reCAPTCHA v3
i CapMonster Cloud

Praca z CapMonster Cloud poprzez API zazwyczaj obejmuje następujące kroki:

1. Przejdź na stronę panelu administracyjnego reCAPTCHA.

2. Zarejestruj nową stronę i wybierz typ captchy — reCAPTCHA v3

3. Pobierz dwa klucze:

• Site key — klucz publiczny (używany w frontendzie);
• Secret key — klucz prywatny (używany na serwerze do weryfikacji)

Możesz otworzyć ustawienia, gdzie na przykład dodatkowo określisz domeny, na których reCAPTCHA może być używana, albo skonfigurujesz powiadomienia o problemach ze stroną czy wzroście podejrzanego ruchu.

4. Przykłady kodu dla części klienckiej

Najprostszym sposobem użycia reCAPTCHA v3 jest podłączenie JavaScript API i dodanie atrybutów do przycisku.

Podłączenie API:

<script src="https://www.google.com/recaptcha/api.js"></script>

Funkcja callback dla formularza:

<script>
  function onSubmit(token) {
    document.getElementById("form").submit();
  }
</script>

Przycisk z atrybutami reCAPTCHA:

<button class="g-recaptcha" 
        data-sitekey="reCAPTCHA_sitekey" 
        data-callback='onSubmit' 
        data-action='submit'>Submit</button>

Dla pełnej kontroli użyj grecaptcha.execute z parametrem render:

Podłączenie API z kluczem:

<script src="https://www.google.com/recaptcha/api.js?render=reCAPTCHA_site_key"></script>

Wywołanie programistyczne:

<script>
  function onClick(e) {
    e.preventDefault();
    grecaptcha.ready(function() {
      grecaptcha.execute('reCAPTCHA_sitekey', {action: 'submit'}).then(function(token) {
          // Wyślij token na serwer do weryfikacji
      });
    });
  }
</script>

Token należy od razu wysłać na serwer do weryfikacji.

Ważne uwagi:

• Okres ważności tokena: token uzyskany z reCAPTCHA v3 jest ważny przez 2 minuty. Upewnij się, że wysyłasz go na serwer w tym czasie.
• Weryfikacja po stronie serwera: po otrzymaniu tokena serwer powinien wysłać żądanie POST na adres https://www.google.com/recaptcha/api/siteverify z parametrami:
  – secret: Twój tajny klucz
  – response: token otrzymany od klienta
  – remoteip (opcjonalnie): adres IP użytkownika
• Serwer Google zwróci odpowiedź JSON zawierającą informacje o wyniku weryfikacji.

Więcej szczegółowych informacji znajdziesz w dokumentacji samej captchy.

5. Teraz po stronie serwera dokonaj weryfikacji odpowiedzi

Przykład w PHP

<?php
// Twój tajny klucz (Secret Key) reCAPTCHA v3
$secret = 'YOUR_SECRET_KEY';

// Pobieramy token z formularza
$token = $_POST['recaptcha-token'] ?? '';

// Wysyłamy żądanie do Google w celu weryfikacji tokena
$response = file_get_contents(
    "https://www.google.com/recaptcha/api/siteverify?secret={$secret}&response={$token}"
);

$result = json_decode($response, true);

// Sprawdzamy powodzenie i współczynnik zaufania
if ($result['success'] && $result['score'] >= 0.5 && $result['action'] === 'submit') {
    echo "Weryfikacja zakończona sukcesem";
} else {
    http_response_code(403);
    echo "Weryfikacja nieudana";
}
?>

Uwagi:

• Upewnij się, że po stronie klienta token jest wysyłany w ukrytym polu formularza o nazwie recaptcha-token:

<input type="hidden" name="recaptcha-token" id="recaptcha-token">


• Próg score można zmieniać w zależności od wymaganego poziomu surowości (na przykład 0,3–0,7).
• Sprawdzenie action === 'submit' zwiększa bezpieczeństwo, pomagając upewnić się, że token został wygenerowany dla konkretnej akcji na stronie.