на стороне посетителя и ограниченный режим из-за статуса платёжного аккаунта. Cloudflare описывает состояния ошибок виджета. Пошаговых исправлений для каждого случая страницы не дают, это вопрос к подрядчику. Владельцу сайта страницы позволяют уточнить у подрядчика, на кого оформлен платёжный аккаунт сервиса и какой у него статус.

Причины на стороне посетителя страница Yandex о доступности называет сама: солнце и устройство без поддержки нужных библиотек JavaScript. Для таких случаев предусмотрены дополнительные попытки, аудиокапча и обращение в поддержку.

Причина на стороне сайта описана на странице об ограниченном режиме:

«SmartCaptcha будет работать в ограниченном режиме, если ваш платежный аккаунт не находится в статусе ACTIVE или TRIAL_ACTIVE.»

В этом режиме, по той же странице, виджет «может отображаться с сообщением Работа Yandex SmartCaptcha на странице ограничена». Владелец сайта может узнать у подрядчика, на кого оформлен платёжный аккаунт и какой у него статус.

На странице «Turnstile widgets» состояния ошибок описаны так: при неизвестной ошибке посетитель увидит соответствующее состояние виджета, и документация называет два действия:

«Visitors can follow the troubleshooting guidelines from the widget or refresh the page to retry the challenge.» Перевод наш: посетители могут выполнить рекомендации по устранению неполадок из виджета или обновить страницу, чтобы повторить проверку.

Если посетитель не взаимодействовал с флажком долгое время, по той же странице проверку нужно запустить заново перезагрузкой страницы или виджета. Подсказки посетителей в статье не разбираются: вопросы о причинах сбоя относятся к конкретному сайту и сервису, и ответ даёт подрядчик по журналу и настройкам.

Источники

Страницы открыты 06.10.2026. Дата обновления страницы указана там, где она есть на странице или в данных страницы.

Обсудить проект в Telegram: t.me/billioniks

Читайте по теме

Все статьи раздела «Дизайн и элементы сайта» →