Interpretar avaliações de sites

Nesta página, explicamos como interpretar uma pontuação para entender o nível de risco das interações do usuário e tomar as medidas adequadas para seu site.

O reCAPTCHA retorna uma pontuação para cada solicitação com base nas interações com seu site, independente do tipo de chave. Depois de receber a pontuação do reCAPTCHA, você precisa interpretá-la e tomar as medidas adequadas para seu site.

Antes de começar

Crie uma avaliação para seu site.

Interpretar a avaliação

Depois que o back-end envia um token de resposta do reCAPTCHA de um usuário para o reCAPTCHA, você recebe uma avaliação como uma resposta JSON, conforme mostrado no exemplo a seguir.

Para interpretar uma avaliação, considere os seguintes parâmetros:

  • valid: indica se o token de resposta do usuário fornecido é válido. Quando valid = false, o motivo é especificado em invalidReason. valid = false também pode indicar que um usuário não conseguiu resolver um desafio ou que há uma incompatibilidade de siteKey.
  • invalidReason: o motivo associado à resposta quando valid = false.
  • action: uma interação do usuário que acionou a verificação do reCAPTCHA.
  • expectedAction: a ação esperada de um usuário especificado ao criar a avaliação.
  • score: o nível de risco que a interação do usuário representa. Uma pontuação mais alta indica menor risco.
  • reasons: informações adicionais sobre como o reCAPTCHA interpretou a interação do usuário.
  • challenge: indica a resposta ao desafio para chaves de desafio com base em políticas. Valores possíveis: PASS, FAIL ou NOCAPTCHA.

  • extended_verdict_reasons: motivos avançados que contribuem para o veredito da análise de risco.

    Os códigos de motivo ficam disponíveis depois que você aciona uma análise de segurança automática ao adicionar uma conta de faturamento ao projeto. Para solicitar acesso aos códigos de motivo, adicione uma conta de faturamento ao seu projeto.

    As avaliações de projetos com uma assinatura do Enterprise também recebem códigos de motivo avançados. Entre em contato com seu representante de conta ou com a equipe de Google Cloud vendas para conferir a lista completa de motivos avançados e saber como interpretá-los.

    {
 "event":{
    "expectedAction":"EXPECTED_ACTION",
    "hashedAccountId":"ACCOUNT_ID",
    "siteKey":"KEY_ID",
    "token":"TOKEN",
    "userAgent":"(USER-PROVIDED STRING)",
    "userIpAddress":"USER_PROVIDED_IP_ADDRESS"
 },
 "name":"ASSESSMENT_ID",
 "riskAnalysis":{
   "reasons":[],
   "extended_verdict_reasons":[],
   "score":"SCORE",
   "challenge":"PASS"
 },
 "tokenProperties":{
   "action":"USER_INTERACTION",
   "createTime":"TIMESTAMP",
   "hostname":"HOSTNAME",
   "invalidReason":"(ENUM)",
   "valid":(BOOLEAN)
 }
}

Verificar ações

A resposta JSON contém o parâmetro action especificado para uma interação do usuário ao chamar execute() e o parâmetro expectedAction que você especificou ao criar a avaliação.

Verifique se action corresponde a expectedAction. Por exemplo, uma ação login deve ser retornada na sua página de Login. Se houver uma incompatibilidade, isso indica que um invasor está tentando falsificar ações. É possível realizar ações contra a interação do usuário, como adicionar outras verificações ou bloquear a interação para evitar atividades fraudulentas.

Interpretar pontuações

O sistema de pontuação do reCAPTCHA é uma expansão das versões anteriores para permitir maior granularidade nas respostas. O reCAPTCHA tem 11 níveis de pontuação com valores que variam de 0,0 a 1,0. A pontuação 1,0 indica que a interação apresenta risco baixo e é muito legítima, enquanto 0,0 indica que a interação apresenta alto risco e pode ser fraudulenta.

Dos 11 níveis, apenas os quatro níveis de pontuação a seguir estão disponíveis antes de acionar uma análise de segurança automática ao adicionar uma conta de faturamento ao seu projeto: 0,1, 0,3, 0,7 e 0,9.

Para solicitar acesso aos 11 níveis de pontuação, adicione uma conta de faturamento ao seu projeto.

A pontuação de risco da Defesa de SMS funciona de maneira inversa em comparação com a pontuação global do reCAPTCHA. Uma pontuação de risco de defesa de SMS de 0,0 indica baixa confiança de que uma fraude de cobrança por SMS vai ocorrer. Uma pontuação de risco de 1,0 indica alta confiança de que uma fraude de cobrança por SMS vai ocorrer.

O reCAPTCHA aprende monitorando o tráfego real no seu site. Portanto, as pontuações em um ambiente de preparo e em até sete dias após a implementação podem ser diferentes das pontuações de produção de longo prazo.

Se você instalou chaves baseadas em pontuação, primeiro execute o reCAPTCHA sem tomar nenhuma ação e, em seguida, decida os limites analisando o tráfego.

Com base nessa pontuação, é possível tomar as medidas adequadas no contexto do site. Para proteger melhorar seu site, recomendamos agir em segundo plano, em vez de bloquear o tráfego.

A tabela a seguir lista algumas ações possíveis:

Caso de uso Ação
Página inicial Veja uma visão coesa do tráfego no Admin Console ao filtrar as raspagens de informação.
Login Com pontuações baixas, exija MFA ou verificação de e-mail para evitar ataques de preenchimento de credenciais.
Social Limite as solicitações de amizade não respondidas de usuários abusivos e envie comentários de risco para a moderação.
Comércio eletrônico Coloque vendas reais à frente dos bots e identifique transações arriscadas.

Códigos de motivo

Os códigos de motivo ficam disponíveis depois que você aciona uma análise de segurança automática ao adicionar uma conta de faturamento ao projeto. Para solicitar acesso aos códigos de motivo, adicione uma conta de faturamento ao seu projeto.

Algumas pontuações podem ser retornadas com códigos de motivo que fornecem mais informações sobre como o reCAPTCHA interpretou as interações.

A tabela a seguir lista os códigos de motivo e as descrições deles:

Código de motivo Descrição
AUTOMATION A interação corresponde ao comportamento de um agente automatizado.
UNEXPECTED_ENVIRONMENT O evento originou-se de um ambiente ilegítimo.
TOO_MUCH_TRAFFIC O volume de tráfego da origem do evento é maior que o normal.
UNEXPECTED_USAGE_PATTERNS A interação com o site foi significativamente diferente dos padrões esperados.
LOW_CONFIDENCE_SCORE Não foi recebido tráfego suficiente para gerar uma análise de risco de qualidade.

Resposta do método siteverify

Para detalhes sobre solicitação, resposta e código de erro do método siteverify, consulte Verificar tokens de resposta do usuário com o SiteVerify legado.

A seguir

  • Para ajustar o modelo específico do site, envie os IDs de avaliação de volta ao Google para confirmar os verdadeiros positivos e verdadeiros negativos ou corrigir erros. Para mais detalhes, consulte Anotar avaliações.