reCAPTCHA v2、v3 与 Enterprise：关键区别
选择错误的 reCAPTCHA 版本，是一种出人意料地常见且代价高昂的错误。用 reCAPTCHA Enterprise 保护一个博客，属于防护过度。对于银行登录场景来说，仅用免费的 reCAPTCHA v2 复选框保护则可能不够。这篇 reCAPTCHA 版本对比 为开发者、网站所有者和安全工程师提供了一份清晰、实用的指南，说明每个版本之间究竟有哪些区别——让决策变得直接明了，而不是靠猜测。
这三个版本在向用户发起挑战的方式、分析哪些信号、需要多少后端逻辑，以及成本方面都有根本性的差异。理解这些差异，是为你的具体场景实施恰当防护级别的第一步。
专家观点 — Vladlen Vlasov，技术跨领域专家
"关于版本的争论，本质上是用户体验与安全性之间的权衡。reCAPTCHA v2 把阻碍放在用户身上。v3 把负担放在你这个开发者身上。Enterprise 则把这份负担交给 Google 的风险引擎——但要付出成本。在选择版本之前，你必须先明确自己的威胁模型。"
什么是 reCAPTCHA，以及为什么版本选择很重要
reCAPTCHA 是 Google 的机器人检测服务，也是网络上部署最广泛的 CAPTCHA 系统之一。你选择的版本会影响用户体验、后端架构、合规态势以及每月成本。选错了，要么会用不必要的谜题让真实用户感到烦扰，要么会因为没人对评分采取行动而在阻止机器人方面悄然失效，要么会为一个低流量网站根本用不到的企业级功能付费。
reCAPTCHA v2：复选框与 Invisible 变体
reCAPTCHA v2 是网络上最广为人知的机器人防护形式。它主要有两种子类型，分别针对不同的集成场景。
reCAPTCHA v2 Checkbox（“我不是机器人”）
reCAPTCHA v2 Checkbox——经典的“我不是机器人”小部件——要求用户在提交表单前先点击一个复选框。Google 的风险引擎会评估这次点击及其周围的浏览器行为。低风险用户会立即通过，无需接受挑战。风险较高的用户则会看到图片选择谜题（例如“请选择所有红绿灯”）。这是最简单的集成路径：只需两行 HTML，且无需后端评分处理逻辑。
优势：
- 集成极其简单——所需的后端工作量很少。
- 可见的反馈闭环：用户明确知道系统希望他们做什么。
- 在 Essentials 层级下，每月最多 10,000 次评估可免费使用。
- 与各种浏览器和屏幕阅读器具有广泛兼容性（提供音频替代方案）。
劣势：
- 会给所有用户增加操作负担，包括真实用户。
- 图片挑战可以被 CAPTCHA 解题服务和某些 AI 模型解决。
- 二元通过/失败令牌缺乏细粒度信息——通过的令牌不会向后端提供风险信号。
如需深入了解为何许多网站尽管存在局限性，仍选择此版本，请参阅为什么网站在 年仍使用 reCAPTCHA v2。
Invisible reCAPTCHA（v2 Invisible）
invisible reCAPTCHA 变体完全移除了可见复选框。它会在用户点击提交按钮时以编程方式触发，或通过直接的 JavaScript API 调用触发。如果 Google 的风险引擎认为该交互可疑，就会自动显示挑战。否则，用户完全不会受到打扰。这个变体介于 v2 Checkbox 和 v3 之间：比 Checkbox 的操作负担更低，但在有必要时仍然能够呈现强挑战——而且无需后端评分逻辑。
reCAPTCHA v3：无需用户挑战的风险评分
reCAPTCHA v3 从根本上改变了交互模型。它没有复选框、没有谜题，也没有可见的小部件（只有页面角落里的一个小徽章，可根据 Google 的条款重新定位或隐藏）。相反，v3 作为纯 JavaScript API 运行，监控整个会话——鼠标移动、点击模式、滚动行为、时间特征以及其他浏览器信号——并返回一个 0.0 到 1.0 之间的风险评分。
- 1.0 = 极有可能是真人。
- 0.0 = 极有可能是机器人。
评分会通过令牌验证返回到你的服务器。至于你要如何处理这个评分，则完全由你负责。
评分在实际中的工作方式
你需要为每个受保护的交互定义 action 名称（例如 login、checkout、signup）。每个 action 都会获得自己的评分，这使你能够分别校准阈值。对于大多数网站来说，0.5 是一个较为稳妥的起始阈值：
| 评分范围 | 建议操作 |
| 0.7 – 1.0 | 允许请求通过 |
| 0.5 – 0.69 | 显示可见挑战，或标记为人工审核 |
| 0.0 – 0.49 | 阻止，或要求进行二次验证 |
该评分还可以与您自己的信号结合使用——例如用户账户历史、交易金额或 IP 信誉——以构建复合风险模型。
v3 何时效果好——何时效果不佳
| v3 在以下情况下表现良好…… | v3 在以下情况下存在不足…… |
| 用户体验是优先事项，操作负担会伤害转化率 | 网站较新，几乎没有可用于训练的行为数据 |
| 你需要保护多个页面操作，并希望按操作分别评分 | 没有后端开发人员可以对评分采取行动 |
| 已经具备二次验证机制（电子邮件/SMS OTP） | 复杂机器人会模仿人类行为以抬高评分 |
| 高流量页面，不适合对所有用户都发起挑战 | 你需要有保障的可用性，或符合合规要求的数据处理能力 |
reCAPTCHA Enterprise：高级机器人防护
reCAPTCHA Enterprise 并不只是“绑定了计费账户的 v3”。它是一个结构化的产品层级，具备显著更强的能力、正式的 SLA，以及远超机器人评分的功能。截至 2026 年，Google 将 reCAPTCHA 划分为三个层级：Essentials（免费）、Premium（按量付费）和 Enterprise（订阅制）——每个层级都会解锁逐步更高级的能力。
Google reCAPTCHA Enterprise 功能概览
机器人防护升级：
- Essentials 层级的机器人防御基于4 级分类模型运行。Premium 和 Enterprise 都将其升级为11 级模型，从而在检测临界流量时提供明显更细的粒度。
- 可解释性原因：Essentials 不提供。Premium 提供基础可解释性。Enterprise 提供高级可解释性——以结构化原因代码说明为何分配该评分（例如网络异常、行为异常、已知机器人指纹）。
- 基于策略的挑战触发：Premium 和 Enterprise 提供，Essentials 不提供。它可以根据已定义的规则自动显示挑战，而无需自定义后端分支逻辑。
账户与欺诈防护：
- 账户防护：Premium 为账户级信号提供基础可解释性。Enterprise 则增加了专门的账户接管风险评分及高级可解释性——专为检测凭证填充和 ATO 攻击而设计。
- 密码防护：当用户凭证出现在已知泄露数据库中时发出警报。Premium 和 Enterprise 提供（需要额外评估）。
- SMS 防护：检测 SMS 资费欺诈和 OTP 滥用模式。Premium 和 Enterprise 提供（需要额外评估）。
- 盗刷测试与拒付检测：在扣款处理之前标记支付欺诈的交易层信号。Premium 和 Enterprise 提供（需要额外评估）。
- Annotation API：允许你将真实结果写回 Assessment，从而使模型能够随着时间推移针对你的网站不断改进。Premium 和 Enterprise 提供。
- Related accounts API：检测共享设备或网络指纹的关联账户或账户簇。仅 Enterprise 提供。
分析与运营功能：
- 客户专属欺诈报告 和 攻击调查 工具：仅 Enterprise 提供。
- 专属客户管理 以及正式的 SLA/SLO 承诺：仅 Enterprise 提供。
- iOS 和 Android SDK 在全部三个层级中均可用。
- Enterprise 按照 Google Cloud Platform 的 Data Processing Addendum 进行处理，支持正式的 GDPR 合规数据处理协议，以及低层级不具备的数据驻留控制。
reCAPTCHA v2 与 v3：正面对比
reCAPTCHA v2 与 v3 的选择，本质上取决于你希望把操作负担放在哪里：放在用户身上，还是放在后端。
| 维度 | reCAPTCHA v2 Checkbox | reCAPTCHA v2 Invisible | reCAPTCHA v3 |
| 用户交互 | 明确点击 + 可能出现图片谜题 | 无（除非被标记） | 无 |
| 用户体验负担 | 高 | 低–中 | 无 |
| 后端复杂度 | 低（二元令牌验证） | 低–中 | 高（需要评分逻辑） |
| 抗机器人能力 | 中等（可被绕过） | 中等 | 中等–高（经过调优时） |
| 信号丰富度 | 二元通过/失败 | 二元通过/失败 | 每个 action 对应 0.0–1.0 评分 |
| 无障碍性 | 最佳（可见，提供音频替代） | 中等 | 最佳（无需交互） |
| 免费层级 | 是（Essentials：每月 10k） | 是 | 是（Essentials：每月 10k） |
| 集成工作量 | 很低（2 行 HTML） | 低 | 中–高 |
在以下情况下选择 v2 Checkbox：
- 你的集成资源有限，并且需要在一小时内完成上线。
- 你的用户群体预期并能够接受一个可见检查点（例如管理门户、不常使用的表单）。
- 你保护的是单一、离散的操作，而不是整个会话。
在以下情况下选择 v3：
- 用户体验是优先事项，任何可见的操作负担都会损害转化率。
- 你具备实现基于评分路由的后端开发能力。
- 你同时保护多个页面操作，并希望按操作分别评分。
如需了解绕过技术及其影响的实用解析，请参阅如何在 年解决 reCAPTCHA v2：有效方法。
reCAPTCHA v2 与 Enterprise：规模化之后会发生什么变化
reCAPTCHA v2 与 Enterprise 并不是势均力敌的比较——二者并不是为同一种威胁面而设计的。v2 被设计为一种通用、低门槛的人类验证工具。Enterprise 则是为那些滥用行为会直接带来财务或合规后果的组织而构建的。
| 维度 | reCAPTCHA v2 | reCAPTCHA Enterprise |
| 输出 | 二元通过/失败令牌 | 多维风险评估对象 |
| 机器人评分值 | 2 个值：是机器人或不是机器人 | 11 个值：0.0–1.0 |
| 欺诈信号 | 无 | 账户接管评分、盗刷测试、拒付、SMS 欺诈 |
| 可解释性 | 无 | 高级（带原因代码） |
| 标注 / 模型调优 | 不可用 | 可用（Annotation API） |
| SLA | 无 | 有（附带财务补偿） |
| SLO | 无 | 每月 99.9% 可用性 |
| 定价 | 每月最多 10,000 次评估免费（Essentials）；超过该限制后，适用与 v3 相同的付费层级 | 固定月度用量承诺，按 $1/1,000 次评估计费；需要签订 12 个月订阅合同 |
| 合规支持 | 有限 | GCP DPA、数据处理协议、数据驻留 |
| 集成复杂度 | 很低 | 高（Assessment API、标注流水线） |
实际影响在于：如果你的网站要处理支付、进行大规模账户注册，或处于受监管行业，那么 v2 与 Enterprise 之间的差距，就是基础机器人过滤与专门打造的欺诈防护层之间的差距。
如需全面了解 reCAPTCHA 各层级的定价机制，请参阅reCAPTCHA v2 年定价：费用是多少？
reCAPTCHA v3 与 Enterprise：当评分本身还不够时
- reCAPTCHA v3 与 Enterprise 是最微妙的一组比较，因为 Enterprise 直接建立在 v3 的评分架构之上。免费的 Essentials 层级给你一个评分。Premium 和 Enterprise 给你的则是评分 加上上下文、可追责性和调优能力。大多数升级决策主要由三方面差距推动：
- 信号深度。 Essentials 使用 4 级机器人防御分类。Premium 和 Enterprise 将其扩展为 11 级——当阈值逻辑需要区分“中度可疑”和“明显自动化”时，这种更细的粒度非常重要。
- 可解释性。 Essentials 返回的是一个数字。Premium 增加基础原因代码。Enterprise 返回高级原因代码——以结构化方式解释为什么会给出该评分（例如自动化模式、疑似盗刷测试行为）。这对需要调查攻击模式而不只是进行处置的安全分析师至关重要。
- 账户与交易层。 Enterprise 增加了专门针对账户接管风险和交易欺诈的评分模型，与基础交互评分并行运行——这些模型基于 Google 全球受保护站点网络中的欺诈情报进行训练，这是任何独立部署的 Essentials v3 集成都无法复制的。
- 何时继续使用 v3（Essentials / Premium）： 你的使用场景是表单或评论区的垃圾信息防护；你不需要与欺诈相关的专用信号，也不需要合规级数据保障；Premium 的 Annotation API 和 11 级机器人防御已经能在不引入 Enterprise 额外负担的情况下满足你的精度需求。
实用决策框架：你应该使用哪个版本？
第 1 步——你的威胁模型是什么？
- 表单垃圾信息、爬虫、低量级凭证填充 → v2 或 v3（Essentials/Premium）。
- 账户接管、支付欺诈、高价值 API 滥用 → Enterprise。
第 2 步——你对用户体验干扰的容忍度如何？
- 用户可以接受可见检查点 → v2 checkbox。
- 需要零干扰 → v2 invisible 或 v3。
第 3 步——你的后端能力如何？
- 后端开发时间极少 → v2 checkbox（只需验证令牌）。
- 可以实现基于评分的路由 → v3。
- 可以实现 Assessment API + 标注流水线 → Enterprise。
第 4 步——你的流量规模是多少？
- 每月低于 10,000 次评估 → 任意版本，免费（Essentials）。
- 每月 10,001–100,000 次 → Premium——固定 $8。
- 每月超过 100,000 次且无欺诈风险 → Premium——$1.00/1,000 次评估，无需订阅
- 任意流量规模 + 欺诈风险 / ATO / 合规 / SLA → Enterprise——基于固定订阅约定的流量，基础价格为 $1/1,000 次评估，可按需获得量价折扣
使用场景矩阵
| 使用场景 | 推荐版本 | 原因 |
| 个人博客 / 联系表单 | v2 Checkbox | 简单、免费、无需后端逻辑 |
| SaaS 注册表单 | v3（Essentials/Premium） | 无感、转化更好、可行的后端评分路由 |
| 电商结账 | v3 Premium + 回退到 v2 挑战 | 11 级机器人信号、基于策略的挑战触发 |
| 银行 / 金融科技登录 | Enterprise | ATO 风险评分、高级可解释性、GCP 合规 |
| 高流量 API 端点 | Enterprise | 订阅模式、Related accounts API、攻击调查 |
| 移动应用（iOS/Android） | v2 或 Enterprise SDK | 所有层级都提供 SDK |
如需了解连接 API 的实现细节，请参阅reCAPTCHA v2 API 集成：如何连接和使用。
Vladlen Vlasov，技术跨领域专家：
"由于 v3 使用与 v2 相同的 siteverify 端点，熟悉 v2 的开发者往往会在令牌验证这一步结束集成。v3 响应中的关键新增内容是 score 字段：如果没有基于它进行处理的服务端逻辑，那么从技术上看已完成的 v3 集成，在实际中并不能提供任何有效的机器人防护。"
集成与定价概览
reCAPTCHA Essentials（免费）：
- 每月最多 10,000 次评估，在同一组织内的所有站点和账户之间合并计算。
- 支持 v2（checkbox 和 invisible）以及 v3。v3 的机器人防御基于 4 级分类模型运行。
- 如果未启用计费，超过每月限额后，请求会返回错误。
reCAPTCHA Premium（按量付费）：
- 当你向 Google Cloud 项目添加计费方式后，会自动启用。
- 每月 0–10,000 次评估：免费。10,001–100,000 次：固定 $8.00。超过 100,000 次：每 1,000 次评估 $1.00。
- 为 v3 解锁 11 级机器人防御、基础可解释性、基于策略的挑战、Annotation API、密码防护、SMS 防护，以及盗刷测试/拒付检测。
reCAPTCHA Enterprise（订阅制）：
- 需要通过 Google Cloud Sales 签订订阅合同；条款单独协商。
- 按 每 1,000 次评估 $1 计费，可通过联系 Google Cloud Sales 获得量价折扣。
- 解锁完整功能集：高级可解释性、ATO 风险评分、Related accounts API、客户专属欺诈报告、攻击调查工具、专属客户管理以及 SLA。
如需详细比较可在自动化和测试工作流程中处理 reCAPTCHA 的验证码解决服务，请参阅 年最佳 reCAPTCHA v2 验证码解决服务。
如需完整的 reCAPTCHA v2 技术参考——包括密钥生成、小部件嵌入和令牌验证——请访问 CapMonster Cloud 上的 reCAPTCHA v2 概览。
无障碍与隐私考量
不同版本之间的无障碍性存在明显差异。v2 checkbox 是交互式变体中无障碍性最好的：它为视障用户提供音频替代方案，并可由屏幕阅读器操作，尽管图片网格挑战对依赖辅助技术的用户来说仍然是一道障碍。v2 invisible 和 v3 都在设计上是无感的，不会在用户路径中设置交互障碍——这对有运动障碍或认知障碍的用户来说是显著改进。Enterprise 则继承你所部署的小部件类型的交互模型。
隐私是所有版本都需要考虑的问题。每一种 reCAPTCHA 变体都会从用户浏览器收集行为数据，并将其发送给 Google 进行分析。对于 Essentials/Premium 下的 v2 和 v3，数据依据 Google 的通用隐私政策处理——你必须在隐私政策中披露 reCAPTCHA 的使用情况，并且在受 GDPR 监管的市场中，为此类行为数据处理建立合法依据。Enterprise 则按照 Google Cloud Platform 的 Data Processing Addendum 进行处理，其中包括仅根据客户指令处理数据的承诺，以及低层级不提供的数据驻留控制——这对于受到严格数据本地化法规约束的组织而言是一项要求。
常见问题
问：2026 年，哪种 reCAPTCHA 版本最适合大多数网站？
对于大多数网站——博客、联系表单、SaaS 注册和标准登录流程——reCAPTCHA v3 在安全性与用户体验之间提供了最佳平衡。它不会带来可见干扰，支持按操作评分，并且在 Essentials 层级下每月 10,000 次评估以内免费。主要的注意点在于，它需要主动的后端逻辑来对评分进行处理。对于后端能力有限的团队，v2 checkbox 仍然是更实用的选择：更容易实现，不需要评分处理代码，并且对大多数常见威胁场景都能提供合理防护。
问：reCAPTCHA v3 的评分究竟是如何工作的？
reCAPTCHA v3 会在用户整个会话过程中监控行为信号——鼠标移动、点击时机、滚动模式、交互历史以及浏览器指纹数据——并将其综合为一个 0.0 到 1.0 之间的评分。接近 1.0 的评分表示极有可能是真人；接近 0.0 的评分表示极有可能是机器人。你需要为每个受保护的交互指定一个 action 名称（例如 login、signup），调用 v3 API，并接收一个令牌，由你的服务器通过 Google 的 verify 端点进行验证以获取评分。你如何处理该评分——放行、挑战、阻止或标记——完全取决于你的服务端逻辑。
问：2026 年 reCAPTCHA Enterprise 的费用是多少？
reCAPTCHA Enterprise 需要正式的 Google Cloud 订阅，并且至少承诺 12 个月，按每 1,000 次评估 $1计费，量价折扣可通过 Google Cloud Sales 获得。如果你的需求还不需要完整的 Enterprise 合同，那么Premium 层级（按量付费）可以解锁大多数高级功能——包括 11 级机器人防御、Annotation API 和欺诈防护信号——在每月 10,001 到 100,000 次评估之间固定收费 $8，超过该阈值后每 1,000 次收费 $1，且无需年度承诺。
问：2026 年 reCAPTCHA v2 仍然会被绕过吗？
会。reCAPTCHA v2——无论是 checkbox 还是 invisible 变体——都可能被 CAPTCHA 解题服务绕过，这些服务会使用人工操作员或机器学习模型以编程方式完成挑战。复杂的机器人操作者会经常将这些服务集成进他们的自动化流水线。对大多数网站而言，大规模绕过挑战的经济成本仍足以阻止机会主义机器人。然而，对于那些攻击者有充分动机投资绕过基础设施的高价值目标，仅靠 v2 并不足够——应考虑使用带后端逻辑的 v3 或 Enterprise 级防护。
问：可以在同一个网站上组合使用多个 reCAPTCHA 版本吗？
可以，而且对于高风险应用来说，这通常是推荐做法。一个常见模式是在整个站点部署 v3 进行被动评分，并且仅当评分低于可接受阈值时（例如低于 0.5）才触发v2 checkbox 挑战。这样，大多数真实用户都能获得无感体验，而处于边界状态的会话则会收到强挑战。在 Premium 和 Enterprise 层级中，基于策略的挑战触发 可以自动化这一升级逻辑，而无需自定义后端分支代码。
结论
reCAPTCHA 版本的选择，本质上是根据你的威胁暴露、用户体验要求、开发资源和预算进行校准的过程。自然的升级路径是：v2 → v3 → Premium → Enterprise。
- 如果你需要快速、简单的防护，并希望尽量减少后端工作，从 v2 开始。
- 当用户体验干扰成为可量化的转化问题，并且你具备根据评分采取行动的后端能力时，迁移到 v3。
- 当你需要 11 级机器人防御、基于策略的挑战，或在不签订年度合同的情况下获得欺诈信号时，升级到 Premium。
- 当你的威胁模型包括账户接管、支付欺诈，或涉及需要高级可解释性、Related accounts API 或专属 SLA 保障的监管合规要求时，升级到 Enterprise。
正确的级别，是能够充分应对你实际威胁模型的最低那个级别——而不是现有方案中最复杂的那个。
在自动化和测试工作流中解决 reCAPTCHA
如果你的开发或 QA 工作流需要与受 reCAPTCHA 保护的页面交互——无论是用于测试、抓取还是自动化——CapMonster Cloud 都提供可靠的解题 API，支持 reCAPTCHA v2（checkbox 和 invisible）、reCAPTCHA v3 以及 reCAPTCHA Enterprise。它通过简单的 REST API 集成，并兼容所有主流自动化框架。
如需了解有关 reCAPTCHA v2 的全部内容——包括小部件类型、API 设置以及 CapMonster Cloud 的解题能力——请访问 我们网站上的 reCAPTCHA v2 资源中心。
