Почему сайты постоянно показывают капчу*: при чём здесь IP-адрес и провайдер

Одна и та же проверка на одних сайтах не появляется годами, а на других выскакивает при каждом переходе. Разобраться, почему постоянно появляется капча в интернете, помогает понимание того, как устроена риск-оценка посетителя: она опирается на адрес выхода в сеть, историю cookie и характер действий на странице. Ниже — механика проверок и порядок действий, снижающий их частоту.

Капча на каждом шаге: кто на самом деле её включает

Проверку включает сервер конкретного сайта, а не роутер и не оператор связи: сайт анализирует действия посетителя и технические признаки сессии, после чего решает, показывать задание или пропустить запрос дальше.

CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart)* — механизм, отличающий человека от автоматических программ. Задачи у него прикладные: защита форм и комментариев от спама, блокировка автоматических регистраций, ограничение подбора логина и пароля, снижение нагрузки от ботов на сервер.

Современные системы вроде Google reCAPTCHA (Гугл Рекапча) считают для каждого визита риск-балл. В расчёт идут репутация IP**-адреса, поведение браузера, история cookie и паттерны действий. При низком балле выводится задание с картинками или текстом, при высоком проверка проходит незаметно — оценка выполняется в фоне на каждом запросе, но пользователю ничего не показывается. Фильтры усиливаются на фоне роста автоматического трафика: значительную часть обращений к популярным ресурсам составляют парсеры и боты.

Репутация IP-адреса — главный триггер

Риск-движок привязывает оценку прежде всего к адресу, с которого сайт видит посетителя, а не к аккаунту или конкретному браузеру. Отсюда типичная ситуация: в одном браузере и под одним логином частота проверок меняется после смены канала связи.

Схема доступа зависит от оператора связи и технологии в конкретном городе: где-то абонент получает динамический IP, где-то выходит через общий адрес узла. Сравнить доступные по адресу варианты домашнего интернета можно через агрегатор me-dom.ru, который показывает тарифы разных операторов по конкретному дому.

«Шумный» адрес работает против пользователя: если с него за короткий период зафиксированы сотни однотипных запросов, риск-балл повышается для всех последующих визитов. Попадание IP в спам-базы или во внутренние списки подозрительной активности, которые ведут сервисы reCAPTCHA, даёт тот же эффект — дополнительные проверки почти на каждом обращении.

Роль оператора связи и оборудования

Оператор связи проверку не включает, но определяет, каким адресом сайт видит абонента — динамическим или общим для группы пользователей. При выходе через общий NAT (Network Address Translation, или «преобразование сетевых адресов») это влияние особенно заметно.

Перезагрузка роутера иногда помогает именно поэтому: устройство получает новый адрес из пула оператора, и оценка начинается с чистой истории. Сам роутер задания капчи не формирует и не блокирует.

Браузер, куки и поведение на странице

Риск-балл повышают быстрые серии действий: высокая скорость кликов, множественные переходы по ссылкам за короткое время, аномально большое число комментариев или отметок. Типичные точки, где проверка выдаётся закономерно, — регистрация, оформление покупки, отправка сообщений, серия неудачных попыток ввода пароля.

Вторая группа причин — технические настройки, дающие ложные срабатывания:

• блокировщики рекламы, мешающие загрузке компонентов проверки;
• запрет на сохранение cookie (куки, небольшие текстовые файлы, которые сайт сохраняет на устройстве пользователя), из-за которого сайт не видит прошлых успешных проверок;
• отключённый JavaScript;
• расширения, вмешивающиеся в загрузку и работу страниц.

При заблокированных скриптах (от английского script — «сценарий») проверка иногда не загружается вовсе: защита либо требует ручное прохождение снова и снова, либо не пускает дальше до её решения. Со стороны это выглядит как неразрешимое задание, хотя причина — на стороне браузера.

Лимиты запросов и подозрение на парсинг (автоматизированный сбор данных с веб-страниц или из других источников.)

Rate limit (ограничение скорости) ограничивает число обращений с одного адреса за интервал времени. После превышения порога адрес попадает в списки подозрительной активности, и дальше проверка выдаётся почти на каждый запрос — так работают собственные системы и Google, и Яндекса.

Пороги настраивают неодинаково. Ресурсы с высокой долей рискового трафика — интернет-магазины, формы регистрации, площадки с отзывами — ставят их агрессивнее, поэтому пользователи видят задания там заметно чаще, чем на информационных сайтах. Фон общий: доля скриптов и парсеров в обращениях к популярным ресурсам растёт, вместе с ней ужесточаются фильтры.

Когда причина в вредоносном по

Заражённое устройство или сомнительное расширение способно отправлять запросы в фоне. Для сайта это выглядит как автоматическая активность с адреса, и риск-балл растёт для всех визитов с него.

Проверяемые признаки: заметный сетевой трафик при простое компьютера, расширения, которых пользователь не устанавливал, подмена содержимого страниц и переадресация на посторонние домены.

*От английского Completely Automated Public Turing test to tell Computers and Humans Apart, что переводится как «полностью автоматизированный публичный тест Тьюринга для различения компьютеров и людей».

** IP-адрес (Internet Protocol address, айпи) — это уникальный числовой идентификатор, который присваивается устройствам при подключении к интернету или локальной сети.