Cloudflare использует несколько методов для проверки, является ли пользователь человеком или ботом. Вот основные технологии и подходы, которые применяет компания:

1. Turnstile — проверка поведения браузера

• Это альтернатива традиционной CAPTCHA, которая анализирует поведение пользователя в браузере, включая движения мыши, скорость кликов, цифровой «отпечаток» браузера, репутацию IP-адреса и выполнение JavaScript.

• Если система не обнаруживает подозрительной активности, пользователь проходит проверку без дополнительных заданий (например, без CAPTCHA с картинками).

• Среднее время проверки — около 1 секунды.

2. CAPTCHA и reCAPTCHA (ранее использовались)

• Ранее Cloudflare применяла классические CAPTCHA (искаженный текст) и reCAPTCHA (выбор изображений, например, светофоров или пешеходных переходов).

• Однако от reCAPTCHA отказались в 2020 году из-за платы Google за использование и перешли на hCaptcha.

3. Проверка с помощью USB-ключей (экспериментальная)

• Cloudflare тестировала метод идентификации через доверенные аппаратные ключи (например, YubiKey), где пользователь подтверждает, что он человек, физическим действием (вставка ключа или NFC-подтверждение).

• Этот способ быстрее (около 5 секунд) и удобнее для людей с ограниченными возможностями.

4. Анализ цифровых сигналов

• Cloudflare оценивает множество параметров, таких как:

  • История IP-адреса (например, используется ли он для спама).

  • Поведение мыши и клавиатуры (боты часто двигают курсор неестественно).

  • Заголовки браузера и cookies (боты могут не поддерживать некоторые функции JavaScript).

5. Почему Cloudflare отошла от классической CAPTCHA?

• Затраты времени: В среднем пользователи тратят 32 секунды на прохождение теста, что в глобальном масштабе эквивалентно 500 человеческим годам в день.

• Доступность: CAPTCHA сложна для людей с плохим зрением или когнитивными нарушениями.

• Неэффективность: Современные ИИ (например, ChatGPT Agent) могут обходить даже сложные проверки.

Пример обхода ChatGPT Agent

Недавно ChatGPT Agent успешно проходил проверку Cloudflare, ставя галочку «Я не робот» и комментируя: «Этот шаг нужен, чтобы доказать, что я не бот». Это показывает, что поведенческие проверки могут быть уязвимы перед продвинутыми ИИ.

Cloudflare постепенно отказывается от CAPTCHA в пользу менее навязчивых методов, таких как Turnstile и аппаратная аутентификация. Однако с развитием ИИ-агентов эффективность этих систем продолжает подвергаться сомнению.