Invalid Captcha: что означает эта ошибка и как её исправить
Ошибка invalid captcha означает, что проверка не прошла. Сайт не смог подтвердить либо ваш ответ, либо токен, который вернул браузер, — то есть одноразовый код, подтверждающий, что проверка пройдена. Капча — это проверка, с помощью которой сайт отличает живых посетителей от автоматических скриптов, а токен — тот самый одноразовый код, который выдаётся после её прохождения. Причина бывает двух видов: дело либо в вашем браузере и соединении, либо в настройках капчи на самом сайте — и со вторым вариантом вы сами ничего сделать не сможете.
Дальше в этом руководстве: что означает ошибка, какие сообщения выглядят похоже, типичные причины, десять способов исправить по порядку и тот момент, когда пора прекращать самостоятельные попытки и писать администратору сайта.
Что означает ошибка «invalid captcha»?
Invalid captcha означает, что сервер проверки на стороне сайта отклонил результат, который отправил ему ваш браузер. Этот сервер выступает арбитром: он оценивает каждую попытку верификации и решает, пройдёт ли форма. С самой капчей вы уже сталкивались — распознать символы на картинке, поставить галочку, а иногда вообще не делать ничего заметного. Стоит её пройти, и виджет незаметно передаёт браузеру токен. Сайт отправляет этот токен на проверку, и «invalid» — это ответ, который приходит обратно.
Что именно приходит обратно, зависит от того, какую систему использует сайт. У reCAPTCHA v2 ответ действительно бинарный: да или нет. У reCAPTCHA v3 сервер вместе с флагом «пройдено / не пройдено» возвращает оценку риска от 0.0 до 1.0, а сайт сам решает, какое значение считать достаточным, — поэтому «invalid» может означать, что ваша оценка оказалась ниже порога, установленного на этом сайте.
Такой ответ вовсе не означает, что вы ошиблись в задании. Токен мог истечь до того, как вы отправили форму. Скрипт, который рисует виджет, мог не загрузиться. Ваш IP-адрес может выглядеть подозрительно. Или сам сайт отправляет вместе с вашим токеном неверные ключи. С последним вариантом вы ничего не сделаете со своей стороны — сколько бы ни чистили и ни переустанавливали.
Похожие сообщения об ошибке «invalid captcha» (и что они обычно означают)
Сайты формулируют одну и ту же неудачу по-разному, поэтому точный текст на вашем экране — полезная подсказка о том, на чьей стороне сбой.
Если сообщение указывает на настройки сайта — любой из двух баннеров «ERROR for site owner» выше, — переходите сразу к разделу о проблемах на стороне сайта. Во всех остальных случаях сначала стоит пройтись по способам исправления.
Почему появляется «invalid captcha» (типичные причины)
Большинство причин связано с окружением: что-то на пути от ваших нажатий клавиш до сервера проверки вмешивается в процесс.
Нестабильное соединение, VPN или прокси
VPN или прокси — сервис, который направляет ваш трафик через другой сервер, — выдаёт вам общий IP-адрес, которым пользуется множество других людей. Системы верификации придают этому адресу большой вес: при коротком визите, когда наблюдать за поведением почти нечего, репутация IP часто оказывается главным сигналом. Например, в reCAPTCHA v3 помеченный адрес тянет вашу оценку вниз, пока сайт не отклонит запрос. В v2 то же самое выглядит проще: более сложные задания с картинками или прямой отказ. Быстрая проверка: пропадает ли ошибка на мобильном интернете с выключенным VPN?
JavaScript отключён или заблокирован
Виджеты капчи почти полностью построены на JavaScript — коде, который отвечает за интерактивные элементы внутри браузера. Если он отключён, виджет обычно вообще не отрисовывается, токен не выдаётся, и форма отправляет пустое значение. Симптом: пустое место или сломанный блок там, где должен быть виджет с проверкой.
Расширения браузера и инструменты приватности
Блокировщики рекламы, блокировщики скриптов и антитрекинговые расширения часто относят скрипты верификации к трекерам и блокируют их. В результате виджет загружается частично или токен не доходит до сайта. Быстрая проверка: ошибка исчезает в приватном окне Chrome, Edge, Firefox или Safari, где расширения по умолчанию отключены.
Устаревший браузер или несовместимое устройство
В старых версиях браузеров нет стандартов безопасности и API, на которые опираются современные виджеты, поэтому проверка либо не инициализируется, либо молча выдаёт непригодный токен. Часто встречается на телефонах без поддержки, в браузерах телевизоров и на давно не обновлявшихся рабочих машинах. Типичный симптом: виджет крутит загрузку и так и не доходит до результата.
Куки и повреждённый профиль браузера
Верификация опирается на куки — небольшие файлы, которые сайт хранит на вашем устройстве, чтобы узнавать вашу сессию. reCAPTCHA ставит собственные куки, и строгая блокировка сторонних куки может сломать весь процесс. Если куки заблокированы или данные сессии рассинхронизировались, токен не совпадёт с той сессией, к которой относится. Устаревшая копия скрипта виджета в кэше тоже возможна, но встречается редко: такие скрипты отдаются с коротким временем жизни кэша. Симптом: ошибка повторяется в одном браузере и не возникает в другом на том же компьютере.
Проблемы с DNS и репутацией IP
DNS — это «телефонная книга», которая превращает доменное имя в IP-адрес сервера. Если ваш DNS-сервер медленный, сломан или фильтрует запросы, домены, с которых загружается виджет, просто не отвечают, и проверка умирает, не дойдя до страницы. Репутация тоже играет роль: домашний IP-адрес, который вы делите с заражёнными машинами, несёт багаж, созданный не вами. Быстрая проверка: работает ли та же страница в другой сети?
Сканирование HTTPS антивирусом или файрволом
Сканирование HTTPS — функция безопасности, которая вскрывает зашифрованный трафик, проверяет его и подписывает заново. Такая перезапись может ломать собственные зашифрованные запросы виджета, и тогда верификация не завершается. Симптом: капчи не проходят в нескольких браузерах на одной машине — и только на ней.
Как исправить «invalid captcha»: пошагово
Идите по шагам по порядку и после каждого проверяйте форму заново — большинство случаев решается на первых шагах.
1. Обновите капчу и перезагрузите страницу
Нажмите иконку обновления в виджете или перезагрузите страницу и пройдите проверку без паузы. Так выдаётся свежий токен, а это лечит всё, что связано с истечением токена или недогруженным скриптом. Признак успеха: форма отправляется как обычно.
Если вы пользуетесь скринридером, нажмите кнопку аудиопроверки, чтобы получить озвученный вариант (если он есть). Учтите, что сам аудиовариант тоже блокируется, когда запрос помечен как подозрительный.
2. Обновите браузер (Chrome, Firefox, Edge)
Откройте в браузере раздел «О программе» или меню справки, установите доступное обновление и перезапустите браузер. Chrome и Edge обновляются сами, поэтому открытие этих страниц в основном просто запускает проверку обновлений. Актуальные версии поддерживают стандарты, которые нужны виджетам. Признак успеха: галочка появляется сразу, а не подвисает. Если ваше устройство больше не получает обновлений браузера, переходите к шагу 10.
3. Включите JavaScript
Проверьте настройки сайтов в браузере и убедитесь, что JavaScript разрешён — и глобально, и для конкретного сайта. Без него виджет не может ни отрисоваться, ни сгенерировать токен. После включения перезагрузите страницу: если на месте пустоты появилась видимая и отзывчивая проверка, значит помогло.
4. Отключите расширения (или попробуйте приватное окно)
Откройте приватное окно или режим инкогнито и попробуйте отправить форму там. Если получилось, включайте расширения по одному, чтобы найти виновника: обычно это блокировщики рекламы и антитрекинговые инструменты. Дальше можно добавить в исключения только этот сайт, а не отключать расширение целиком.
5. Очистите куки для этого сайта
В настройках приватности браузера удалите куки только для конкретного сайта, а не всё подряд, затем перезагрузите страницу и войдите заново. Так удаляются несовпадающие данные сессии, из-за которых корректный токен выглядит неверным.
Предупреждение, о котором стоит знать: в системах с оценкой риска история куки — один из сигналов, по которым вас считают живым пользователем со стажем. Если стереть профиль целиком, следующие несколько попыток могут выглядеть более подозрительно, а не менее. Точечная чистка лучше полной.
6. Отключите VPN или прокси
Отключите VPN или прокси либо переключитесь на другую локацию сервера и повторите отправку формы. Тогда трафик пойдёт с адреса с собственной репутацией, а не с того, который делят тысячи пользователей. Если после отключения всё проходит с первой попытки, дело было в общем IP.
7. Смените DNS
В настройках сетевого адаптера или роутера замените текущие DNS-серверы на публичные: Google Public DNS — 8.8.8.8 и 8.8.4.4, Cloudflare — 1.1.1.1, Quad9 — 9.9.9.9. Работающий DNS-сервер дотягивается до доменов, которые нужны виджету.
Одна оговорка: если в браузере включён DNS-over-HTTPS, он может полностью игнорировать системную настройку. Проверьте и настройки безопасности самого браузера, иначе изменение ничего не даст.
8. Сбросьте IP или перезагрузите роутер
Перезагрузите роутер или переподключитесь к сети, чтобы запросить у провайдера новый IP-адрес. Это может помочь, если предыдущий адрес обзавёлся плохой репутацией, — но гарантий нет. При активной аренде DHCP часто выдаётся тот же адрес, а если провайдер использует CGNAT, ваш публичный IP делится с другими абонентами и не изменится вообще. Если ничего не поменялось, больше скажет проверка через мобильный интернет из шага 10.
9. Проверьте фильтрацию скриптов в антивирусе и файрволе
В своей программе безопасности найдите сканирование HTTPS, веб-щит или фильтрацию скриптов и на время отключите, чтобы проверить. Если капча после этого работает, добавьте сайт в исключения, а не оставляйте защиту выключенной. Верните функцию обратно сразу, как получите ответ.
10. Попробуйте другое устройство или сеть
Откройте ту же страницу на телефоне через мобильный интернет или на другом компьютере. Это решающая проверка: если верификация проходит в другом месте, причина была локальной; если не проходит нигде, ваша конфигурация ни при чём. В таком случае переходите к следующему разделу.
Когда проблема в сайте или в его интеграции капчи
Часть ошибок invalid captcha посетитель исправить не может, потому что дело в том, как сайт установил у себя верификацию.
Неверный site key или несовпадение домена
Виджету нужны два ключа. Публичный site key лежит в коде страницы и указывает, какому аккаунту принадлежит виджет. Секретный ключ остаётся на сервере сайта. Оба должны соответствовать друг другу, а домен — входить в список, зарегистрированный для них. Стоит что-то из этого перепутать — поменять ключи местами, потерять символ, вставить ключ из старого проекта, — и все посетители упираются в одну и ту же стену: «ERROR for site owner: Invalid site key». Незарегистрированный домен даёт свой вариант сообщения, где вместо ключа назван домен.
Ошибки проверки токена
Сервер сайта должен отправить ваш токен на эндпоинт проверки и корректно прочитать ответ. Если запрос сформирован неправильно, отправлен слишком поздно или повторён с уже использованным токеном, в ответ приходит отказ. Например, в документации Google к siteverify описано ровно шесть кодов ошибок, и они чётко делятся по тому, чья это вина:
- missing-input-response — токен вообще не был отправлен.
- invalid-input-response — токен повреждён.
- timeout-or-duplicate — токен был действительным, но просрочен или уже использован.
- missing-input-secret / invalid-input-secret — секретный ключ сайта отсутствует или указан неверно.
- bad-request — сам запрос на проверку сформирован неправильно.
Вы проходите проверку, а форма всё равно вас не пропускает.
Капча не загружается, пустая или зацикливается
Виджет, который остаётся пустым, показывает рамку с ошибкой или гоняет картинки по кругу, не принимая ответ, обычно указывает на неправильную интеграцию или сбой сервиса. Правило простое: если одна и та же ошибка следует за вами на разных устройствах и в разных сетях, виноват сайт. Напишите администратору сайта или в поддержку сервиса и приведите точный текст сообщения.
Если вы по другую сторону этой ошибки — владеете сайтом или проверяете собственную интеграцию, — то автоматические тестовые прогоны должны проходить эту верификацию каждый раз. CapMonster Cloud применяется для автоматизации тестирования на ресурсах, которые вам принадлежат или которые вы имеете право тестировать, а настройку описывает его документация: руководство по началу работы и API для распознавания reCAPTCHA.
FAQ: invalid captcha
Заключение
Разберитесь, о чём именно говорит ошибка, сверьте причины со своей конфигурацией, а затем пройдите десять шагов по порядку. Большинство ошибок invalid captcha связано с окружением — VPN, заблокированный скрипт, устаревшая кука — и снимается на первых же шагах. Если сообщение никуда не девается и на другом устройстве, и в другой сети, дело, скорее всего, в интеграции на стороне сайта, а починить её может администратор.
Примечание для владельцев сайтов и тестировщиков. Если вы поддерживаете форму или заполняете её в тестовых целях, каждый автоматический прогон всё равно должен проходить верификацию. CapMonster Cloud — коммерческий сервис распознавания капчи, который применяют именно в таком сценарии; настройку описывают его справочник по API и документация по капчам, а наше сравнение reCAPTCHA v2, v3 и Enterprise объясняет, чем различаются версии этой популярной капчи. Используйте сервис только на сайтах, которые вам принадлежат или которые вы имеете законное право тестировать. Он не устраняет описанные выше ошибки на стороне посетителя и не является способом обойти защиту, которой вы не управляете.
