Капча - не проблема, а уведомление о том, что вы провалились

Вы упираетесь в капчу, решаете её, идёте дальше - и через три сессии упираетесь в следующую. Шаблон повторяется достаточно часто, чтобы люди сочли препятствием саму капчу и начали искать способ пройти её быстрее или дешевле. Такая рамка перевёрнута. Капча - это результат решения, которое сайт уже принял о вашей сессии. Решив её, вы отвечаете на заданный сайтом вопрос, но не меняете тот ответ, который он дал о вас.

Что на самом деле вызывает испытание

Капча редко срабатывает сама по себе. Обычно это видимая половина оценки риска, собранной из нескольких входов, и какой именно вход перевесил, зависит от сайта:

• Репутация сети. IP замечен в диапазоне дата-центра, или в домашнем диапазоне, уже помеченном за автоматизацию, или сделал необычно много запросов за короткое окно.
• Отпечаток TLS и транспорта. Рукопожатие TLS клиента (порядок шифров, расширения, ALPN) не совпадает с тем, что обычно отправляет заявленный браузер. Эта проверка происходит до выполнения хоть одной строки JavaScript страницы, поэтому никакая скрытность внутри страницы её не чинит.
• Противоречие в отпечатке. Браузер заявляет одну платформу в user agent и другую - в шрифтах, рендерере видеокарты или часовом поясе. Одной несостыковки часто достаточно, чтобы сессия переехала из «доверять» в «проверить».
• Поведение. Движения мыши, характер прокрутки, тайминги между действиями. Сессия, которая от загрузки страницы до отправки формы укладывается в секунду, и так каждый раз, читается как скриптованная независимо от того, как выглядит отпечаток.

Капча - это точка, где сайт перестаёт доверять сессии настолько, чтобы пропустить её молча, и просит ручное доказательство. Порог обычно пересекается ещё до того, как испытание отрисуется.

Почему решать - дорогой способ

Сервис решения берёт деньги за каждое испытание. Если лежащая под ним оценка не сдвинулась, следующая сессия с той же сетью, тем же противоречием в отпечатке или тем же характером поведения получит испытание снова, и вы заплатите снова. Хуже того, часть систем учитывает в будущих оценках как часто личность получала испытания, поэтому история повторных испытаний может делать следующее более вероятным, а не менее. Вы платите повторяющуюся плату за латание симптома, который отрастает каждую сессию.

Починка того входа, который поднял оценку, не стоит ничего за попытку. Чистый и географически уместный прокси закрывает репутацию сети. Отпечаток, который сходится сам с собой и продолжает сходиться после перезапуска, закрывает проверку на противоречия. Не пробегать форму так, как это делает скрипт, закрывает поведение. Ни одно из этого не разовая покупка, это свойства той схемы, которой вы и так пользуетесь.

Когда платить за решение действительно правильно

Это не довод о том, что сервисы решения бесполезны. Три случая, когда платить - верное решение, а не костыль:

• Доступность. Часть пользователей не может надёжно проходить некоторые форматы испытаний независимо от намерений, и сервис решения, используемый для честного доступа к своему аккаунту, - законное приспособление, а не обход.
• Разовые случаи при малых объёмах. Если вы упёрлись в одно испытание на одном аккаунте, которым пользуетесь обычным образом, решить его и идти дальше дешевле и быстрее, чем ревизовать всю схему из-за единичного события. Чинить вход стоит, когда испытание повторяется, а не когда оно случилось однажды.
• Безусловные испытания. Некоторые страницы ставят испытание перед каждым посетителем, залогиненным или нет, скриптом или человеком, с хорошей сетью или плохой. Если испытание не вызвано риском, никакая починка отпечатка, прокси или поведения его не уберёт, потому что оно никогда не было суждением о вас. В этом случае решение - не борьба с оценкой, а просто плата за проход на эту страницу, и законного способа дешевле нет.

Различать это важно. Испытание, которое видят лишь некоторые посетители, - оценка. Испытание, которое видят все, - шлагбаум. Чинить на уровне входов стоит только первое.

Как понять, с чем вы имеете дело

Прежде чем решать, чинить входы или просто платить за каждое решение, проверьте, условное ли испытание:

• Откройте ту же страницу из другой сети и под другим аккаунтом или в обычном браузере вообще без автоматизации. Если испытание всё равно появляется каждый раз и у всех, оно безусловное, и починка вашей схемы его не уберёт.
• Если оно появляется у автоматизированных сессий, но не при ручном заходе из той же сети, дело в отпечатке или поведении, а не в сети.
• Если оно появляется даже при ручном заходе, когда подключён прокси, но не появляется без него, дело в репутации сети.

Послойный разбор того, что на самом деле оценивают антибот-системы, - в статье как антибот-системы решают, что вы бот, а сторона истории аккаунта в повторяющихся испытаниях - в статье почему аккаунты получают пометки. Ни браузер, ни прокси не могут обещать сессию без испытаний; они могут лишь убрать причины, по которым сессия его заслуживает.