reCAPTCHA v3
e CapMonster Cloud

Lavorare con CapMonster Cloud via API di solito prevede i seguenti passaggi:

1. Vai alla pagina del pannello di amministrazione di reCAPTCHA.

2. Registra un nuovo sito e scegli come tipo di captcha reCAPTCHA v3

3. Ottieni le due chiavi:

• Site key — chiave pubblica (utilizzata nel frontend);
• Secret key — chiave privata (utilizzata sul server per la verifica)

Puoi aprire le impostazioni dove, ad esempio, è possibile specificare i domini su cui utilizzare reCAPTCHA oppure configurare avvisi relativi a problemi sul sito o a un aumento di traffico sospetto.

4. Esempi di codice per il lato client

Il modo più semplice per usare reCAPTCHA v3 è includere le API JavaScript e aggiungere alcuni attributi al pulsante.

Inclusione dell’API:

<script src="https://www.google.com/recaptcha/api.js"></script>

Funzione di callback per il form:

<script>
  function onSubmit(token) {
    document.getElementById("form").submit();
  }
</script>

Pulsante con attributi reCAPTCHA:

<button class="g-recaptcha" 
        data-sitekey="reCAPTCHA_sitekey" 
        data-callback='onSubmit' 
        data-action='submit'>Submit</button>

Per un controllo completo, utilizza grecaptcha.execute con il parametro render:

Inclusione dell’API con la chiave:

<script src="https://www.google.com/recaptcha/api.js?render=reCAPTCHA_site_key"></script>

Chiamata programmata:

<script>
  function onClick(e) {
    e.preventDefault();
    grecaptcha.ready(function() {
      grecaptcha.execute('reCAPTCHA_sitekey', {action: 'submit'}).then(function(token) {
          // Invia il token al server per la verifica
      });
    });
  }
</script>

Il token deve essere inviato immediatamente al server per la verifica.

Note importanti:

• Validità del token: il token ricevuto da reCAPTCHA v3 è valido per 2 minuti. Assicurati di inviarlo al server entro questo intervallo di tempo.
• Verifica sul server: una volta ricevuto il token, il server deve inviare una richiesta POST a https://www.google.com/recaptcha/api/siteverify con i parametri:
  – secret: la tua chiave segreta
  – response: il token ricevuto dal client
  – remoteip (facoltativo): l’indirizzo IP dell’utente
• Il server di Google restituirà una risposta JSON contenente informazioni sul risultato della verifica.

Puoi trovare informazioni più dettagliate nella documentazione ufficiale della captcha.

5. Ora effettua la verifica della risposta lato server

Esempio in PHP

<?php
// La tua Secret Key di reCAPTCHA v3
$secret = 'YOUR_SECRET_KEY';

// Ottieni il token dal form
$token = $_POST['recaptcha-token'] ?? '';

// Invia una richiesta a Google per verificare il token
$response = file_get_contents(
    "https://www.google.com/recaptcha/api/siteverify?secret={$secret}&response={$token}"
);

$result = json_decode($response, true);

// Controlla l’esito e il punteggio di attendibilità
if ($result['success'] && $result['score'] >= 0.5 && $result['action'] === 'submit') {
    echo "Verifica superata";
} else {
    http_response_code(403);
    echo "Verifica non superata";
}
?>

Note:

• Assicurati che, lato client, il token venga inviato in un campo nascosto del form con nome recaptcha-token:

<input type="hidden" name="recaptcha-token" id="recaptcha-token">


• La soglia del score può essere modificata in base al livello di severità desiderato (ad esempio 0,3–0,7).
• La verifica di action === 'submit' aumenta la sicurezza e consente di assicurarsi che il token sia stato emesso per la specifica azione di invio sulla pagina.