選擇適當的車鑰類型

reCAPTCHA 金鑰 (也稱為金鑰) 可驗證網頁和行動應用程式上的使用者互動，保護端點。

如要選擇合適的 reCAPTCHA 金鑰類型，您必須瞭解各平台支援的金鑰類型及其差異。

reCAPTCHA 金鑰類型

下表列出各平台支援的 reCAPTCHA 金鑰：

平台 說明 支援的金鑰 驗證類型
網路 用於整合網頁。 分數型金鑰 SCORE
核取方塊鍵 CHECKBOX
策略型驗證金鑰 POLICY_BASED_CHALLENGE
行動裝置 與 Android 和 iOS 應用程式整合。 Android 適用的 reCAPTCHA 金鑰 SCORE
iOS 適用的 reCAPTCHA 金鑰 SCORE
WAF 適用於透過 WAF 或邊緣運算伺服器提供的網頁和 API。 動作符記金鑰 SCORE 和 CHECKBOX
工作階段符記金鑰 SCORE
challenge-page 金鑰 INVISIBLE
API 用於整合不支援 reCAPTCHA JavaScript 或行動 SDK 的 API 或用戶端 (例如 IoT 裝置)。 ExpressKey 快捷鍵 SCORE

選擇網站適用的 reCAPTCHA 金鑰類型

為驗證網站上的使用者互動，reCAPTCHA 提供評分金鑰 (不會觸發 CAPTCHA 驗證問題)、核取方塊金鑰 (會觸發非確定性 CAPTCHA 驗證問題)，以及政策驗證問題金鑰 (會觸發確定性 CAPTCHA 驗證問題)。

所有金鑰類型都會根據使用者與網站的互動，為每項要求傳回分數。您可以根據這個分數，判斷互動行為的風險等級，並為網站採取適當行動。

下表摘要說明評分式金鑰、核取方塊金鑰和政策式驗證金鑰之間的差異：

比較類別 分數型金鑰 (建議) 核取方塊鍵 政策型驗證機制金鑰
說明 使用評分式金鑰時，使用者不必操作，即可驗證互動是否正當。

核取方塊金鑰會使用核取方塊驗證問題，要求使用者操作，以驗證使用者並非機器人。此外，您也可以使用核取方塊金鑰，透過 CAPTCHA 驗證問題保護特定動作。

 以政策為準的驗證金鑰會依據設定的分數門檻，觸發 CAPTCHA 驗證問題。您可以使用政策型驗證問題金鑰，透過 CAPTCHA 驗證問題保護特定動作。
運作方式

使用分數型金鑰時，reCAPTCHA Enterprise API 會傳回分數，您可以根據分數在網站中採取行動。

您可以採取的行動包括：要求額外的驗證因素、將貼文送交審核，或限制可能剪輯內容的漫遊器。

核取方塊金鑰會顯示「我不是機器人」核取方塊，使用者必須點選該方塊，驗證自己不是機器人。這個核取方塊金鑰可能會要求使用者完成 CAPTCHA 驗證。 無論是哪一種情況，reCAPTCHA Enterprise API 都會傳回分數。

人機驗證 (CAPTCHA) 驗證問題會要求使用者從一組圖片中選取特定類型的物件，例如路標。

以下 GIF 動畫是核取方塊鍵的範例：
reCAPTCHA 視覺驗證問題。

下圖為 CAPTCHA 驗證問題範例：

人機驗證 (CAPTCHA) 範例。

使用 CAPTCHA 驗證問題前，請務必瞭解 CAPTCHA 驗證問題注意事項。

如果使用政策型驗證問題金鑰，當 reCAPTCHA 計算出的初始分數低於設定的分數門檻時，就會觸發 CAPTCHA 驗證問題。以政策為準的驗證金鑰與核取方塊金鑰不同，因為前者可以確定觸發 CAPTCHA 驗證。

人機驗證 (CAPTCHA) 驗證問題會要求使用者從一組圖片中選取特定類型的物件，例如路標。

下圖顯示 CAPTCHA 驗證問題範例：

CAPTCHA 驗證問題範例

使用 CAPTCHA 驗證問題前，請務必瞭解 CAPTCHA 驗證問題注意事項。
支援的平台 網站和行動平台。 僅限網站。 僅限網站。
用途

評分式金鑰適用於下列用途：

  • 有輔助使用需求的網站。
  • 適用於偏好減少摩擦以提高轉換率的付款相關交易。
  • 您想使用密碼檢查 (Password Defense) 或多重驗證 (MFA) 等額外功能。
  • 透過行動應用程式存取的網站。
核取方塊金鑰適用於網頁上的表單、登入和註冊。雖然這可能會造成使用者額外困擾，但人機驗證等額外步驟有助於防範不成熟的攻擊者。 策略型驗證機制金鑰適用於網頁上的表單、登入和註冊。雖然這可能會造成使用者額外困擾，但 CAPTCHA 驗證等額外步驟有助於阻擋不成熟的攻擊者。

Captcha 驗證問題注意事項

如要使用核取方塊金鑰搭配 CAPTCHA 驗證，防範自動化攻擊，請注意下列事項：

  • CAPTCHA 需要使用者互動，這會增加摩擦，並可能降低轉換率。
  • 隨著電腦視覺和機器智慧技術的進步，人機驗證在區分人類和機器人方面的效果越來越差。
  • CAPTCHA 也面臨付費攻擊者的威脅，他們可以解決所有類型的驗證問題。
  • 並非所有使用者都能使用 CAPTCHA，因此如果您的網站有無障礙需求，可能不適合使用 CAPTCHA。

選擇 WAF 的 reCAPTCHA 金鑰類型

reCAPTCHA for Google Cloud Armor 整合功能支援動作權杖、工作階段權杖和驗證問題頁面。

您可以在單一應用程式中使用一或多項 reCAPTCHA for Google Cloud Armor 功能。舉例來說，您可以選擇為所有頁面套用工作階段權杖，並根據工作階段權杖的分數，將可疑要求重新導向至 reCAPTCHA 驗證問題頁面。此外，您也可以將動作權杖用於高知名度的動作，例如結帳。詳情請參閱範例。

下表簡要比較可用的 reCAPTCHA for Google Cloud Armor 功能：

比較類別 reCAPTCHA 動作權杖 reCAPTCHA 工作階段權杖 reCAPTCHA 驗證問題頁面
用途 用於保護使用者動作，例如登入或留言貼文。 用於保護網站網域上的整個使用者工作階段。 當您懷疑網站有垃圾內容活動，且需要篩選出機器人時，請使用這個動作。

這個方法會中斷使用者活動，因為使用者必須回答人機驗證問題。
支援的平台 網站和行動應用程式 網站 網站
用戶端整合工作 中

手動用戶端整合。

 中

手動安裝 reCAPTCHA JavaScript，或透過 WAF 插入。

 低

安全性政策觸發的插頁式廣告。
偵測準確度 最高

可用的信號包括用戶端、伺服器和動作專屬信號。

 高

可使用用戶端和伺服器專屬信號。

 中

系統會提供用戶端和伺服器專屬信號。用戶端信號僅適用於插頁。
支援的 reCAPTCHA 版本 reCAPTCHA 評分型和核取方塊金鑰 reCAPTCHA 分數型金鑰 嵌入插頁式頁面的 reCAPTCHA 驗證問題金鑰

選擇 API 的 reCAPTCHA Express 金鑰

如果環境不支援 JavaScript API 或行動 SDK 等 reCAPTCHA 用戶端整合，請使用 reCAPTCHA Express。reCAPTCHA Express 適用於 API、網站、行動應用程式和 IoT 裝置 (例如電視和遊戲主機)，但如果無法進行用戶端整合，也可以用於保護網站或行動應用程式。

reCAPTCHA Express 僅在伺服器端整合，因此不會收集用戶端信號。與涉及用戶端元件的整合相比，這種做法通常會降低偵測準確度。

後續步驟