Яндекс капча на сайт: как защитить формы от спама

Коротко

Яндекс капча на сайт — сервис SmartCaptcha — сегодня самый частый выбор для российских сайтов на WordPress и 1С-Битрикс: она проверяет посетителя на стороне Яндекса, работает без передачи данных в Google и в большинстве случаев пропускает людей без заданий. Альтернатива — Google reCAPTCHA, встроенная капча Битрикса и скрытые методы защиты вроде поля-ловушки и проверки времени заполнения.

Капча решает одну задачу — отсекает автоматические отправки форм. Но она не спасёт от ручного спама и может сама стать причиной потери заявок, если настроена с ошибкой. Поэтому её ставят вместе с другими мерами и обязательно проверяют, что реальные заявки после установки доходят.

Способ защиты	Где работает	Плюсы	Минусы
Яндекс SmartCaptcha	Любой сайт	Российский сервис, часто без заданий	Нужен аккаунт в Yandex Cloud
Google reCAPTCHA v2 и v3	Любой сайт	Готовая интеграция во многих плагинах	Данные уходят в Google, бывают сбои доступности
Встроенная капча Битрикса	1С-Битрикс	Есть из коробки	Картинка с символами, неудобна людям
Поле-ловушка и проверка времени	Любой сайт	Невидима для людей	Против простых ботов
Антиспам-фильтры	WordPress, Битрикс	Проверяют содержимое	Бывают ложные срабатывания

Основная мысль

Капча — это не замок на форме, а фильтр с погрешностью: её выбирают по балансу между защитой и удобством, ставят в связке со скрытыми методами и после установки обязательно проверяют, что заявки от живых людей доходят, иначе сайт тихо теряет клиентов вместо спама.

Самая неприятная ситуация — не спам, а отсутствие заявок. Владелец ставит капчу, спам пропадает, и вместе с ним пропадают обращения клиентов. Причина бывает банальной: неверный ключ, закэшированная страница, конфликт скриптов. Форма показывает «Спасибо», а письмо так и не уходит.

Вторая крайность — капча, которая мучает людей. Картинки с искажёнными буквами, выбор светофоров на десяти картинках, повторные проверки. Часть посетителей просто закрывает страницу. Для коммерческого сайта это прямые потери.

Поэтому правильный подход — начать с невидимых методов, добавить современную капчу, которая чаще всего не требует действий от человека, и настроить контроль: цели в Метрике, копию заявок в CRM или почту, регулярную тестовую отправку.

Откуда берётся спам и что может капча

Спам через формы бывает трёх видов, и капча справляется не со всеми.

Автоматические боты

Скрипты обходят сайты, находят формы и отправляют в них рекламу, ссылки или мусор. Их большинство, и именно против них капча эффективна: бот не может пройти проверку или получает низкую оценку.

Спам в регистрации и комментариях

Боты регистрируют фиктивных пользователей, оставляют комментарии со ссылками, отправляют отзывы. Здесь капча тоже помогает, но её нужно ставить не только на форму обратной связи, а на все точки входа: регистрацию, восстановление пароля, комментарии, подписку.

Ручной спам

Живые люди, которым платят за рассылку, проходят любую капчу. Против них работают фильтры по содержимому, ограничения по частоте отправки и модерация. Если после установки капчи спам не уменьшился, скорее всего, он ручной.

Чего капча не заменяет

Обновлений движка и плагинов: взлом через уязвимость капча не остановит.
Проверки данных на сервере: форма должна валидировать поля независимо от капчи.
Согласия на обработку персональных данных — это отдельное требование к форме. О нём подробнее в статье про 152-ФЗ и формы на сайте.

Яндекс капча на сайт: как работает SmartCaptcha

SmartCaptcha — сервис Яндекса внутри Yandex Cloud. Он анализирует поведение посетителя и технические признаки браузера. Если посетитель похож на человека, проверка проходит по нажатию на кнопку «Я не робот» или вообще без действий. Если есть сомнения, показывается задание.

Режимы работы

Обычный виджет. На форме видна плашка с кнопкой. Посетитель нажимает её, и в большинстве случаев проверка сразу проходит.
Невидимая капча. Плашки нет, проверка запускается при отправке формы. Задание показывается только подозрительным посетителям.
Сложность заданий настраивается в консоли: можно сделать проверку мягче или строже.

Как это устроено технически

На странице подключается скрипт SmartCaptcha и размещается контейнер виджета с клиентским ключом. После прохождения проверки виджет добавляет в форму скрытое поле с токеном. Сервер сайта при обработке формы отправляет этот токен вместе с серверным ключом на проверочный адрес Яндекса и получает ответ: прошла проверка или нет.

Ключевой момент — серверная проверка. Если сайт только показывает виджет, но не проверяет токен на сервере, бот может отправить форму напрямую, минуя страницу. Такую «декоративную» капчу встречают на сайтах чаще, чем хотелось бы.

Стоимость

Сервис работает в рамках Yandex Cloud, и для него нужен платёжный аккаунт. Условия тарификации и бесплатный объём проверок меняются, поэтому актуальные данные смотрите в документации Yandex Cloud до подключения. Для большинства небольших сайтов расходы на капчу несущественны, но аккаунт и платёжные данные всё равно потребуются.

Как установить яндекс капчу на сайт: пошагово

Порядок ниже подходит для любого движка. Отличаются только последние шаги — где вставить виджет и проверку.

Подготовка в Yandex Cloud

Войдите в консоль Yandex Cloud и создайте платёжный аккаунт, если его ещё нет.
Откройте сервис SmartCaptcha и создайте новую капчу.
Укажите домены сайта, на которых будет работать виджет. Если сайт открывается и с www, и без, проверьте, как сервис учитывает поддомены.
Выберите вариант виджета и сложность заданий.
Скопируйте клиентский ключ для страницы и серверный ключ для проверки. Серверный ключ никому не передавайте и не вставляйте в код страницы.

Подключение к сайту

Добавьте скрипт SmartCaptcha на страницы с формами. Лучше подключать его только там, где есть формы, а не на всём сайте.
Разместите контейнер виджета внутри формы, перед кнопкой отправки, с вашим клиентским ключом.
В обработчике формы на сервере получите токен из скрытого поля и отправьте запрос на проверку с серверным ключом.
Если проверка не пройдена, не отправляйте письмо и не создавайте заявку, а верните посетителю понятное сообщение.
Отправьте тестовую заявку и убедитесь, что она дошла в почту и CRM.

Шаги 3 и 4 — это код на стороне сервера. На WordPress и Битриксе их либо закрывает готовый плагин или модуль, либо пишет разработчик.

Как поставить капчу на сайт WordPress

На WordPress капча подключается к конкретному плагину форм. Сама по себе она не защищает все формы сразу.

Contact Form 7 капча

У Contact Form 7 есть встроенная интеграция с Google reCAPTCHA v3: ключи вводятся в разделе интеграций плагина, после чего проверка работает на всех формах без правки шорткодов. Задания посетитель не видит, reCAPTCHA v3 выставляет оценку в фоне.

Для Яндекс SmartCaptcha встроенной интеграции в Contact Form 7 нет. Её подключают отдельным плагином из каталога WordPress или небольшой доработкой: виджет добавляется в шаблон формы, а проверка токена — через хук валидации плагина. При выборе стороннего плагина смотрите на дату последнего обновления и совместимость с вашей версией Contact Form 7.

В Contact Form 7 есть и простые штатные средства: поле-викторина с вопросом, на который человек знает ответ, и поддержка антиспам-фильтра Akismet. Для сайтов с небольшим потоком заявок этого иногда достаточно.

Другие плагины форм

Многие конструкторы форм для WordPress поддерживают reCAPTCHA, а часть — и другие капчи, прямо в настройках. Если плагин форм не умеет работать с нужной капчей, есть универсальные плагины капчи, которые встраиваются в формы входа, регистрации, комментариев и популярные плагины форм.

Не ставьте несколько плагинов защиты одновременно: они конфликтуют и замедляют сайт. Подробнее о подборе плагинов — в статье про плагины WordPress для сайта компании. А о том, как собрать форму, из которой заявки гарантированно доходят, — в разборе формы обратной связи на WordPress.

Формы входа и регистрации

Страницу входа в админку и форму регистрации боты атакуют постоянно. Для них капча полезна не меньше, чем для заявок. Её добавляют через плагины безопасности или капчи, которые умеют встраиваться в стандартную форму входа WordPress.

Как добавить капчу на сайт 1С-Битрикс

В Битриксе есть своя капча из коробки, но она устаревшего вида: картинка с символами, которые нужно ввести в поле.

Встроенная капча

Во многих стандартных компонентах — веб-формах, регистрации, отзывах, комментариях — есть параметр использования CAPTCHA. Для регистрации и авторизации она включается в настройках главного модуля. Внешний вид картинки тоже настраивается там же.

Встроенная капча надёжно отсекает простых ботов, но раздражает людей, особенно на телефоне. Для форм заявок её лучше заменить современной.

Яндекс SmartCaptcha или reCAPTCHA

Для Битрикса есть модули капчи в Marketplace — они встраиваются в стандартные компоненты. Второй путь — доработка шаблона компонента: виджет выводится в шаблоне формы, а проверка токена подключается через обработчик события перед сохранением результата. Второй путь надёжнее для нестандартных форм и не зависит от стороннего модуля.

Если сайт работает в режиме композитного кэша, виджет должен загружаться динамически. Иначе в кэш попадёт страница со старым состоянием формы, и капча перестанет проходить. Как устроен кэш и как исключать из него блоки, разобрано в статье про кэш в 1С-Битрикс.

Формы Битрикс24 на сайте

Если на сайте стоят CRM-формы Битрикс24, защита от спама настраивается в самой CRM-форме, а не на сайте. Проверьте её настройки отдельно — они не зависят от капчи сайта.

Гугл капча на сайт: reCAPTCHA v2 и v3

Google reCAPTCHA знакома большинству разработчиков и поддерживается множеством плагинов. Версий две.

reCAPTCHA v2

Классическая галочка «Я не робот» и задания с картинками. Есть невидимый вариант, который показывает задания только подозрительным посетителям. Работает по принципу «прошёл или нет».

reCAPTCHA v3

Работает полностью в фоне и выставляет посетителю оценку от 0 до 1. Сайт сам решает, какой порог считать допустимым. Слишком высокий порог отсекает людей, слишком низкий пропускает ботов. Порог подбирают по результатам первых недель работы.

Что учесть в России

Данные о посетителях передаются в Google. Для сайтов, которые стараются не передавать данные за рубеж, это аргумент в пользу российского сервиса. Юридическую оценку оставьте юристу.
Скрипты Google иногда загружаются медленно или с перебоями, и форма может перестать отправляться.
Значок reCAPTCHA v3 появляется в углу всех страниц, где подключён скрипт. Его можно скрыть только при соблюдении условий Google об уведомлении посетителей.

Как сделать капчу на сайте невидимой: скрытые методы

Лучшая защита — та, которую посетитель не замечает. Скрытые методы не заменяют капчу на сайтах с сильным спамом, но на многих сайтах их хватает.

Поле-ловушка

В форму добавляют поле, скрытое от людей стилями. Человек его не видит и не заполняет, а бот заполняет все поля подряд. Если поле заполнено — отправка отклоняется.

Проверка времени заполнения

Человек заполняет форму хотя бы несколько секунд. Бот отправляет её сразу после загрузки. Сервер сравнивает время загрузки формы и время отправки.

Токен от JavaScript

Форма получает скрытый токен только после выполнения скрипта в браузере. Простые боты без поддержки JavaScript его не получают.

Ограничение частоты

С одного адреса нельзя отправить больше нескольких заявок за короткое время. Это защищает и от ботов, и от ручного спама.

Метод	Против простых ботов	Против продвинутых ботов	Мешает людям
Поле-ловушка	Да	Частично	Нет
Проверка времени	Да	Частично	Нет
JS-токен	Да	Нет	Нет
Ограничение частоты	Да	Да	Редко
SmartCaptcha или reCAPTCHA	Да	Да	Иногда

Не работает капча на сайте: причины и что делать

Когда капча ломается, возможны два сценария: она не пропускает людей или пропускает всех. Первый опаснее — заявки теряются.

Частые причины

Домен не указан в настройках капчи. Особенно после переезда на новый домен или перехода с www на без www.
Перепутаны ключи. Клиентский ключ стоит в проверке, серверный — на странице, или ключи от другого проекта.
Страница закэширована. Кэш-плагин WordPress или композит Битрикса отдаёт старую форму с устаревшими данными.
Скрипты отложены оптимизатором. Плагины ускорения переносят или объединяют скрипты, и виджет не успевает инициализироваться.
Сервер не может обратиться к проверочному адресу. Хостинг блокирует исходящие запросы или не хватает корневых сертификатов.
Конфликт с другим плагином или модулем. Две капчи на одной форме, старая и новая.

Порядок диагностики

Отправьте форму сами из обычного браузера и из режима инкогнито.
Откройте консоль браузера: ошибки загрузки скрипта капчи видны сразу.
Проверьте домены и ключи в консоли сервиса.
Исключите страницу с формой из кэша и из оптимизации скриптов, повторите отправку.
Посмотрите журнал ошибок сервера: там видно, дошёл ли запрос на проверку и что ответил сервис.
Если форма отправляется, но письма нет, проблема уже не в капче — разберите приём заявок с сайта по цепочке.

Капча, удобство и контроль заявок

Любая капча — это ещё один шаг между посетителем и заявкой. Поэтому после установки смотрят не только на количество спама, но и на то, как изменились обращения от живых людей.

Как не потерять людей

Выбирайте режимы, в которых большинство посетителей проходит проверку без заданий.
Размещайте виджет рядом с кнопкой отправки, чтобы он не терялся на телефоне.
Показывайте понятное сообщение, если проверка не пройдена, и сохраняйте введённые данные, чтобы человеку не пришлось заполнять форму заново.
Проверяйте форму с включённым увеличением шрифта и на небольшом экране: плашка капчи не должна перекрывать кнопку.

Как измерить эффект

Настройте цель на успешную отправку формы и сравните число заявок за несколько недель до и после установки. Как это сделать, описано в статье про цели в Яндекс Метрике. Если спама стало меньше, а реальных заявок — тоже заметно меньше, капча слишком строгая или работает с ошибкой.

Полезно смотреть и на отказы в проверке. Большинство сервисов показывают статистику: сколько проверок пройдено, сколько отклонено. Резкий рост отклонённых проверок без роста спама — сигнал, что что-то сломалось на стороне сайта.

Типичные ошибки и чек-лист

Большинство проблем с капчей возникает из-за того, что её ставят один раз и больше не проверяют.

Ошибки при установке

Виджет есть, серверной проверки нет.
Капча стоит на форме заявки, но не на регистрации и комментариях.
Серверный ключ вставлен в код страницы.
Скрипт капчи подключён на всех страницах сайта и замедляет загрузку.
После установки не проверили отправку с телефона.
Нет резервного канала: заявки уходят только на почту.

Чек-лист

Выбран сервис капчи, домены указаны верно.
Ключи разделены: клиентский на странице, серверный только в коде обработчика.
Проверка токена выполняется на сервере.
Капча стоит на всех формах: заявки, регистрация, вход, комментарии.
Страницы с формами исключены из агрессивной оптимизации скриптов.
Добавлены скрытые методы: поле-ловушка, проверка времени.
Отправка проверена с компьютера и телефона.
Заявки дублируются в CRM или второй ящик, настроена цель в Метрике.
Раз в месяц делается тестовая отправка.

Частые вопросы

Как установить капчу на сайт без программиста?

На WordPress — через плагин формы с поддержкой капчи или отдельный плагин капчи: ключи вставляются в настройках. На Битриксе встроенная капча включается в параметрах компонента. Для нестандартных форм нужна доработка.

Как установить яндекс капчу на сайт на WordPress?

Создайте капчу в Yandex Cloud, получите ключи и подключите их через плагин с поддержкой SmartCaptcha для вашего плагина форм. Если подходящего плагина нет, виджет и проверку добавляют в код темы или плагина.

Какую капчу выбрать: Яндекс или Google?

Для российского сайта чаще выбирают SmartCaptcha: сервис работает в России и не передаёт данные в Google. reCAPTCHA удобна, когда нужная интеграция уже встроена в плагин.

Как поставить капчу на сайт на Битриксе?

Встроенная капча включается в параметрах компонентов форм и в настройках главного модуля для регистрации. Современную капчу ставят модулем из Marketplace или доработкой шаблона формы.

Почему не работает капча на сайте после переезда?

Чаще всего в настройках капчи остался старый домен. Добавьте новый домен в консоли сервиса и очистите кэш сайта.

Как добавить капчу на сайт в Contact Form 7?

Для reCAPTCHA v3 введите ключи в разделе интеграций плагина. Для Яндекс SmartCaptcha используйте отдельный плагин или доработку.

Замедляет ли капча сайт?

Скрипт капчи добавляет загрузку. Подключайте его только на страницах с формами или загружайте при первом взаимодействии с формой.

Как сделать капчу на сайте без раздражения для людей?

Используйте невидимый режим и скрытые методы. Задания увидят только подозрительные посетители.

Нужна ли капча, если спама мало?

Если спама мало, достаточно поля-ловушки и проверки времени. Капчу ставят, когда скрытых методов не хватает.

Нужно ли упоминать капчу в политике конфиденциальности?

Сервис капчи получает технические данные посетителя: адрес, сведения о браузере, поведение на странице. Поэтому его обычно перечисляют среди сервисов, которые использует сайт. Как оформить документ, разобрано в статье про политику конфиденциальности для сайта, а формулировки лучше сверить с юристом.

Итог

Капча нужна любой форме, которую находят боты, но выбирать её нужно по балансу защиты и удобства. Яндекс SmartCaptcha — удобный вариант для российского сайта, reCAPTCHA — когда интеграция уже встроена в плагин, встроенная капча Битрикса — как временное решение.

Главное — не ограничиваться виджетом. Проверка токена на сервере, скрытые методы, исключение форм из кэша и регулярная тестовая отправка превращают капчу из источника проблем в работающую защиту.

Если нужно подключить капчу к формам WordPress, заменить устаревшую капчу на Битриксе или выяснить, почему перестали приходить заявки, я как частный разработчик возьму эту задачу: подключу защиту, проверю серверную часть и настрою контроль заявок. Работаю напрямую, без посредников. Подробнее — на странице доработки сайта на WordPress.