CAPTCHA

CAPTCHA — web forma yoki service’dan foydalanayotgan tomon insonmi yoki avtomatlashtirilgan botmi, shuni ajratishga yordam beradigan challenge-response mexanizmi. Atama Completely Automated Public Turing test to tell Computers and Humans Apart iborasidan kelib chiqqan.

CAPTCHA spam, credential stuffing, soxta account, scraping va avtomatik abuse’ni kamaytirishi mumkin. U authentication, authorization yoki rate limitingning o‘rnini bosmaydi.

Asosiy maqsad

Botlar katta hajmda quyidagi amallarni bajarishi mumkin:

account yaratish;
login sinash;
form yuborish;
comment spam;
ticket yoki ovoz berish;
inventory band qilish;
promo abuse;
password reset.

CAPTCHA avtomatlashtirish xarajatini oshiradi va shubhali flow’ga qo‘shimcha to‘siq qo‘yadi.

Text CAPTCHA

Rasm ichidagi buzilgan harf yoki raqamlarni user yozib beradi.

Tarixan keng tarqalgan, ammo muammolari:

OCR rivojlangan;
accessibility zaif;
til va font farqi;
mobil ekranda qiyin;
user tajribasi yomon.

Juda murakkab rasm botni emas, qonuniy userni ko‘proq qiynashi mumkin.

Image challenge

Userdan ma’lum obyekt tushirilgan rasmlarni tanlash so‘raladi.

Masalan, transport yoki yo‘l belgisi.

Bu challenge computer vision modeliga qarshi yaratilgan bo‘lsa ham AI rivojlanishi bilan samaradorligi o‘zgaradi.

Tasvir sifati va madaniy kontekst natijaga ta’sir qilishi mumkin.

Audio CAPTCHA

Ko‘rish imkoniyati cheklangan user uchun audio challenge beriladi.

Audio:

shovqin;
talaffuz;
til;
eshitish qobiliyati;
speaker sifati

sabab qiyin bo‘lishi mumkin.

Accessible alternativ haqiqatan ishlashi test qilinadi.

Behavioral CAPTCHA

User harakati va browser signallari asosida risk baholanadi.

Masalan:

mouse movement;
typing;
page interaction;
navigation;
device signal;
request pattern.

Past risk user challenge ko‘rmasligi, yuqori risk userga qo‘shimcha tekshiruv berilishi mumkin.

Invisible CAPTCHA

Challenge ko‘rinmasdan background signal asosida qaror chiqaradi.

Afzalligi — user friction kamayadi.

Kamchiligi:

privacy;
false positive;
vendor dependency;
opaque scoring;
script bloklanishi.

High-risk operation uchun faqat ko‘rinmas score yetarli bo‘lmasligi mumkin.

Proof-of-work

Client ma’lum hisoblash ishini bajarishi talab qilinishi mumkin.

Bu avtomatik request narxini oshiradi.

Ammo:

mobile battery;
accessibility;
kuchsiz qurilma;
botnet resursi;
energiya sarfi

muammolari mavjud.

CAPTCHA solving service

Attacker challenge’ni real inson yoki machine-learning service’ga yuborib yechtirishi mumkin.

CAPTCHA mutlaq himoya emas.

U abuse iqtisodini qimmatlashtiradi, ammo boshqa security qatlamlari bilan birga ishlashi kerak.

Session bilan bog‘lash

CAPTCHA response:

ayni session;
ayni action;
qisqa muddat;
bir martalik token;
server-side validation

bilan bog‘lanadi.

Bir challenge yechimini boshqa requestda replay qilish mumkin bo‘lmasligi kerak.

Server-side verification

Frontend “CAPTCHA passed” degan flagga ishonmaydi.

Server provider yoki local verifier bilan tokenni tekshiradi.

Tekshiriladi:

signature;
expiration;
hostname yoki action;
score;
token reuse;
remote response.

Secret key browserga chiqarilmaydi.

Risk-based challenge

CAPTCHA barcha userga doim ko‘rsatilmasligi mumkin.

Signal:

ko‘p request;
yangi device;
proxy;
failed login;
impossible pattern;
automation;
suspicious account

asosida challenge qo‘shiladi.

Bu frictionni kamaytiradi.

CAPTCHA va rate limiting

CAPTCHA request rate’ni to‘liq cheklamaydi.

Bot challenge yechsa yana ko‘p request yuborishi mumkin.

Rate limiting:

IP;
account;
device;
action;
global capacity

bo‘yicha alohida qo‘llanadi.

CAPTCHA va MFA

CAPTCHA user inson ekanini taxminan tekshiradi.

MFA esa identity authenticationini kuchaytiradi.

Accessibility

CAPTCHA WCAGga mos user tajribasini hisobga oladi.

Talablar:

audio yoki boshqa alternativ;
keyboard navigation;
screen reader;
yetarli vaqt;
til;
kontrast;
support orqali recovery.

Accessibility’ni butunlay buzadigan himoya qonuniy userni service’dan chiqarib qo‘yadi.

Privacy

Third-party CAPTCHA quyidagi signalni olishi mumkin:

IP;
browser;
cookie;
behavior;
page;
device.

Privacy notice, data processing va regional talablar baholanadi.

Minimal data yig‘uvchi alternativ tanlanishi mumkin.

False positive

VPN, shared network, accessibility tool yoki privacy browser qonuniy userni botga o‘xshatishi mumkin.

Challenge failure uchun:

qayta urinish;
boshqa usul;
support;
vaqtinchalik delay

beriladi.

User cheksiz loopga tushmasligi kerak.

Bot iqtisodiyoti

CAPTCHA maqsadi botni nazariy jihatdan imkonsiz qilish emas, har urinish xarajatini oshirish. Agar bitta soxta accountdan olinadigan foyda challenge yechish narxidan katta bo‘lsa attacker davom etadi. Shu sababli quota, fraud detection va account reputation birga ishlaydi.

Token replay

CAPTCHA tokeni serverda tekshirilgach ishlatilgan deb belgilanadi yoki provider bir martalik semantika beradi. Token boshqa account yaratish yoki boshqa endpointda qayta ishlatilmasligi kerak. Action name va hostname validation bunga yordam beradi.

Failure mode

Third-party CAPTCHA unavailable bo‘lsa barcha userni bloklash availability muammosini yaratadi. Riskga qarab vaqtinchalik alternate challenge, stricter rate limit yoki manual verification ishlatilishi mumkin. Fail-open qarori abuse ta’sirini hisobga oladi.

Privacy-friendly signal

Bot detection uchun keragidan ortiq browser fingerprint yig‘ish privacy riskini oshiradi. Minimal signal va qisqa retention tanlanadi. Userga third-party processing haqida aniq ma’lumot beriladi.

Abuse monitoring

CAPTCHA joriy qilingandan keyin faqat challenge pass rate emas, soxta account, login attack va qonuniy user conversioni kuzatiladi. Botlar boshqa endpointga ko‘chishi mumkin. Himoya real abuse kamayganini ko‘rsatishi kerak.

Bog‘liq tushunchalar

CAPTCHA, Bot detection, Challenge-response, Rate limiting, Credential stuffing, Spam, Behavioral analysis, Accessibility, Risk-based authentication, Automation