reCAPTCHA v3
und CapMonster Cloud

Die Arbeit mit CapMonster Cloud über die API umfasst in der Regel folgende Schritte:

1. Öffnen Sie die Seite des reCAPTCHA-Admin-Panels.

2. Registrieren Sie eine neue Website und wählen Sie als Captcha-Typ reCAPTCHA v3

3. Sie erhalten zwei Schlüssel:

• Site key — öffentlicher Schlüssel (wird im Frontend verwendet);
• Secret key — geheimer Schlüssel (wird auf dem Server zur Verifizierung verwendet)

In den Einstellungen können Sie z. B. zusätzliche Domains angeben, auf denen reCAPTCHA genutzt werden darf, oder Benachrichtigungen bei Problemen auf der Website oder bei einem Anstieg verdächtigen Traffics konfigurieren.

4. Codebeispiele für die Client-Seite

Die einfachste Möglichkeit, reCAPTCHA v3 zu nutzen, besteht darin, die JavaScript-API einzubinden und dem Button entsprechende Attribute hinzuzufügen.

Einbindung der API:

<script src="https://www.google.com/recaptcha/api.js"></script>

Callback-Funktion für das Formular:

<script>
  function onSubmit(token) {
    document.getElementById("form").submit();
  }
</script>

Button mit reCAPTCHA-Attributen:

<button class="g-recaptcha" 
        data-sitekey="reCAPTCHA_sitekey" 
        data-callback='onSubmit' 
        data-action='submit'>Submit</button>

Für volle Kontrolle verwenden Sie grecaptcha.execute mit dem Parameter render:

Einbindung der API mit dem Schlüssel:

<script src="https://www.google.com/recaptcha/api.js?render=reCAPTCHA_site_key"></script>

Programmgesteuerter Aufruf:

<script>
  function onClick(e) {
    e.preventDefault();
    grecaptcha.ready(function() {
      grecaptcha.execute('reCAPTCHA_sitekey', {action: 'submit'}).then(function(token) {
          // Senden Sie den Token zur Verifizierung an den Server
      });
    });
  }
</script>

Der Token sollte sofort zur Verifizierung an den Server gesendet werden.

Wichtige Hinweise:

• Gültigkeitsdauer des Tokens: Der von reCAPTCHA v3 erhaltene Token ist 2 Minuten gültig. Stellen Sie sicher, dass Sie ihn innerhalb dieses Zeitraums an den Server senden.
• Überprüfung auf der Serverseite: Nachdem der Server den Token erhalten hat, senden Sie eine POST-Anfrage an https://www.google.com/recaptcha/api/siteverify mit folgenden Parametern:
  – secret: Ihr geheimer Schlüssel
  – response: der vom Client erhaltene Token
  – remoteip (optional): IP-Adresse des Nutzers
• Der Google-Server gibt eine JSON-Antwort mit Informationen zum Ergebnis der Überprüfung zurück.

Ausführlichere Informationen finden Sie in der Dokumentation des Captchas selbst.

5. Führen Sie nun die Überprüfung der Antwort auf dem Server durch

PHP-Beispiel

<?php
// Ihr geheimer reCAPTCHA-v3-Schlüssel (Secret Key)
$secret = 'YOUR_SECRET_KEY';

// Token aus dem Formular auslesen
$token = $_POST['recaptcha-token'] ?? '';

// Anfrage an Google senden, um den Token zu überprüfen
$response = file_get_contents(
    "https://www.google.com/recaptcha/api/siteverify?secret={$secret}&response={$token}"
);

$result = json_decode($response, true);

// Erfolg und Vertrauensscore prüfen
if ($result['success'] && $result['score'] >= 0.5 && $result['action'] === 'submit') {
    echo "Überprüfung erfolgreich";
} else {
    http_response_code(403);
    echo "Überprüfung fehlgeschlagen";
}
?>

Hinweise:

• Stellen Sie sicher, dass der Token auf der Client-Seite in einem versteckten Formularfeld mit dem Namen recaptcha-token an den Server gesendet wird:

<input type="hidden" name="recaptcha-token" id="recaptcha-token">


• Den score-Schwellenwert können Sie je nach gewünschter Strenge anpassen (z. B. 0,3–0,7).
• Die Prüfung action === 'submit' erhöht die Sicherheit, da sie sicherstellt, dass der Token für genau diese Aktion auf der Seite ausgegeben wurde.