# Капча на сайте: как защитить формы WordPress и 1С-Битрикс от спама URL: https://chugunov.pro/kapcha-na-sajt/ Обновлено: 01.10.2026. Источник: chugunov.pro. ## Коротко Яндекс капча на сайт — сервис SmartCaptcha — сегодня самый частый выбор для российских сайтов на WordPress и 1С-Битрикс: она проверяет посетителя на стороне Яндекса, работает без передачи данных в Google и в большинстве случаев пропускает людей без заданий. Альтернатива — Google reCAPTCHA, встроенная капча Битрикса и скрытые методы защиты вроде поля-ловушки и проверки времени заполнения. Капча решает одну задачу — отсекает автоматические отправки форм. Но она не спасёт от ручного спама и может сама стать причиной потери заявок, если настроена с ошибкой. Поэтому её ставят вместе с другими мерами и обязательно проверяют, что реальные заявки после установки доходят. | Способ защиты | Где работает | Плюсы | Минусы | | --- | --- | --- | --- | | Яндекс SmartCaptcha | Любой сайт | Российский сервис, часто без заданий | Нужен аккаунт в Yandex Cloud | | Google reCAPTCHA v2 и v3 | Любой сайт | Готовая интеграция во многих плагинах | Данные уходят в Google, бывают сбои доступности | | Встроенная капча Битрикса | 1С-Битрикс | Есть из коробки | Картинка с символами, неудобна людям | | Поле-ловушка и проверка времени | Любой сайт | Невидима для людей | Против простых ботов | | Антиспам-фильтры | WordPress, Битрикс | Проверяют содержимое | Бывают ложные срабатывания | ## Основная мысль **Капча — это не замок на форме, а фильтр с погрешностью: её выбирают по балансу между защитой и удобством, ставят в связке со скрытыми методами и после установки обязательно проверяют, что заявки от живых людей доходят, иначе сайт тихо теряет клиентов вместо спама.** Самая неприятная ситуация — не спам, а отсутствие заявок. Владелец ставит капчу, спам пропадает, и вместе с ним пропадают обращения клиентов. Причина бывает банальной: неверный ключ, закэшированная страница, конфликт скриптов. Форма показывает «Спасибо», а письмо так и не уходит. Вторая крайность — капча, которая мучает людей. Картинки с искажёнными буквами, выбор светофоров на десяти картинках, повторные проверки. Часть посетителей просто закрывает страницу. Для коммерческого сайта это прямые потери. Поэтому правильный подход — начать с невидимых методов, добавить современную капчу, которая чаще всего не требует действий от человека, и настроить контроль: цели в Метрике, копию заявок в CRM или почту, регулярную тестовую отправку. ## Откуда берётся спам и что может капча Спам через формы бывает трёх видов, и капча справляется не со всеми. ### Автоматические боты Скрипты обходят сайты, находят формы и отправляют в них рекламу, ссылки или мусор. Их большинство, и именно против них капча эффективна: бот не может пройти проверку или получает низкую оценку. ### Спам в регистрации и комментариях Боты регистрируют фиктивных пользователей, оставляют комментарии со ссылками, отправляют отзывы. Здесь капча тоже помогает, но её нужно ставить не только на форму обратной связи, а на все точки входа: регистрацию, восстановление пароля, комментарии, подписку. ### Ручной спам Живые люди, которым платят за рассылку, проходят любую капчу. Против них работают фильтры по содержимому, ограничения по частоте отправки и модерация. Если после установки капчи спам не уменьшился, скорее всего, он ручной. ### Чего капча не заменяет - Обновлений движка и плагинов: взлом через уязвимость капча не остановит. - Проверки данных на сервере: форма должна валидировать поля независимо от капчи. - Согласия на обработку персональных данных — это отдельное требование к форме. О нём подробнее в статье про [152-ФЗ и формы на сайте](https://chugunov.pro/sajt-i-152-fz-proverka/). ## Яндекс капча на сайт: как работает SmartCaptcha SmartCaptcha — сервис Яндекса внутри Yandex Cloud. Он анализирует поведение посетителя и технические признаки браузера. Если посетитель похож на человека, проверка проходит по нажатию на кнопку «Я не робот» или вообще без действий. Если есть сомнения, показывается задание. ### Режимы работы - **Обычный виджет.** На форме видна плашка с кнопкой. Посетитель нажимает её, и в большинстве случаев проверка сразу проходит. - **Невидимая капча.** Плашки нет, проверка запускается при отправке формы. Задание показывается только подозрительным посетителям. - **Сложность заданий** настраивается в консоли: можно сделать проверку мягче или строже. ### Как это устроено технически На странице подключается скрипт SmartCaptcha и размещается контейнер виджета с клиентским ключом. После прохождения проверки виджет добавляет в форму скрытое поле с токеном. Сервер сайта при обработке формы отправляет этот токен вместе с серверным ключом на проверочный адрес Яндекса и получает ответ: прошла проверка или нет. Ключевой момент — серверная проверка. Если сайт только показывает виджет, но не проверяет токен на сервере, бот может отправить форму напрямую, минуя страницу. Такую «декоративную» капчу встречают на сайтах чаще, чем хотелось бы. ### Стоимость Сервис работает в рамках Yandex Cloud, и для него нужен платёжный аккаунт. Условия тарификации и бесплатный объём проверок меняются, поэтому актуальные данные смотрите в документации Yandex Cloud до подключения. Для большинства небольших сайтов расходы на капчу несущественны, но аккаунт и платёжные данные всё равно потребуются. ## Как установить яндекс капчу на сайт: пошагово Порядок ниже подходит для любого движка. Отличаются только последние шаги — где вставить виджет и проверку. ### Подготовка в Yandex Cloud 1. Войдите в консоль Yandex Cloud и создайте платёжный аккаунт, если его ещё нет. 2. Откройте сервис SmartCaptcha и создайте новую капчу. 3. Укажите домены сайта, на которых будет работать виджет. Если сайт открывается и с www, и без, проверьте, как сервис учитывает поддомены. 4. Выберите вариант виджета и сложность заданий. 5. Скопируйте клиентский ключ для страницы и серверный ключ для проверки. Серверный ключ никому не передавайте и не вставляйте в код страницы. ### Подключение к сайту 1. Добавьте скрипт SmartCaptcha на страницы с формами. Лучше подключать его только там, где есть формы, а не на всём сайте. 2. Разместите контейнер виджета внутри формы, перед кнопкой отправки, с вашим клиентским ключом. 3. В обработчике формы на сервере получите токен из скрытого поля и отправьте запрос на проверку с серверным ключом. 4. Если проверка не пройдена, не отправляйте письмо и не создавайте заявку, а верните посетителю понятное сообщение. 5. Отправьте тестовую заявку и убедитесь, что она дошла в почту и CRM. Шаги 3 и 4 — это код на стороне сервера. На WordPress и Битриксе их либо закрывает готовый плагин или модуль, либо пишет разработчик. ## Как поставить капчу на сайт WordPress На WordPress капча подключается к конкретному плагину форм. Сама по себе она не защищает все формы сразу. ### Contact Form 7 капча У Contact Form 7 есть встроенная интеграция с Google reCAPTCHA v3: ключи вводятся в разделе интеграций плагина, после чего проверка работает на всех формах без правки шорткодов. Задания посетитель не видит, reCAPTCHA v3 выставляет оценку в фоне. Для Яндекс SmartCaptcha встроенной интеграции в Contact Form 7 нет. Её подключают отдельным плагином из каталога WordPress или небольшой доработкой: виджет добавляется в шаблон формы, а проверка токена — через хук валидации плагина. При выборе стороннего плагина смотрите на дату последнего обновления и совместимость с вашей версией Contact Form 7. В Contact Form 7 есть и простые штатные средства: поле-викторина с вопросом, на который человек знает ответ, и поддержка антиспам-фильтра Akismet. Для сайтов с небольшим потоком заявок этого иногда достаточно. ### Другие плагины форм Многие конструкторы форм для WordPress поддерживают reCAPTCHA, а часть — и другие капчи, прямо в настройках. Если плагин форм не умеет работать с нужной капчей, есть универсальные плагины капчи, которые встраиваются в формы входа, регистрации, комментариев и популярные плагины форм. Не ставьте несколько плагинов защиты одновременно: они конфликтуют и замедляют сайт. Подробнее о подборе плагинов — в статье про [плагины WordPress для сайта компании](https://chugunov.pro/plaginy-wordpress-dlya-sajta-kompanii/). А о том, как собрать форму, из которой заявки гарантированно доходят, — в разборе [формы обратной связи на WordPress](https://chugunov.pro/forma-obratnoj-svyazi-wordpress/). ### Формы входа и регистрации Страницу входа в админку и форму регистрации боты атакуют постоянно. Для них капча полезна не меньше, чем для заявок. Её добавляют через плагины безопасности или капчи, которые умеют встраиваться в стандартную форму входа WordPress. ## Как добавить капчу на сайт 1С-Битрикс В Битриксе есть своя капча из коробки, но она устаревшего вида: картинка с символами, которые нужно ввести в поле. ### Встроенная капча Во многих стандартных компонентах — веб-формах, регистрации, отзывах, комментариях — есть параметр использования CAPTCHA. Для регистрации и авторизации она включается в настройках главного модуля. Внешний вид картинки тоже настраивается там же. Встроенная капча надёжно отсекает простых ботов, но раздражает людей, особенно на телефоне. Для форм заявок её лучше заменить современной. ### Яндекс SmartCaptcha или reCAPTCHA Для Битрикса есть модули капчи в Marketplace — они встраиваются в стандартные компоненты. Второй путь — доработка шаблона компонента: виджет выводится в шаблоне формы, а проверка токена подключается через обработчик события перед сохранением результата. Второй путь надёжнее для нестандартных форм и не зависит от стороннего модуля. Если сайт работает в режиме композитного кэша, виджет должен загружаться динамически. Иначе в кэш попадёт страница со старым состоянием формы, и капча перестанет проходить. Как устроен кэш и как исключать из него блоки, разобрано в статье про [кэш в 1С-Битрикс](https://chugunov.pro/kesh-v-bitriks/). ### Формы Битрикс24 на сайте Если на сайте стоят CRM-формы Битрикс24, защита от спама настраивается в самой CRM-форме, а не на сайте. Проверьте её настройки отдельно — они не зависят от капчи сайта. ## Гугл капча на сайт: reCAPTCHA v2 и v3 Google reCAPTCHA знакома большинству разработчиков и поддерживается множеством плагинов. Версий две. ### reCAPTCHA v2 Классическая галочка «Я не робот» и задания с картинками. Есть невидимый вариант, который показывает задания только подозрительным посетителям. Работает по принципу «прошёл или нет». ### reCAPTCHA v3 Работает полностью в фоне и выставляет посетителю оценку от 0 до 1. Сайт сам решает, какой порог считать допустимым. Слишком высокий порог отсекает людей, слишком низкий пропускает ботов. Порог подбирают по результатам первых недель работы. ### Что учесть в России - Данные о посетителях передаются в Google. Для сайтов, которые стараются не передавать данные за рубеж, это аргумент в пользу российского сервиса. Юридическую оценку оставьте юристу. - Скрипты Google иногда загружаются медленно или с перебоями, и форма может перестать отправляться. - Значок reCAPTCHA v3 появляется в углу всех страниц, где подключён скрипт. Его можно скрыть только при соблюдении условий Google об уведомлении посетителей. ## Как сделать капчу на сайте невидимой: скрытые методы Лучшая защита — та, которую посетитель не замечает. Скрытые методы не заменяют капчу на сайтах с сильным спамом, но на многих сайтах их хватает. ### Поле-ловушка В форму добавляют поле, скрытое от людей стилями. Человек его не видит и не заполняет, а бот заполняет все поля подряд. Если поле заполнено — отправка отклоняется. ### Проверка времени заполнения Человек заполняет форму хотя бы несколько секунд. Бот отправляет её сразу после загрузки. Сервер сравнивает время загрузки формы и время отправки. ### Токен от JavaScript Форма получает скрытый токен только после выполнения скрипта в браузере. Простые боты без поддержки JavaScript его не получают. ### Ограничение частоты С одного адреса нельзя отправить больше нескольких заявок за короткое время. Это защищает и от ботов, и от ручного спама. | Метод | Против простых ботов | Против продвинутых ботов | Мешает людям | | --- | --- | --- | --- | | Поле-ловушка | Да | Частично | Нет | | Проверка времени | Да | Частично | Нет | | JS-токен | Да | Нет | Нет | | Ограничение частоты | Да | Да | Редко | | SmartCaptcha или reCAPTCHA | Да | Да | Иногда | ## Не работает капча на сайте: причины и что делать Когда капча ломается, возможны два сценария: она не пропускает людей или пропускает всех. Первый опаснее — заявки теряются. ### Частые причины - **Домен не указан в настройках капчи.** Особенно после переезда на новый домен или перехода с www на без www. - **Перепутаны ключи.** Клиентский ключ стоит в проверке, серверный — на странице, или ключи от другого проекта. - **Страница закэширована.** Кэш-плагин WordPress или композит Битрикса отдаёт старую форму с устаревшими данными. - **Скрипты отложены оптимизатором.** Плагины ускорения переносят или объединяют скрипты, и виджет не успевает инициализироваться. - **Сервер не может обратиться к проверочному адресу.** Хостинг блокирует исходящие запросы или не хватает корневых сертификатов. - **Конфликт с другим плагином или модулем.** Две капчи на одной форме, старая и новая. ### Порядок диагностики 1. Отправьте форму сами из обычного браузера и из режима инкогнито. 2. Откройте консоль браузера: ошибки загрузки скрипта капчи видны сразу. 3. Проверьте домены и ключи в консоли сервиса. 4. Исключите страницу с формой из кэша и из оптимизации скриптов, повторите отправку. 5. Посмотрите журнал ошибок сервера: там видно, дошёл ли запрос на проверку и что ответил сервис. 6. Если форма отправляется, но письма нет, проблема уже не в капче — разберите [приём заявок с сайта](https://chugunov.pro/priem-zayavok-s-sajta/) по цепочке. ## Капча, удобство и контроль заявок Любая капча — это ещё один шаг между посетителем и заявкой. Поэтому после установки смотрят не только на количество спама, но и на то, как изменились обращения от живых людей. ### Как не потерять людей - Выбирайте режимы, в которых большинство посетителей проходит проверку без заданий. - Размещайте виджет рядом с кнопкой отправки, чтобы он не терялся на телефоне. - Показывайте понятное сообщение, если проверка не пройдена, и сохраняйте введённые данные, чтобы человеку не пришлось заполнять форму заново. - Проверяйте форму с включённым увеличением шрифта и на небольшом экране: плашка капчи не должна перекрывать кнопку. ### Как измерить эффект Настройте цель на успешную отправку формы и сравните число заявок за несколько недель до и после установки. Как это сделать, описано в статье про [цели в Яндекс Метрике](https://chugunov.pro/celi-v-yandeks-metrike/). Если спама стало меньше, а реальных заявок — тоже заметно меньше, капча слишком строгая или работает с ошибкой. Полезно смотреть и на отказы в проверке. Большинство сервисов показывают статистику: сколько проверок пройдено, сколько отклонено. Резкий рост отклонённых проверок без роста спама — сигнал, что что-то сломалось на стороне сайта. ## Типичные ошибки и чек-лист Большинство проблем с капчей возникает из-за того, что её ставят один раз и больше не проверяют. ### Ошибки при установке - Виджет есть, серверной проверки нет. - Капча стоит на форме заявки, но не на регистрации и комментариях. - Серверный ключ вставлен в код страницы. - Скрипт капчи подключён на всех страницах сайта и замедляет загрузку. - После установки не проверили отправку с телефона. - Нет резервного канала: заявки уходят только на почту. ### Чек-лист 1. Выбран сервис капчи, домены указаны верно. 2. Ключи разделены: клиентский на странице, серверный только в коде обработчика. 3. Проверка токена выполняется на сервере. 4. Капча стоит на всех формах: заявки, регистрация, вход, комментарии. 5. Страницы с формами исключены из агрессивной оптимизации скриптов. 6. Добавлены скрытые методы: поле-ловушка, проверка времени. 7. Отправка проверена с компьютера и телефона. 8. Заявки дублируются в CRM или второй ящик, настроена цель в Метрике. 9. Раз в месяц делается тестовая отправка. ## Частые вопросы ### Как установить капчу на сайт без программиста? На WordPress — через плагин формы с поддержкой капчи или отдельный плагин капчи: ключи вставляются в настройках. На Битриксе встроенная капча включается в параметрах компонента. Для нестандартных форм нужна доработка. ### Как установить яндекс капчу на сайт на WordPress? Создайте капчу в Yandex Cloud, получите ключи и подключите их через плагин с поддержкой SmartCaptcha для вашего плагина форм. Если подходящего плагина нет, виджет и проверку добавляют в код темы или плагина. ### Какую капчу выбрать: Яндекс или Google? Для российского сайта чаще выбирают SmartCaptcha: сервис работает в России и не передаёт данные в Google. reCAPTCHA удобна, когда нужная интеграция уже встроена в плагин. ### Как поставить капчу на сайт на Битриксе? Встроенная капча включается в параметрах компонентов форм и в настройках главного модуля для регистрации. Современную капчу ставят модулем из Marketplace или доработкой шаблона формы. ### Почему не работает капча на сайте после переезда? Чаще всего в настройках капчи остался старый домен. Добавьте новый домен в консоли сервиса и очистите кэш сайта. ### Как добавить капчу на сайт в Contact Form 7? Для reCAPTCHA v3 введите ключи в разделе интеграций плагина. Для Яндекс SmartCaptcha используйте отдельный плагин или доработку. ### Замедляет ли капча сайт? Скрипт капчи добавляет загрузку. Подключайте его только на страницах с формами или загружайте при первом взаимодействии с формой. ### Как сделать капчу на сайте без раздражения для людей? Используйте невидимый режим и скрытые методы. Задания увидят только подозрительные посетители. ### Нужна ли капча, если спама мало? Если спама мало, достаточно поля-ловушки и проверки времени. Капчу ставят, когда скрытых методов не хватает. ### Нужно ли упоминать капчу в политике конфиденциальности? Сервис капчи получает технические данные посетителя: адрес, сведения о браузере, поведение на странице. Поэтому его обычно перечисляют среди сервисов, которые использует сайт. Как оформить документ, разобрано в статье про [политику конфиденциальности для сайта](https://chugunov.pro/politika-konfidencialnosti-dlya-sajta/), а формулировки лучше сверить с юристом. ## Итог Капча нужна любой форме, которую находят боты, но выбирать её нужно по балансу защиты и удобства. Яндекс SmartCaptcha — удобный вариант для российского сайта, reCAPTCHA — когда интеграция уже встроена в плагин, встроенная капча Битрикса — как временное решение. Главное — не ограничиваться виджетом. Проверка токена на сервере, скрытые методы, исключение форм из кэша и регулярная тестовая отправка превращают капчу из источника проблем в работающую защиту. Если нужно подключить капчу к формам WordPress, заменить устаревшую капчу на Битриксе или выяснить, почему перестали приходить заявки, я как частный разработчик возьму эту задачу: подключу защиту, проверю серверную часть и настрою контроль заявок. Работаю напрямую, без посредников. Подробнее — на странице [доработки сайта на WordPress](https://chugunov.pro/uslugi/dorabotka-sajta-wordpress/). - 12.10.2026 ## Связанное на сайте - Услуга [Перенос сайта на Битрикс](https://chugunov.pro/uslugi/perenos-sajta-na-bitriks/) - Справочник API [Справочник API 1С-Битрикс](https://chugunov.pro/api-bitrix/) - Глоссарий [Глоссарий: 1С-Битрикс](https://chugunov.pro/glossary/bitrix/) Автор статьи [Чугунов Алексей](https://chugunov.pro/about/) Fullstack-разработчик: 1С-Битрикс, WordPress, PHP [Обо мне](https://chugunov.pro/about/) Рубрики блога - [Продажи](https://chugunov.pro/category/sales/) 16 - [Продвижение](https://chugunov.pro/category/prodvizhenie/) 22 - [Создание сайтов](https://chugunov.pro/category/sozdanie-sajtov/) 75 - [Интересное](https://chugunov.pro/category/interesnoe/) 13 Остались вопросы? Отправьте сообщение, и я свяжусь с вами в ближайшее время Или звоните, сразу обсудим детали. [+7 (915) 016-99-88](tel:79150169988)