BotOff проверяет каждую отправку формы невидимо: без светофоров и пазлов. Работает на вашем сервере, без Google и Яндекса — и не ломает формы, когда у кого-то падают дата-центры.
зачем это всё
Когда у крупного сервиса ложится дата-центр, вместе с ним ложится и его капча. На всех сайтах, где она стоит, заявки, заказы и регистрации в этот момент просто перестают отправляться — и владелец ничего не может сделать.
под капотом
Боту, чтобы отправить форму, нужно заплатить вычислениями и памятью — каждый раз. Человеку это ничего не стоит: всё происходит, пока он печатает.
Когда посетитель начинает заполнять форму, браузер в фоне решает небольшую задачу Argon2id. Она требует памяти — поэтому массово решать её на видеокартах дорого.
Токен подписан ключом вашего сайта, живёт 2 минуты, привязан к сессии, форме и домену. Перепродать или повторить его нельзя.
Ваш сервер сверяет подпись локально — за миллисекунды, без обращения к внешним сервисам. Нет токена или он чужой — форма не доходит до сайта.
не одна проверка, а несколько
Подделать одну строку User-Agent легко. Согласованно подделать соединение, заголовки, окружение браузера и движения руки — дорого. BotOff сверяет всё это и поднимает цену для тех, кто не сходится.
На каждом сайте — скрытые ссылки и формы-приманки, которые человек не видит. Бот, попавшийся на одном сайте, за минуту получает задачу дороже на всех сайтах сети.
поисковики не трогает: проверка по DNSОтпечаток TLS, HTTP/2, Client Hints, служебные заголовки, окружение браузера. Скрипт, который назвался «Chrome», выдаёт себя на втором шаге.
скрипт с подменой Chrome: риск 100 из 100Небольшая модель оценивает, похоже ли на руку человека: дрожание указателя, ритм печати, клики не точно в центр. Наружу уходит только оценка — без координат и нажатых клавиш.
клавиатура и экранный диктор не штрафуютсяЧеловеку — доли секунды, телефон не греется. Подозрительному клиенту — в десятки раз дороже, а проверка на сервере при этом не дорожает. Массовая атака становится невыгодной.
не блок, а цена: живой человек всё равно пройдётне верьте на слово
Формы ниже защищены BotOff по-настоящему. Отправьте любую как человек — а потом попробуйте обмануть справа.
Форма уйдёт через fetch(). Токен виджет подставит сам — сайту ничего менять не нужно.
Каждая кнопка отправляет форму так, как это делает бот.
честное сравнение
reCAPTCHA, SmartCaptcha и CleanTalk — хорошие сервисы. Но это облачные сервисы: проверка идёт на чужих серверах и по чужим правилам.
| BotOff | Google reCAPTCHA | Яндекс SmartCaptcha | CleanTalk | |
|---|---|---|---|---|
| Невидимый режим для людей | да | даv3 | даневидимая | да |
| Проверка на вашем сервере | да | нет | нет | нетоблако cleantalk.org |
| Формы работают, если сервис недоступен | да | нет | нет | — |
| Данные посетителей не уходят третьей стороне | да | нет | нет | нетимя, почта, IP и текст — в журнал сервиса |
| Работает без регистрации в сервисе | да | нетключи в консоли Google | нетключи в Яндекс Облаке | нетключ на cleantalk.org |
| Можно развернуть у себя полностью | да | нет | нет | нет |
| Режим наблюдения до первой блокировки | да | нет | нет | нет |
| Модуль для 1С-Битрикс с отчётом | да | сторонние | сторонние | дажурнал в облаке |
куда поставить
Без программирования: модуль сам вставляет виджет и проверяет все формы. Первую неделю только наблюдает и показывает отчёт — ничего не сломается.
без программиста
Кабинет на botoff.app работает для любого сайта, даже без админки. Сайт присылает только сводные цифры — без IP-адресов и того, что вводят посетители.
без маркетинга
Неделю BotOff только смотрит и показывает, что было бы отклонено. Защиту включаете вы — одной кнопкой, когда увидите, что формы людей проходят.