选择错误的 reCAPTCHA 版本，是一种出人意料地常见且代价高昂的错误。用 reCAPTCHA Enterprise 保护一个博客，属于防护过度。对于银行登录场景来说，仅用免费的 reCAPTCHA v2 复选框保护则可能不够。这篇 reCAPTCHA 版本对比 为开发者、网站所有者和安全工程师提供了一份清晰、实用的指南，说明每个版本之间究竟有哪些区别——让决策变得直接明了，而不是靠猜测。
这三个版本在向用户发起挑战的方式、分析哪些信号、需要多少后端逻辑，以及成本方面都有根本性的差异。理解这些差异，是为你的具体场景实施恰当防护级别的第一步。
专家观点 — Vladlen Vlasov，技术跨领域专家
"关于版本的争论，本质上是用户体验与安全性之间的权衡。reCAPTCHA v2 把阻碍放在用户身上。v3 把负担放在你这个开发者身上。Enterprise 则把这份负担交给 Google 的风险引擎——但要付出成本。在选择版本之前，你必须先明确自己的威胁模型。"
reCAPTCHA 是 Google 的机器人检测服务，也是网络上部署最广泛的 CAPTCHA 系统之一。你选择的版本会影响用户体验、后端架构、合规态势以及每月成本。选错了，要么会用不必要的谜题让真实用户感到烦扰，要么会因为没人对评分采取行动而在阻止机器人方面悄然失效，要么会为一个低流量网站根本用不到的企业级功能付费。
reCAPTCHA v2 是网络上最广为人知的机器人防护形式。它主要有两种子类型，分别针对不同的集成场景。
reCAPTCHA v2 Checkbox——经典的“我不是机器人”小部件——要求用户在提交表单前先点击一个复选框。Google 的风险引擎会评估这次点击及其周围的浏览器行为。低风险用户会立即通过，无需接受挑战。风险较高的用户则会看到图片选择谜题（例如“请选择所有红绿灯”）。这是最简单的集成路径：只需两行 HTML，且无需后端评分处理逻辑。
优势：
劣势：
invisible reCAPTCHA 变体完全移除了可见复选框。它会在用户点击提交按钮时以编程方式触发，或通过直接的 JavaScript API 调用触发。如果 Google 的风险引擎认为该交互可疑，就会自动显示挑战。否则，用户完全不会受到打扰。这个变体介于 v2 Checkbox 和 v3 之间：比 Checkbox 的操作负担更低，但在有必要时仍然能够呈现强挑战——而且无需后端评分逻辑。
reCAPTCHA v3 从根本上改变了交互模型。它没有复选框、没有谜题，也没有可见的小部件（只有页面角落里的一个小徽章，可根据 Google 的条款重新定位或隐藏）。相反，v3 作为纯 JavaScript API 运行，监控整个会话——鼠标移动、点击模式、滚动行为、时间特征以及其他浏览器信号——并返回一个 0.0 到 1.0 之间的风险评分。
评分会通过令牌验证返回到你的服务器。至于你要如何处理这个评分，则完全由你负责。
你需要为每个受保护的交互定义 action 名称（例如 login、checkout、signup）。每个 action 都会获得自己的评分，这使你能够分别校准阈值。对于大多数网站来说，0.5 是一个较为稳妥的起始阈值：
| 评分范围 | 建议操作 |
| 0.7 – 1.0 | 允许请求通过 |
| 0.5 – 0.69 | 显示可见挑战，或标记为人工审核 |
| 0.0 – 0.49 | 阻止，或要求进行二次验证 |
该评分还可以与您自己的信号结合使用——例如用户账户历史、交易金额或 IP 信誉——以构建复合风险模型。
| v3 在以下情况下表现良好…… | v3 在以下情况下存在不足…… |
| 用户体验是优先事项，操作负担会伤害转化率 | 网站较新，几乎没有可用于训练的行为数据 |
| 你需要保护多个页面操作，并希望按操作分别评分 | 没有后端开发人员可以对评分采取行动 |
| 已经具备二次验证机制（电子邮件/SMS OTP） | 复杂机器人会模仿人类行为以抬高评分 |
| 高流量页面，不适合对所有用户都发起挑战 | 你需要有保障的可用性，或符合合规要求的数据处理能力 |
reCAPTCHA Enterprise 并不只是“绑定了计费账户的 v3”。它是一个结构化的产品层级，具备显著更强的能力、正式的 SLA，以及远超机器人评分的功能。截至 2026 年，Google 将 reCAPTCHA 划分为三个层级：Essentials（免费）、Premium（按量付费）和 Enterprise（订阅制）——每个层级都会解锁逐步更高级的能力。
机器人防护升级：
账户与欺诈防护：
分析与运营功能：
reCAPTCHA v2 与 v3 的选择，本质上取决于你希望把操作负担放在哪里：放在用户身上，还是放在后端。
| 维度 | reCAPTCHA v2 Checkbox | reCAPTCHA v2 Invisible | reCAPTCHA v3 |
| 用户交互 | 明确点击 + 可能出现图片谜题 | 无（除非被标记） | 无 |
| 用户体验负担 | 高 | 低–中 | 无 |
| 后端复杂度 | 低（二元令牌验证） | 低–中 | 高（需要评分逻辑） |
| 抗机器人能力 | 中等（可被绕过） | 中等 | 中等–高（经过调优时） |
| 信号丰富度 | 二元通过/失败 | 二元通过/失败 | 每个 action 对应 0.0–1.0 评分 |
| 无障碍性 | 最佳（可见，提供音频替代） | 中等 | 最佳（无需交互） |
| 免费层级 | 是（Essentials：每月 10k） | 是 | 是（Essentials：每月 10k） |
| 集成工作量 | 很低（2 行 HTML） | 低 | 中–高 |
在以下情况下选择 v2 Checkbox：
在以下情况下选择 v3：
reCAPTCHA v2 与 Enterprise 并不是势均力敌的比较——二者并不是为同一种威胁面而设计的。v2 被设计为一种通用、低门槛的人类验证工具。Enterprise 则是为那些滥用行为会直接带来财务或合规后果的组织而构建的。
| 维度 | reCAPTCHA v2 | reCAPTCHA Enterprise |
| 输出 | 二元通过/失败令牌 | 多维风险评估对象 |
| 机器人评分值 | 2 个值：是机器人或不是机器人 | 11 个值：0.0–1.0 |
| 欺诈信号 | 无 | 账户接管评分、盗刷测试、拒付、SMS 欺诈 |
| 可解释性 | 无 | 高级（带原因代码） |
| 标注 / 模型调优 | 不可用 | 可用（Annotation API） |
| SLA | 无 | 有（附带财务补偿） |
| SLO | 无 | 每月 99.9% 可用性 |
| 定价 | 每月最多 10,000 次评估免费（Essentials）；超过该限制后，适用与 v3 相同的付费层级 | 固定月度用量承诺，按 $1/1,000 次评估计费；需要签订 12 个月订阅合同 |
| 合规支持 | 有限 | GCP DPA、数据处理协议、数据驻留 |
| 集成复杂度 | 很低 | 高（Assessment API、标注流水线） |
实际影响在于：如果你的网站要处理支付、进行大规模账户注册，或处于受监管行业，那么 v2 与 Enterprise 之间的差距，就是基础机器人过滤与专门打造的欺诈防护层之间的差距。
第 1 步——你的威胁模型是什么？
第 2 步——你对用户体验干扰的容忍度如何？
第 3 步——你的后端能力如何？
第 4 步——你的流量规模是多少？
| 使用场景 | 推荐版本 | 原因 |
| 个人博客 / 联系表单 | v2 Checkbox | 简单、免费、无需后端逻辑 |
| SaaS 注册表单 | v3（Essentials/Premium） | 无感、转化更好、可行的后端评分路由 |
| 电商结账 | v3 Premium + 回退到 v2 挑战 | 11 级机器人信号、基于策略的挑战触发 |
| 银行 / 金融科技登录 | Enterprise | ATO 风险评分、高级可解释性、GCP 合规 |
| 高流量 API 端点 | Enterprise | 订阅模式、Related accounts API、攻击调查 |
| 移动应用（iOS/Android） | v2 或 Enterprise SDK | 所有层级都提供 SDK |
Vladlen Vlasov，技术跨领域专家：
"由于 v3 使用与 v2 相同的 siteverify 端点，熟悉 v2 的开发者往往会在令牌验证这一步结束集成。v3 响应中的关键新增内容是 score 字段：如果没有基于它进行处理的服务端逻辑，那么从技术上看已完成的 v3 集成，在实际中并不能提供任何有效的机器人防护。"
reCAPTCHA Essentials（免费）：
reCAPTCHA Premium（按量付费）：
reCAPTCHA Enterprise（订阅制）：
如需完整的 reCAPTCHA v2 技术参考——包括密钥生成、小部件嵌入和令牌验证——请访问 CapMonster Cloud 上的 reCAPTCHA v2 概览。
不同版本之间的无障碍性存在明显差异。v2 checkbox 是交互式变体中无障碍性最好的：它为视障用户提供音频替代方案，并可由屏幕阅读器操作，尽管图片网格挑战对依赖辅助技术的用户来说仍然是一道障碍。v2 invisible 和 v3 都在设计上是无感的，不会在用户路径中设置交互障碍——这对有运动障碍或认知障碍的用户来说是显著改进。Enterprise 则继承你所部署的小部件类型的交互模型。
隐私是所有版本都需要考虑的问题。每一种 reCAPTCHA 变体都会从用户浏览器收集行为数据，并将其发送给 Google 进行分析。对于 Essentials/Premium 下的 v2 和 v3，数据依据 Google 的通用隐私政策处理——你必须在隐私政策中披露 reCAPTCHA 的使用情况，并且在受 GDPR 监管的市场中，为此类行为数据处理建立合法依据。Enterprise 则按照 Google Cloud Platform 的 Data Processing Addendum 进行处理，其中包括仅根据客户指令处理数据的承诺，以及低层级不提供的数据驻留控制——这对于受到严格数据本地化法规约束的组织而言是一项要求。
问：2026 年，哪种 reCAPTCHA 版本最适合大多数网站？
对于大多数网站——博客、联系表单、SaaS 注册和标准登录流程——reCAPTCHA v3 在安全性与用户体验之间提供了最佳平衡。它不会带来可见干扰，支持按操作评分，并且在 Essentials 层级下每月 10,000 次评估以内免费。主要的注意点在于，它需要主动的后端逻辑来对评分进行处理。对于后端能力有限的团队，v2 checkbox 仍然是更实用的选择：更容易实现，不需要评分处理代码，并且对大多数常见威胁场景都能提供合理防护。
问：reCAPTCHA v3 的评分究竟是如何工作的？
reCAPTCHA v3 会在用户整个会话过程中监控行为信号——鼠标移动、点击时机、滚动模式、交互历史以及浏览器指纹数据——并将其综合为一个 0.0 到 1.0 之间的评分。接近 1.0 的评分表示极有可能是真人；接近 0.0 的评分表示极有可能是机器人。你需要为每个受保护的交互指定一个 action 名称（例如 login、signup），调用 v3 API，并接收一个令牌，由你的服务器通过 Google 的 verify 端点进行验证以获取评分。你如何处理该评分——放行、挑战、阻止或标记——完全取决于你的服务端逻辑。
问：2026 年 reCAPTCHA Enterprise 的费用是多少？
reCAPTCHA Enterprise 需要正式的 Google Cloud 订阅，并且至少承诺 12 个月，按每 1,000 次评估 $1计费，量价折扣可通过 Google Cloud Sales 获得。如果你的需求还不需要完整的 Enterprise 合同，那么Premium 层级（按量付费）可以解锁大多数高级功能——包括 11 级机器人防御、Annotation API 和欺诈防护信号——在每月 10,001 到 100,000 次评估之间固定收费 $8，超过该阈值后每 1,000 次收费 $1，且无需年度承诺。
问：2026 年 reCAPTCHA v2 仍然会被绕过吗？
会。reCAPTCHA v2——无论是 checkbox 还是 invisible 变体——都可能被 CAPTCHA 解题服务绕过，这些服务会使用人工操作员或机器学习模型以编程方式完成挑战。复杂的机器人操作者会经常将这些服务集成进他们的自动化流水线。对大多数网站而言，大规模绕过挑战的经济成本仍足以阻止机会主义机器人。然而，对于那些攻击者有充分动机投资绕过基础设施的高价值目标，仅靠 v2 并不足够——应考虑使用带后端逻辑的 v3 或 Enterprise 级防护。
问：可以在同一个网站上组合使用多个 reCAPTCHA 版本吗？
可以，而且对于高风险应用来说，这通常是推荐做法。一个常见模式是在整个站点部署 v3 进行被动评分，并且仅当评分低于可接受阈值时（例如低于 0.5）才触发v2 checkbox 挑战。这样，大多数真实用户都能获得无感体验，而处于边界状态的会话则会收到强挑战。在 Premium 和 Enterprise 层级中，基于策略的挑战触发 可以自动化这一升级逻辑，而无需自定义后端分支代码。
reCAPTCHA 版本的选择，本质上是根据你的威胁暴露、用户体验要求、开发资源和预算进行校准的过程。自然的升级路径是：v2 → v3 → Premium → Enterprise。
正确的级别，是能够充分应对你实际威胁模型的最低那个级别——而不是现有方案中最复杂的那个。
如果你的开发或 QA 工作流需要与受 reCAPTCHA 保护的页面交互——无论是用于测试、抓取还是自动化——CapMonster Cloud 都提供可靠的解题 API，支持 reCAPTCHA v2（checkbox 和 invisible）、reCAPTCHA v3 以及 reCAPTCHA Enterprise。它通过简单的 REST API 集成，并兼容所有主流自动化框架。
如需了解有关 reCAPTCHA v2 的全部内容——包括小部件类型、API 设置以及 CapMonster Cloud 的解题能力——请访问 我们网站上的 reCAPTCHA v2 资源中心。
