Чому капча з'являється на кожному сайті? Причини та рішення
Постійна капча майже завжди пов'язана з вашим мережевим маршрутом, налаштуваннями браузера або з тим, що вони суперечать одне одному. Причини в порядку поширеності та рішення для кожної.
Постійна капча зазвичай означає одне. Те, як ви потрапляєте на сайт, схоже на роботу машини або на натовп, що йде через одні двері, і сайт підвищив поріг входу, доки не отримає чіткіший сигнал. Перевірка — лише симптом. Причина криється в мережевому маршруті, у налаштуваннях браузера або в тому, що вони розповідають сайту різні історії.
Проходьте причини нижче по порядку. Перші три трапляються найчастіше, і всі вони стосуються одного: адреси, з якої надходить ваш трафік.
Почніть з адреси, бо зазвичай причина в ній
Адреса спільна або має історію
Більшість підключень не дають вам власної адреси. Мобільні оператори та багато домашніх провайдерів ховають велику кількість абонентів за невеликим пулом публічних адрес. Офіси, кампуси й коворкінги роблять те саме. Що б хто завгодно за цією адресою не робив уранці, ви успадковуєте це вдень.
Дешеві пули проксі працюють так само, але з гіршими шансами. Спільний резидентний пул здає ту саму адресу тому, хто купує її цієї години, а сайт, який раніше бачив з неї хвилю спроб входу, обережно поставиться до наступної.
Рішення починається з того, щоб дізнатися, яку адресу ви насправді показуєте, і перевірити її, а не вірити опису, який вам продали. У PowerOps проксі додається до бібліотеки й перевіряється ще до того, як опиняється поряд з акаунтом, а тест повідомляє, яку адресу було помічено. Якщо маршрут виявився спільним, перенесіть профіль на інший.
Це адреса дата-центру
Діапазони адрес хостинг-провайдерів опубліковані, каталогізовані й елементарно перевіряються. Сама по собі адреса дата-центру нічого поганого не означає, і з таких адрес надходить чимало звичайного трафіку. Але для авторизованого споживчого акаунта це незвичне місце, і сайти зважують це відповідно.
Рішення: лишайте адреси дата-центрів для роботи без особистого входу, а для сесій акаунтів використовуйте резидентні чи мобільні адреси. Вартість зростає. Тертя зменшується. Увесь вибір — у цьому компромісі.
Ви на виході VPN, яким користуються всі
Споживчий VPN зводить величезну кількість людей до жменьки вихідних адрес. Це продукт, що працює як задумано. Але саме тому сесія за ним збирає перевірки, яких ніде більше не збирає. Не ваші дії привернули увагу до цієї адреси. Її привернув сам обсяг.
Рішення: власний маршрут для кожного профілю від провайдера, що продає стабільні (sticky) адреси. Якщо VPN потрібен для чогось стороннього, тримайте його поза машиною чи профілем, де ведеться робота з акаунтами, і ніколи не накладайте його поверх проксі.
Адреса змінюється посеред сесії
Ротаційні ендпоїнти видають нову адресу на кожен запит або з певним інтервалом. Для збору публічних даних це корисно. Для авторизованої сесії це проблема, яку ви створили собі самі. Сесія, що починається в одному місті й за кілька хвилин продовжується з іншого, описує те, чого жодна людина не робить.
У цієї причини характерна форма. Перші кілька хвилин усе чисто. Потім перевірки з'являються на кожній навігації, часто з несподіваним виходом із акаунта десь посередині.
Рішення: переключіть ендпоїнт на стабільний режим або режим збереження сесії, з часом утримання довшим за вашу робочу сесію. Призначайте маршрут до першого входу, бо перша сесія визначає, що є нормою для цього акаунта.
Потім перевірте, чи браузер розповідає узгоджену історію
Часовий пояс, мова й адреса суперечать одне одному
Профіль, що йде через Франкфурт, але повідомляє часовий пояс Лос-Анджелеса, відповів на одне й те саме питання двома різними способами. Так само й той, що показує бразильську адресу, а в списку мов браузера має лише в'єтнамську. Жодне зі значень саме по собі нічим не вирізняється. Разом вони — найдешевша суперечність, яку може шукати сайт.
Рішення: встановіть часовий пояс і список мов профілю відповідно до країни, де закінчується його маршрут, і перевіряйте їх разом після кожної зміни маршруту. Це найпоширеніша причина, яку ви створюєте самі, і виправити її можна приблизно за десять секунд.
Ритм запитів виглядає автоматизованим
Сторінки завантажуються рівно через чотири секунди. Форми заповнюються миттєво, без жодних подій фокусу між полями. Навігація без жодного прокручування. Десяток профілів робить те саме в ту саму секунду з однієї підмережі. Нічого з цього не заборонено. Усе це незвично, а саме незвичне підвищує поріг входу.
Рішення: темп. Запускайте профілі зі зсувом, а не всі одразу. Додавайте до скриптової роботи змінні затримки й дайте сторінкам заспокоїтися перед наступною дією. Працюйте меншими партіями. Якщо скрипт рухається сайтом швидше, ніж могла б людина, сайт має право спитати, хто по той бік.
Потім подивіться, що браузер зберігає, а що блокує
Набір cookie застарілий, відсутній або щоночі видаляється
Більшість перевірок записують власний результат. Ви проходите одну, і сайт зберігає позначку, що цей браузер уже відповів, а перевірка якийсь час не з'являється. Якщо очищати cookie при кожному виході, користуватися приватним вікном або щоразу створювати свіжий тимчасовий профіль, цей запис викидається наприкінці кожної сесії. Наступний візит починається з нуля.
Рішення: профіль із власною постійною текою, який правильно закривають, щоб його стан було записано. Профіль, убитий посеред сесії, може втратити саме той запис, який щойно заробив.
Щось блокує скрипти, потрібні для перевірки
Перевірка працює як скрипт, який зазвичай завантажується з домену постачальника безпеки, а не сайту, який ви відвідуєте. Агресивні блокувальники контенту, блокувальники скриптів, посилені розширення приватності та вимкнене стороннє сховище можуть зірвати це завантаження. Перевірка так і не завершується, тож повторюється. З вашого боку це виглядає як нескінченний цикл або вікно виклику, що крутиться й ніколи не розв'язується.
Проходьте це по порядку:
- Відкрийте ту саму сторінку в профілі без жодних розширень. Якщо цикл зникає, причина в розширенні.
- Вмикайте розширення по одному, доки цикл не повернеться. Зазвичай винні блокувальники контенту й засоби посилення приватності.
- Дозвольте домен постачальника перевірки в тому, що його блокувало, замість того щоб вимикати блокувальник повністю.
- Переконайтеся, що JavaScript і стороннє сховище для цього сайту не вимкнено.
- Перевірте системний годинник. Годинник, що відстає на кілька хвилин, ламає підписані токени, від яких залежить перевірка, і ця несправність зовсім не схожа на проблему з годинником.
Від симптому до причини
Зіставте те, що бачите, з лівою колонкою й починайте з рішення в правій.
| Що ви бачите | Найімовірніша причина | Що спробувати першим |
|---|---|---|
| Перевірки на кожному сайті, в кожному профілі, з першого запиту | Сама адреса: спільна, завантажена або з простору дата-центрів | Перевірте маршрут і дізнайтеся, кому належить адреса |
| Уражений один профіль, інші в нормі | Маршрут цього профілю або його збережений стан | Підставте маршрут, який точно справний, перш ніж щось міняти |
| Кілька хвилин усе чисто, потім перевірки на кожній навігації | Ротаційний ендпоїнт змінює адресу посеред сесії | Переключіть ендпоїнт на стабільний режим із довгим утриманням |
| Ви проходите перевірку, а вона одразу повертається | Результат не зберігається або заблоковано потрібний скрипт | Припиніть очищати cookie при виході, потім повторіть із вимкненими розширеннями |
| Вікно виклику крутиться й ніколи не завершується | Блокувальник не дає завантажитися скрипту перевірки | Дозвольте домен постачальника, потім перевірте системний годинник |
| Сайт завантажується не тією мовою ще до входу | Локаль і маршрут суперечать одне одному | Узгодьте мову й часовий пояс профілю з країною маршруту |
| Почалося одразу після зміни проксі | Історія нового ендпоїнта | Перевірте ендпоїнт і попросіть у провайдера інший |
| Почалося одразу після оновлення розширення | Розширення | Вимкніть його для цього сайту й перезавантажте сторінку |
Чого не варто робити
Кілька рефлексів гарантовано погіршують ситуацію.
- Не рандомізуйте ідентичність профілю, щоб позбутися перевірки. Пристрій, що змінюється при кожному візиті, — гучніший сигнал, ніж усе, чого ви остерігалися, і він відкидає збережені докази кожної вже пройденої перевірки.
- Не очищайте cookie як першу реакцію. Ці cookie — запис про те, що перевірку пройдено. Очистивши їх, ви гарантуєте, що наступний візит почнеться з нуля.
- Не накладайте VPN поверх проксі. Ви отримаєте два маршрути, які сперечаються, де ви перебуваєте, плюс достатньо додаткової затримки, щоб звичайні часові інтервали виглядали дивно.
- Не тисніть на перезавантаження. Повторні невдалі спроби з однієї адреси — саме та поведінка, яку вимірює перевірка.
- Не переносьте акаунт на зовсім новий маршрут посеред сесії. Завершіть сесію, потім змініть маршрут, потім увійдіть знову.
І ще одне, у чому ми не допоможемо. Автоматичне розв'язання цих перевірок лежить поза тим, що робить PowerOps, і поза тим, що пояснюватиме цей блог. Сервіси, які це продають, існують. Ми не інтегруємося з ними, не документуємо їх, і жодна частина продукту не створена для обходу перевірок безпеки. Усе вищесказане — про усунення причин, через які сайт узагалі змушений питати. Відповідати на запитання замість вас — це інший бізнес, і ми ним не займаємося.
Якщо нічого не допомагає
Іноді перевірка не має до вас жодного стосунку. Сайт, що зазнає атаки, підвищує поріг для всіх, і трафік цілої країни може добу-дві перебувати під суворішим правилом. Перш ніж витрачати на це цілий день, завантажте ту саму сторінку зі звичайного підключення без проксі й без профілю. Якщо перевірка чекає й там, відповідь — зачекати.
В інших випадках усе зводиться до короткого списку. Маршрут з історією. Маршрут, який не стоїть на місці. Значення, що суперечать одне одному. Браузер, який не може зберегти заслужене. Виправте ці чотири речі, і перевірки знову стануть випадковою прикрістю, а не змістом вашого робочого дня.
