CAPTCHA

Для российских сайтов выбор CAPTCHA в 2026 году перестал быть чисто технической задачей «защиты от ботов». Google reCAPTCHA с июля 2025 года напрямую конфликтует с требованиями 152-ФЗ о локализации персональных данных: при отправке формы браузерные отпечатки и поведенческие данные уходят на зарубежные серверы, а по практике применения закона использование Google reCAPTCHA для защиты от спама рассматривается как сбор персональных данных, который должен выполняться с использованием баз данных, находящихся на территории РФ.

Штрафы за нарушения начинаются от миллионов рублей. К этому добавляются неопределённость с оплатой, нестабильность загрузки скриптов и скрытые затраты на производительность страниц. В этих условиях российский рынок перестал быть пустым: помимо хорошо известного Yandex SmartCaptcha, появились зрелые альтернативы от профильных отечественных провайдеров — в частности, dCAPTCHA от DDoS-Guard.

 От внутреннего инструмента DDoS-защиты к самостоятельному продукту

dCAPTCHA — не поспешная реакция на спрос. Её механизм проверки более трёх лет работал внутри защитного контура DDoS-Guard как финальный этап проверки запросов. DDoS-Guard специализируется на защите от DDoS-атак и глубоком анализе сетевого трафика; масштабы обрабатываемых данных и собственная аналитическая база напрямую влияют на качество распознавания автоматизированных запросов. По словам продукт-менеджера DDoS-Guard, клиенты, познакомившись с внутренним инструментом, сами начали просить применить его для защиты форм — именно это вывело его из «бэкенда» в публичный продукт.

Эта предыстория объясняет ключевую особенность технического подхода российской капчи: логика проверки не зависит от сторонних данных или моделей и полностью работает на собственной инфраструктуре, будучи отвязанной от какого-либо CDN или хостинга. Для команд, опасающихся зависимостей в цепочке поставок, это реальное отличие.

 Логика проверки: сначала «не мешать»

По умолчанию dCAPTCHA идёт по пути невидимой проверки. Пользователь нажимает на виджет, система в фоне анализирует отпечаток браузера и характеристики запроса — если посещение признано легитимным, оно пропускается без каких-либо текстовых или графических заданий. Ручная верификация срабатывает только тогда, когда поведенческие сигналы попадают в подозрительный диапазон: тогда показывается собственная текстовая CAPTCHA.

Такая двухуровневая схема не нова — похожие механизмы есть у Yandex SmartCaptcha и hCaptcha. Отличие dCAPTCHA в источнике сигналов: DDoS-Guard годами решает задачу различения пользователей и ботов именно в контексте DDoS-атак, и его скоринговая модель напрямую выигрывает от постоянного наблюдения за паттернами вредоносного трафика. Иными словами, в вопросе «какой запрос выглядит как атака» у него больше вертикально накопленных данных, чем у универсальных CAPTCHA-сервисов.

Функционально dCAPTCHA закрывает основные сценарии: стандартный чекбокс («Я не робот»), Invisible-режим без кликов, а при подозрительной активности — текстовые и графические задания. По возможностям сервис не уступает популярным зарубежным аналогам. Для команд, мигрирующих с reCAPTCHA или hCaptcha, предусмотрено руководство по замене — объём правок кода при переключении скрипта небольшой. Дополнительно доступна детальная статистика по каждому ключу: в консоли можно смотреть прохождение по каждому экземпляру проверки — для оператора это важный уровень детализации, позволяющий понять, «действительно ли боты отсекаются или страдают реальные пользователи».

 Модель тарификации: платите только за прохождения

Правило биллинга dCAPTCHA стоит объяснить отдельно: оплачиваются только успешные прохождения проверки, заблокированные запросы ботов в расход не идут. Это означает, что робот-атака на форму не создаёт дополнительного счёта — чем интенсивнее атака, тем больше недействительных запросов отсекается, а база для расчёта остаётся чище.

Бесплатный тариф предоставляет 100 000 успешных проверок в месяц — для большинства малых и средних проектов этого с запасом хватает на все задачи защиты форм. Обработка сверх лимита тоже отдана на выбор пользователя: можно выставить «пропускать всё» (запросы сверх лимита проходят без проверки, сервис фактически остаётся бесплатным) либо выбрать оплату по факту и продолжать верификацию. Такая передача контроля-оператору лучше соответствует реальным возможностям малых проектов, чем автоматическое списание или принудительный апгрейд.

Стоит учитывать: dCAPTCHA сейчас находится в стадии бета, DDoS-Guard прямо говорит, что функциональность дорабатывается, а для ранних adopters лимиты расширены. Для тех, кто планирует долгосрочное использование, это означает, что условия и интерфейс могут меняться — интеграцию разумно начинать с некритичных форм.

 Место среди аналогичных решений

На российском рынке Yandex SmartCaptcha — тот ориентир, которого dCAPTCHA не может избежать. Сильные стороны SmartCaptcha — глубокая интеграция с экосистемой Яндекса и узнаваемость бренда, её текстовая CAPTCHA также отшлифована массовым трафиком. Отличие dCAPTCHA в том, что она приходит от компании, для которой DDoS-защита — основной бизнес, а сам сервис верификации можно использовать независимо, без привязки к другим продуктам DDoS-Guard. Для сайтов, уже использующих другой CDN или защитное решение, такая независимость снижает стоимость миграции.

При горизонтальном сравнении: Google reCAPTCHA v3 зрел в части незаметности, но упомянутая проблема сбора данных по 152-ФЗ внутри РФ не обходится. hCaptcha и Cloudflare Turnstile также сталкиваются с реалиями трансграничной передачи данных и платёжных каналов. Ценность dCAPTCHA не в том, что она «лучше всех международных продуктов», а в том, что в локальной рамке — комплаентной, оплачиваемой, стабильно загружаемой — она даёт паритетный набор ключевых возможностей верификации.

 Когда имеет смысл присмотреться

dCAPTCHA подходит для следующих сценариев: сайт ориентирован преимущественно на российских пользователей, на формах или эндпоинтах входа заметно автоматизированное злоупотребление, и при этом не хочется из-за CAPTCHA провоцировать проверку на соблюдение законодательства о персональных данных. Командам, оценивающим замену импортной CAPTCHA, разумно сначала прогнать интеграцию на бесплатном тарифе на некритичной форме, посмотреть на долю прохождений и эффект блокировки — и только потом решать, расширять ли её на все ключевые пути сайта.