Warum bekomme ich auf jeder Seite CAPTCHAs? Ursachen und Lösungen
Ständige CAPTCHAs gehen fast immer auf Ihre Netzwerkroute, Ihre Browsereinstellungen oder einen Widerspruch zwischen beiden zurück. Die Ursachen nach Häufigkeit geordnet, jeweils mit Lösung.
Ständige CAPTCHAs bedeuten meist eines: Etwas an der Art, wie Sie eine Seite aufrufen, wirkt wie eine Maschine oder wie eine Menschenmenge, die sich eine Tür teilt, und die Seite hat die Hürde so lange erhöht, bis sie ein klareres Signal bekommt. Die Prüfung ist nur das Symptom. Die Ursache liegt in Ihrer Netzwerkroute, in Ihren Browsereinstellungen oder darin, dass beide der Seite unterschiedliche Geschichten erzählen.
Gehen Sie die Ursachen unten der Reihe nach durch. Die ersten drei sind mit Abstand die häufigsten, und alle haben denselben Ort: die Adresse, von der Ihr Datenverkehr kommt.
Beginnen Sie bei der Adresse, denn meist liegt es daran
Die Adresse wird geteilt oder hat eine Vorgeschichte
Die meisten Verbindungen haben keine eigene Adresse. Mobilfunkanbieter und viele Heimanbieter schalten große Mengen von Kunden hinter einen kleinen Pool öffentlicher Adressen. Büros, Campus-Netze und Coworking-Spaces machen es genauso. Was auch immer jemand hinter dieser Adresse heute Morgen getan hat, erben Sie heute Nachmittag.
Billige Proxy-Pools funktionieren nach demselben Prinzip, nur mit schlechteren Karten. Ein geteilter Residential-Pool vermietet dieselbe Adresse an jeden, der in dieser Stunde kauft, und eine Seite, die dort zuvor eine Welle von Anmeldeversuchen gesehen hat, wird beim nächsten vorsichtig sein.
Die Lösung beginnt damit, herauszufinden, welche Adresse Sie tatsächlich präsentieren, und sie zu testen, statt der Beschreibung zu vertrauen, die man Ihnen verkauft hat. In PowerOps wird ein Proxy in eine Bibliothek aufgenommen und getestet, bevor er in die Nähe eines Kontos kommt, und der Test meldet die beobachtete Adresse. Stellt sich die Route als geteilt heraus, verschieben Sie das Profil auf eine, die es nicht ist.
Es ist eine Rechenzentrumsadresse
Adressbereiche von Hosting-Anbietern sind veröffentlicht, katalogisiert und mühelos nachzuschlagen. An einer Rechenzentrumsadresse ist an sich nichts falsch, und sehr viel gewöhnlicher Datenverkehr stammt von einer. Für ein angemeldetes Privatkonto ist sie jedoch ein ungewöhnlicher Ausgangspunkt, und Seiten gewichten das entsprechend.
Die Lösung: Reservieren Sie Rechenzentrumsadressen für Arbeiten ohne persönliche Anmeldung und verwenden Sie für Kontositzungen Residential- oder Mobilfunkadressen. Die Kosten steigen, die Reibung sinkt. Dieser Tausch ist die ganze Entscheidung.
Sie nutzen einen VPN-Ausgang, den alle nutzen
Ein Consumer-VPN bündelt enorm viele Menschen auf eine Handvoll Ausgangsadressen. Das ist das Produkt, das wie vorgesehen arbeitet. Es ist auch der Grund, warum eine Sitzung dahinter Prüfungen einsammelt, die sie sonst nirgends bekommt. Nicht etwas, das Sie getan haben, rückt diese Adresse unter die Lupe, sondern die schiere Menge.
Die Lösung ist eine eigene Route pro Profil von einem Anbieter, der Sticky-Adressen verkauft. Brauchen Sie ein VPN für etwas Unabhängiges, halten Sie es von dem Rechner oder Profil fern, auf dem Kontoarbeit stattfindet, und schalten Sie es niemals zusätzlich vor einen Proxy.
Die Adresse wechselt mitten in der Sitzung
Rotierende Endpunkte geben Ihnen pro Anfrage oder pro Intervall eine neue Adresse. Zum Sammeln öffentlicher Daten ist das nützlich. Für eine angemeldete Sitzung ist es ein selbst geschaffenes Problem. Eine Sitzung, die in einer Stadt beginnt und wenige Minuten später aus einer anderen weiterläuft, beschreibt etwas, das kein Mensch tut.
Diese Ursache hat ein typisches Muster. Die ersten Minuten sind unauffällig. Dann erscheinen bei jeder Navigation Prüfungen, oft mit einer überraschenden Abmeldung mittendrin.
Die Lösung: Stellen Sie den Endpunkt auf einen Sticky- bzw. sitzungsbeständigen Modus um, mit einer Haltezeit, die länger ist als Ihre Arbeitssitzung. Weisen Sie die Route vor der ersten Anmeldung zu, denn die erste Sitzung legt fest, was für dieses Konto als normal gilt.
Prüfen Sie dann, ob der Browser eine stimmige Geschichte erzählt
Zeitzone, Sprache und Adresse widersprechen sich
Ein Profil, das über Frankfurt geroutet wird und eine Zeitzone von Los Angeles meldet, hat dieselbe Frage auf zwei Arten beantwortet. Das gilt auch für eines, das eine brasilianische Adresse zeigt, während die Sprachliste des Browsers nur Vietnamesisch enthält. Keiner der Werte ist für sich auffällig. Zusammen sind sie der billigste Widerspruch, nach dem eine Seite suchen kann.
Die Lösung: Stellen Sie Zeitzone und Sprachliste des Profils passend zum Land ein, in dem die Route endet, und prüfen Sie beides nach jeder Routenänderung gemeinsam. Das ist die häufigste selbstverschuldete Ursache der Liste, und sie ist in etwa zehn Sekunden behoben.
Der Anfragerhythmus wirkt automatisiert
Seitenaufrufe in exakt vier Sekunden Abstand. Formulare, die sofort und ohne Fokus-Ereignisse dazwischen ausgefüllt werden. Navigation ganz ohne Scrollen. Ein Dutzend Profile, die in derselben Sekunde aus demselben Subnetz dasselbe tun. Nichts davon ist verboten. Alles davon ist ungewöhnlich, und Ungewöhnliches erhöht die Hürde.
Die Lösung ist Tempo. Starten Sie Profile gestaffelt, statt alles auf einmal zu öffnen. Geben Sie automatisierten Abläufen variable Pausen und lassen Sie Seiten sich setzen, bevor die nächste Aktion folgt. Arbeiten Sie in kleineren Stapeln. Wenn ein Skript schneller durch eine Seite läuft, als ein Mensch es könnte, darf die Seite fragen, wer am anderen Ende sitzt.
Schauen Sie dann, was der Browser behält und was er blockiert
Die Cookies sind veraltet, fehlen oder werden jede Nacht verworfen
Die meisten Prüfungen speichern ihr eigenes Ergebnis. Bestehen Sie eine, legt die Seite etwas ab, das sagt: Dieser Browser hat bereits geantwortet, und die Prüfung erscheint eine Weile nicht mehr. Löschen Sie bei jedem Beenden die Cookies, surfen Sie in einem privaten Fenster oder starten Sie jedes Mal ein frisches temporäres Profil, landet dieser Nachweis am Ende jeder Sitzung im Müll. Der nächste Besuch beginnt kalt.
Die Lösung ist ein Profil mit eigenem, dauerhaftem Verzeichnis, das ordnungsgemäß geschlossen wird, damit sein Zustand geschrieben wird. Ein mitten in der Sitzung beendetes Profil kann genau den Nachweis verlieren, den es sich gerade verdient hat.
Etwas blockiert die Skripte, die die Prüfung braucht
Eine Prüfung läuft als Skript, meist von einer Domain des Sicherheitsanbieters geladen und nicht von der Seite, die Sie besuchen. Aggressive Inhaltsblocker, Skriptblocker, gehärtete Datenschutz-Erweiterungen und deaktivierter Drittanbieter-Speicher können dieses Laden verhindern. Die Prüfung wird nie abgeschlossen und startet daher neu. Aus Ihrer Sicht sieht das aus wie eine Endlosschleife oder ein Challenge-Feld, das sich dreht und nie auflöst.
Gehen Sie der Reihe nach vor:
- Öffnen Sie dieselbe Seite in einem Profil ganz ohne Erweiterungen. Endet die Schleife, ist eine Erweiterung die Ursache.
- Aktivieren Sie die Erweiterungen einzeln wieder, bis sie zurückkehrt. Inhaltsblocker und Datenschutz-Härter sind die üblichen Verdächtigen.
- Erlauben Sie die Domain des Challenge-Anbieters in dem, was sie blockiert hat, statt den Blocker pauschal abzuschalten.
- Stellen Sie sicher, dass JavaScript und Drittanbieter-Speicher für die Seite nicht deaktiviert sind.
- Prüfen Sie die Systemuhr. Eine um mehrere Minuten abweichende Uhr zerstört die signierten Token, auf die eine Challenge angewiesen ist, und der Fehler sieht nicht im Geringsten nach einem Uhrenproblem aus.
Vom Symptom zur Ursache
Vergleichen Sie, was Sie sehen, mit der linken Spalte und beginnen Sie mit der Lösung in der rechten.
| Was Sie sehen | Wahrscheinlichste Ursache | Erster Versuch |
|---|---|---|
| Prüfungen auf jeder Seite, in jedem Profil, ab der ersten Anfrage | Die Adresse selbst: geteilt, stark frequentiert oder Rechenzentrumsbereich | Die Route testen und nachschlagen, wem die Adresse gehört |
| Ein Profil betroffen, die anderen in Ordnung | Die Route dieses Profils oder sein gespeicherter Zustand | Eine bekanntermaßen gute Route einsetzen, bevor Sie sonst etwas ändern |
| Einige Minuten unauffällig, dann Prüfungen bei jeder Navigation | Ein rotierender Endpunkt wechselt mitten in der Sitzung die Adresse | Den Endpunkt auf einen Sticky-Modus mit langer Haltezeit umstellen |
| Sie bestehen eine Prüfung und dieselbe kommt sofort wieder | Das Bestehen wird nicht gespeichert oder ein nötiges Skript ist blockiert | Cookies nicht mehr beim Beenden löschen, dann ohne Erweiterungen erneut versuchen |
| Das Challenge-Feld dreht sich und löst sich nie auf | Ein Blocker verhindert das Laden des Challenge-Skripts | Die Domain des Anbieters erlauben, dann die Systemuhr prüfen |
| Die Seite lädt vor der Anmeldung in der falschen Sprache | Locale und Route widersprechen sich | Sprache und Zeitzone des Profils an das Land der Route anpassen |
| Begann direkt nach einem Proxy-Wechsel | Die Vorgeschichte des neuen Endpunkts | Den Endpunkt testen und beim Anbieter einen anderen anfordern |
| Begann direkt nach dem Update einer Erweiterung | Die Erweiterung | Sie für diese Seite deaktivieren und neu laden |
Was Sie lassen sollten
Einige Reflexe machen es zuverlässig schlimmer.
- Randomisieren Sie nicht die Identität des Profils, um eine Prüfung abzuschütteln. Ein Gerät, das sich bei jedem Besuch ändert, ist ein lauteres Signal als alles, was Sie befürchtet haben, und es verwirft die gespeicherten Nachweise für jede bereits bestandene Prüfung.
- Löschen Sie Cookies nicht als erste Reaktion. Diese Cookies sind der Beleg dafür, bestanden zu haben. Löschen Sie sie, beginnt der nächste Besuch garantiert bei null.
- Schalten Sie kein VPN vor einen Proxy. Sie erhalten zwei Routen, die sich über Ihren Standort uneins sind, plus genug zusätzliche Latenz, um gewöhnliche Zeitabläufe seltsam wirken zu lassen.
- Hämmern Sie nicht auf „Neu laden“. Wiederholte fehlgeschlagene Versuche von einer Adresse sind genau das Verhalten, das eine Prüfung misst.
- Verlegen Sie ein Konto nicht mitten in der Sitzung auf eine ganz neue Route. Beenden Sie die Sitzung, ändern Sie die Route und melden Sie sich neu an.
Und eine Sache, bei der wir nicht helfen. Diese Prüfungen automatisch zu lösen liegt außerhalb dessen, was PowerOps tut, und außerhalb dessen, was dieser Blog erklärt. Dienste, die das verkaufen, gibt es. Wir binden sie nicht an, wir dokumentieren sie nicht, und nichts am Produkt ist darauf ausgelegt, eine Sicherheitsprüfung zu umgehen. Alles oben Genannte dient dazu, die Gründe zu beseitigen, aus denen eine Seite überhaupt fragt. Die Frage an Ihrer Stelle zu beantworten ist ein anderes Geschäft, und in dem sind wir nicht.
Wenn nichts davon hilft
Manchmal hat die Prüfung nichts mit Ihnen zu tun. Eine Seite unter Angriff erhöht ihre Schwelle für alle, und der Datenverkehr eines ganzen Landes kann ein oder zwei Tage unter einer strengeren Regel stehen. Bevor Sie einen Nachmittag darauf verwenden, laden Sie dieselbe Seite über eine gewöhnliche Verbindung ohne Proxy und ohne Profil. Wartet die Prüfung auch dort, lautet die Antwort: abwarten.
In den übrigen Fällen läuft es auf eine kurze Liste hinaus. Eine Route mit Vorgeschichte. Eine Route, die nicht stillhält. Werte, die sich widersprechen. Ein Browser, der nicht behalten kann, was er sich verdient hat. Beheben Sie diese vier, und die Prüfungen sind wieder ein gelegentliches Ärgernis statt der Form Ihres Arbeitstags.
