Почему я убрал CAPTCHA со своей формы обратной связи

Какое-то время моя форма обратной связи заставляла каждого посетителя ставить галочку «докажите, что вы человек», прежде чем до меня добраться. Спам всё равно приходил. Не так много, но достаточно, чтобы я открывал почту и видел ту же бессмыслицу, теперь с маленьким значком, что робот заверил её как не-робота. Однажды утром, удаляя очередное такое письмо, я поймал абсурд ситуации: я брал пошлину ровно с тех людей, от которых больше всего хотел писем, и почти не мешал тем, против кого пошлина была задумана.

И я убрал галочку. Спама стало меньше, а не больше. А людям, до которых мне действительно важно достучаться, больше не нужно зарабатывать право написать мне. Звучит наоборот, поэтому объясню точно, какое решение я принял: механика тут важна меньше, чем суждение за ней.

TL;DR

• Головоломка, которая облагает налогом каждого живого посетителя ради поимки нескольких ботов, - плохая сделка, а страница «наймите меня» не может позволить себе терять настоящие письма.
• Я убрал трение вместо того, чтобы добавить ещё, и спам всё равно упал: тихая защита, пришедшая на замену, невидима для живых людей.
• Ещё я отказался отдавать форму стороннему виджету: входная дверь слишком важна, чтобы её арендовать.

Чего мне на самом деле стоила галочка

Проверки «докажите, что вы человек» никогда не бесплатны. Часть посетителей бросает на полпути. Часть вообще не может их решить - реальный барьер для любого с нарушением зрения или моторики. И они становятся всё сложнее по мере того, как умнеют боты.

Для личного сайта, который существует ради начала разговоров, это худшее место терять людей. Форма обратной связи - тот единственный момент, когда незнакомец решает, что я стою усилий написать. Я портил опыт посетителям, которых хотел, чтобы слегка позлить тех, кого не хотел.

Более тихий способ

Как только я сформулировал это так, ответ стал очевиден. Перестать просить человека что-либо доказывать. Пусть бот выдаст себя сам.

Более чистый подход меняет того, кто несёт нагрузку. Живой человек в обычном браузере проходит насквозь и даже не замечает, что защита была. Бот ведёт себя как бот, и именно это его выдаёт. Точный рецепт я опущу: опубликованная пошаговая инструкция лишь учит спамеров, что обходить, да и суть была не в рецепте. Суть в суждении: головоломка заставляет всех доказывать, что они не роботы; тихий подход позволяет только роботам выдать себя.

Это не идеально; самые умные боты могут научиться обходить известный приём. Но он останавливает подавляющую массу автоматического мусора при нулевой цене для живых посетителей - сделка куда лучше, чем вечно просить всех решать головоломки.

Часть, о которой я думаю больше: не арендуйте собственную входную дверь

Было и второе решение, и именно его я стал бы защищать на совещании.

Лёгкий путь - вставить популярный сторонний виджет проверки и жить дальше. Бесплатно, пара минут работы, все так делают. Но форма обратной связи - это место, через которое проходят письма моих посетителей и часть их данных по пути ко мне. Отдать это внешнему сервису значит поставить незнакомца между мной и людьми, которые пытаются до меня достучаться. Сломается их виджет - сломается моя форма. Поменяют условия - моя входная дверь поменяется вместе с ними. И я бы тихо скармливал данные посетителей третьей стороне, на которую они не соглашались.

Поэтому я оставил её в своих руках. Не потому, что собрать самому - это ловко, а потому, что некоторые точки контакта слишком важны, чтобы отдавать их на сторону. Правило, которое я бы вручил любому, кто ведёт сайт или продукт: арендуйте то, что не страшно, если пошатнётся, и владейте тем немногим, что по-настоящему ударит, если поставщик выдернет ковёр.

Что это значит, если у вас сайт или продукт

Посмотрите, где вы заставляете честных клиентов доказывать себя. Если ваша форма, регистрация или оплата опираются на проверочные головоломки, вы, скорее всего, теряете живых людей на трении, которое можно просто убрать. Лучший первый вопрос: можно ли снять барьер и всё равно ловить плохих актёров по тому, что они делают иначе.

Рефлекс со спамом, как и с большинством проблем, - заставить всех делать больше. Лучший ход был заставить моих живых посетителей делать меньше и оставить дверь, в которую они стучатся, в своих руках. Так что посмотрите на свои формы и зависимости: где вы берёте пошлину с лучших клиентов за право войти и какие из ваших критичных входных дверей вы тихо отдали кому-то другому?