תיבת סימון אחת לפני הטפסים שלכם.
כלום לפני הלקוחות שלכם.
שימו תיבת סימון "אני לא רובוט" בטפסים ובדפים שלכם, ובדיקה בצד שרת המקור לפני כל מה שאתם מארחים ב-Xuda. היא מסלימה לאתגר תמונות, ואחריו לבדיקת AI, רק כשהאותות של המבקר נראים אוטומטיים.
רמות הסלמה · רוב המבקרים לא עוזבים את הראשונה
ספקי קפצ'ה במסלול · פיתוח פנימי
מסלול שמכסה את הטפסים שלכם ואת היעדים שמתארחים ב-Xuda
סיביות אפס מובילות בהוכחת העבודה, כברירת מחדל
הבוטים צריכים לעבוד קשה יותר. הלקוחות שלכם לא.
רוב הבדיקות מתייחסות לכל מבקר בדיוק אותו דבר: לפזול מול תמונה, להוכיח את עצמכם, לנסות שוב. ההגנה מבוטים של Xuda מתחילה בתיבת סימון ובאוסף אותות שהדפדפן של המבקר מוסר בחינם. אם הם נראים אנושיים, כאן זה נגמר. רק כשהם נראים אוטומטיים מישהו רואה אתגר תמונות, ורק אחרי זה נכנסת בינה מלאכותית לתמונה.
הכול פותח אצלנו. אין ספק קפצ'ה מאחורי זה, אין חשבון לפתוח במקום אחר, ושום מידע על המבקרים שלכם לא נמסר לשירות חיצוני שייתן להם ציון.
ארבע פעולות מכלום להגנה מלאה.
ההגנה מבוטים יושבת בקבוצת MODULES בתפריט החשבון שלכם. שום דבר לא נדלק עד שתבחרו מסלול, והמסלול החינמי הוא מסלול לכל דבר.
- 01
בוחרים מסלול
פותחים את ההגנה מבוטים ובוחרים מתוך סולם של ארבעה כרטיסים. המסלול החינמי הוא הפעלה ולא הנחה מובנת מאליה: לוחצים על הפעלה ולא חייבים כלום. המסלולים בתשלום אומרים את הסכום במילים פשוטות לפני האישור, ומוסיפים שורה אחת לחשבונית שאתם כבר מקבלים.
- 02
מדליקים את הווידג'ט ושומרים
בלשונית ההגדרה מדליקים את ההגנה מבוטים ולוחצים על שמירת שינויים. השמירה הראשונה מייצרת את מפתח האתר הציבורי ואת המפתח הסודי הפרטי. תוך כדי, קובעים את האגרסיביות לנמוכה, בינונית או גבוהה.
- 03
מדביקים את קטע הקוד, מאמתים בשרת שלכם
מעתיקים את תגית ה-script, או את div העיגון אם אתם רוצים למקם את תיבת הסימון בעצמכם. אחר כך שולחים את המפתח הסודי ואת טוקן התגובה מהטופס לנקודת האימות וקוראים בחזרה את success, score ו-level_reached.
- 04
מפעילים הגנה על כל מה שאתם מארחים ב-Xuda
בלשונית ההגנה לוחצים על הוספת הגנה, בוחרים VPS, פריסה, דאטה סנטר או מאזן עומסים, ומעבירים את המתג למופעל. שרת המקור מתחיל לאכוף בתוך רענון אחד של 30 שניות, והכיבוי הוא אותו מתג בדיוק.
בדיקה אחת, שני מקומות לשים אותה.
ווידג'ט לטפסים ולדפים שאתם מארחים בעצמכם, ושער בצד שרת המקור לכל מה שרץ על Xuda. אותו סולם, אותם מפתחות, אותו לוח בקרה.
תיבת סימון, לא מסלול מכשולים
רמה 0 היא קליק אחד ועוד אוסף אותות שהדפדפן מוסר ממילא. עוברים אותה ואין חידה, אין רשת של אוטובוסים, אין ניסיון שני. זו כל החוויה עבור רוב האנשים.
האותות מקבלים ציון עוד לפני שמוצג משהו
ספירת תנועות עכבר, הקשות וגלילה, מגע, נוכחות WebGL ו-canvas, מספר הליבות, שפות, אזור זמן, דגלי אוטומציה וזמן שהייה מתכנסים להסתברות אנושית אחת, עם סיבות בשם מפורש כמו no_interaction, webdriver, headless ו-instant_click.
הדפדפן משלם לפני שמאמינים לו
כל מבקר פותר חידת הוכחת עבודה מבוססת SHA-256, 16 סיביות אפס מובילות כברירת מחדל, סיבית אחת קשה יותר באגרסיביות בינונית ושתיים בגבוהה. זול פעם אחת, יקר מאוד בנפח של בוטים.
אתגרי תמונות בלי ספריית תמונות
רמה 1 היא רשת של 9 משבצות שמצוירת בתוך התהליך כ-SVG: חמש צורות, שמונה צבעים, לפחות שתי משבצות נכונות, עם הנחיה בנוסח "בחרו כל תמונה שמופיע בה ...". שום דבר לא נמשך מצד שלישי ושום דבר לא נגרד מהמשתמשים שלכם.
בינה מלאכותית כמילה האחרונה, לא הראשונה
רמה 2 מבקשת הכרעת סיכון: אדם, בוט או גבולי. מבקר גבולי מקבל שאלת היגיון אחת שנוצרת במקום, עם תשובה צפויה שנשמרת כגיבוב. אם מנוע הציון לא זמין, המבקר נחשב גבולי ולא נכשל.
טוקני מעבר חד-פעמיים וקצרי חיים
מעבר הוא טוקן חתום שחי שתי דקות ונשרף בפעם הראשונה שהשרת שלכם מאמת אותו. שלחו שוב את אותו טוקן והתשובה תהיה timeout-or-duplicate. אין סשנים בצד השרת שצריך לסנכרן.
תחליף ישיר לקוד שכבר כתבתם
קריאת האימות מקבלת secret ו-response ומחזירה success, score, level_reached, hostname, challenge_ts ו-error-codes. בקוד בקאנד קיים בדרך כלל צריך לשנות רק את הכתובת.
אכיפה בצד שרת המקור, בלי שכבת קצה נוספת
יעדים מופעלים נאכפים על ידי הראוטר של Xuda עצמו. מבקר שאושר נושא עוגייה מסוג httpOnly, secure, SameSite=Lax למשך חלון האישור, כך שמסך הביניים הוא אירוע חד-פעמי ולא תחנת אגרה.
בלימת הצפות ומלכודת דבש שקטה
60 ניסיונות אימות בדקה לכל כתובת IP של מבקר ומפתח אתר, ו-600 בדקה לכל מפתח אתר. שדה פיתיון שמתמלא מפיל את המבקר עם סיבה מעורפלת בכוונה, כך שהבוט לא לומד כלום מהדחייה.
מדליקים. מעתיקים שתי שורות. וזהו.
ההדלקה הראשונה של הווידג'ט מייצרת את מפתח האתר ואת המפתח הסודי שלכם. מפתח האתר ציבורי ונכנס לקטע הקוד. המפתח הסודי נשאר בשרת שלכם והוא זה שמאמת מעבר. שניהם יושבים בכרטיס אחד בלשונית ההגדרה, עם כפתורי העתקה וכפתור להחלפת המפתח הסודי לידם.
- מדביקים את הסקריפט פעם אחת בכל דף ותיבת הסימון מתמקמת לבד, או משבצים את div העיגון בדיוק במקום שאתם רוצים.
- אפשר להחליף את המפתח הסודי מתי שתרצו. החלון מזהיר אתכם שהישן מפסיק לעבוד בכל מקום שבו הוא בשימוש.
- האגרסיביות היא בחירה אחת: נמוכה מסלימה לעיתים רחוקות, גבוהה מסלימה בקלות. בינונית היא ברירת המחדל.
7hQ2pXv0nMbK4sRj9TfLdA•••••••••••••••••••••• 4c9E הצגה החלפת המפתח הסודימאוזנת. רוב המבקרים עוברים את תיבת הסימון בלי לראות אתגר בכלל.
<script src="https://xuda.io/dist/runtime/js/captcha-loader.js"
data-sitekey="7hQ2pXv0nMbK4sRj9TfLdA"></script><div class="xuda-captcha" data-sitekey="7hQ2pXv0nMbK4sRj9TfLdA"></div>אף אחד לא רואה חידה לפני שהרוויח אותה.
רמה 0 היא תיבת הסימון, האותות הפסיביים וחידת הוכחת עבודה שהדפדפן חייב לפתור. רמה 1 היא אתגר תמונות של 9 משבצות. רמה 2 היא הכרעת סיכון של בינה מלאכותית, ואם ההכרעה גבולית, גם שאלה אחת שנוצרת במקום. כל רמה קיימת רק כי זו שלפניה נכשלה.
תיבת סימון, אותות והוכחת עבודה
כאן כמעט כולם נעצריםהמבקר לוחץ פעם אחת. בצד השרת, האותות הפסיביים הופכים לציון והדפדפן חייב לפתור את חידת הוכחת העבודה. מעבר שמגיע מהר מהגיל המינימלי לא מתקבל.
- סף המעבר זז עם האגרסיביות: 0.6 בנמוכה, 0.7 בבינונית, 0.8 בגבוהה.
- הוכחת העבודה מוגבלת לטווח של 8 עד 24 סיביות אפס מובילות כשמגדירים אותה ידנית.
- טוקן הסשן שמאחורי הווידג'ט חי 15 דקות.
אתגר תמונות של 9 משבצות
רק אחרי שרמה 0 נכשלתצורת מטרה אחת, תשע משבצות, לפחות שתיים מהן נכונות. הרשת נוצרת במקום מחמש צורות ושמונה צבעים, והיא נבדקת מול גיבוב של המשבצות הנכונות ולא מול תשובה שמורה.
- רענון נותן רשת חדשה, אימות שולח את הבחירה.
- כל אתגר שמונפק תקף לשתי דקות.
- בלי צילומים, בלי תמרורים, בלי ספרייה של ספק.
בדיקת סיכון בבינה מלאכותית, ואז שאלה אחת
השלב האחרון לפני חסימהכל הראיות שנאספו עוברות להכרעת סיכון מובנית: ציון, הכרעה של אדם, בוט או גבולי, וסיבה. אדם ברור עובר, בוט ברור נחסם, ומבקר גבולי מקבל בדיוק שאלה אחת שנוצרת במקום.
- ההכרעה חייבת לקבל ציון של 0.7 לפחות כדי לעבור ברמה הזו.
- השאלה שנוצרת תקפה לשלוש דקות ונשאלת פעם אחת.
- אם אי אפשר להגיע למנוע הציון, המבקר נחשב גבולי ולא נכשל.
הבקאנד שלכם כבר יודע לדבר עם זה.
נקודת האימות מקבלת מפתח סודי וטוקן תגובה ומחזירה תשובה באותו מבנה שבו reCAPTCHA ו-Turnstile מחזירים. אם כתבתם את הקוד הזה פעם אחת, כתבתם אותו גם בשביל זה. בדרך כלל רק הכתובת משתנה.
- אותו מבנה בקשה כמו קריאות ה-siteverify שכבר כתבתם: מפתח סודי, טוקן תגובה, וכתובת IP של המבקר לפי הצורך.
- מעבר מחזיר את הציון ואת הרמה שאליה המבקר הגיע, כך שתוכלו לתעד כמה קשה הבדיקה נאלצה לעבוד.
- כשלים חוזרים כקודים קריאים: missing-input, invalid-input-secret, invalid-input-response, timeout-or-duplicate.
- קוראים לזה רק מהשרת שלכם. המפתח הסודי הוא האישור, ולכן הוא אף פעם לא שייך לקוד של הדף.
$ curl -X POST https://xuda.io/cpi/captcha_siteverify \
-H 'content-type: application/json' \
-d '{"secret":"YOUR_SECRET_KEY","response":"<token from the form>"}'
{
"success": true,
"score": 0.86,
"level_reached": 0,
"hostname": "studio.co",
"challenge_ts": "2026-08-11T09:14:02Z",
"error-codes": []
}שימו את הבדיקה לפני כל האתר.
בוחרים VPS, פריסה, דאטה סנטר או מאזן עומסים שאתם מארחים ב-Xuda, ומעבירים את המתג למופעל. כל מבקר שלא אושר מקבל מסך מלא של "בודקים את הדפדפן שלכם" לפני שהאתר נטען. מכבים את המתג והמסכים נפסקים. כרגע אפשר להגן רק על יעדים שמתארחים ב-Xuda.
| יעד | תעבורה | מופעל |
|---|---|---|
shop.mysite.com פריסה · eu1 | 18,402 הוגשו 1,196 נשלחו לאתגר, 284 נחסמו | |
api-prod-01 VPS · us1 | 6,051 הוגשו 410 נשלחו לאתגר, 97 נחסמו | |
edge-balancer מאזן עומסים · eu1 | 2,338 הוגשו 84 נשלחו לאתגר, 12 נחסמו |
נאכף בשרת המקור שלכם
הראוטר של Xuda מחזיק את רשימת היעדים המופעלים בזיכרון ומרענן אותה כל 30 שניות, כך שהפעלה וכיבוי נכנסים לתוקף בתוך רענון אחד ואין קפיצה נוספת במסלול החם.
מעבר אחד, ואז שקט
מבקר שעובר את הבדיקה מקבל עוגיית אישור מסוג httpOnly, secure, SameSite=Lax וגולש רגיל עד סוף החלון, 30 דקות כברירת מחדל.
או מתג אחד על האפליקציה
כרטיס הפעולות המהירות של פריסה כולל את "הגנה מבוטים (תחת תקיפה)". מעבירים את המתג שם ואותה בדיקה עולה לאוויר, עם שורה של אתגרים שהוגשו מתחתיה.
כללים לפי מדינות, נתיבים ושעות.
לפעמים התשובה היא לא קשה יותר לכולם, אלא קשה יותר למדינה אחת, לנתיב אחד או לחלון אחד ביום. הכללים המותאמים רצים בקצה בסדר קבוע, כך שתמיד תדעו איזה כלל ניצח. הם מגיעים עם מסלול הכללים המותאמים.
- התרה, אתגר או חסימה לפי מדינה, מתוך רשימת ISO 3166-1 alpha-2 המלאה.
- כללים לפי נתיב כמו /login או /checkout, כל אחד מוגדר לאתגר, לחסימה או להתרה.
- חלונות של שעה ביום ויום בשבוע, לשעות שבהן אתם יודעים שהתעבורה אמורה להיות שקטה.
- רשימות של התרה תמידית ושל חסימה תמידית שמקבלות כתובות IP, טווחי CIDR או קודי מדינה.
- דרישת referer, ובנוסף חלון אישור שאפשר להגדיר מדקה אחת ועד 24 שעות.
ארבעה מסלולים, ושורה אחת בחשבונית.
המסלול יושב על החשבון ולא על כל דבר מוגן בנפרד, ולכן שום דבר כאן לא מחויב לפי יעד מוגן. המסלול החינמי הוא הפעלה ולא תקופת ניסיון, ומעבר בין מסלולים בתשלום מתמחר מחדש שורה אחת במקום להוסיף חיוב שני.
חינם
מתחילים כאןתיבת הסימון בטפסים שלכם, והבדיקה במסך מלא לכל מה שאתם מארחים ב-Xuda.
- תיבת הסימון "אני לא רובוט" בכל דף שאתם מארחים בעצמכם, כתגית script או כ-div עיגון בתוך הדף.
- הבדיקה במסך מלא לפני VPS, פריסה, דאטה סנטר או מאזן עומסים של Xuda.
- אימות בצד השרת דרך נקודת ה-siteverify, בלי מפתח API בכלל.
- האגרסיביות, רמת הקושי של הוכחת העבודה וחלון האישור של 30 דקות כולם בשליטתכם.
- יעדים שאתם מארחים במקום אחר
- גישה תכנותית ל-API
- כללים מותאמים
- חיוב לכל יעד מוגן
- אף פעם
חיצוני
ההרשאה להגן על יעד שאתם מארחים במקום אחר מלבד Xuda.
- יכולת היעד החיצוני על החשבון, נאכפת בקוד ומוכנה ליום שבו מסלול החיבור ייפתח.
- יעדים שאתם מארחים במקום אחר
- ההרשאה קיימת, עדיין אי אפשר לחבר
- גישה תכנותית ל-API
- כללים מותאמים
- חיוב לכל יעד מוגן
- אף פעם
API
מיועד להפעלת הבדיקה מהקוד שלכם. המשטח התכנותי עדיין לא פתוח.
- יכולת ה-API על החשבון. אימות מעבר מהבקאנד שלכם לא מחכה לה: נקודת ה-siteverify ציבורית ויושבת על המסלול החינמי.
- יעדים שאתם מארחים במקום אחר
- ההרשאה קיימת, עדיין אי אפשר לחבר
- גישה תכנותית ל-API
- עדיין לא פתוח
- כללים מותאמים
- חיוב לכל יעד מוגן
- אף פעם
כללים מותאמים
השלם ביותרלרגעים שבהם גישה גורפת גסה מדי ואתם רוצים לכוון את הבדיקה למדינה אחת, לנתיב אחד או לחלון אחד.
- התרה, אתגר או חסימה לפי מדינה, מתוך כל רשימת ISO 3166-1 alpha-2.
- כללים לפי נתיב כמו /login או /checkout, כל אחד מוגדר לאתגר, לחסימה או להתרה.
- חלונות של שעה ביום ויום בשבוע, ובנוסף דרישת referer.
- רשימות של התרה תמידית ושל חסימה תמידית שמקבלות כתובות IP, טווחי CIDR או קודי מדינה.
- אגרסיביות לכל יעד, שנבדקת בקצה בסדר קבוע כדי שתדעו איזה כלל ניצח.
- כללי נתיבים
- עד 100
- רשומות בכל רשימת היתר או חסימה
- עד 200
- חלון האישור
- מדקה אחת עד 24 שעות
- חיוב לכל יעד מוגן
- אף פעם
בלי לייפות: ההגנה מבוטים פעילה ומאומתת בסביבת הפיתוח ועדיין לא פורסמה לאזורי הייצור. המסלול החיצוני ניתן לחיוב, אבל היום אין דרך לחבר יעד מחוץ ל-Xuda. המתודות של מסלול ה-API לא פתוחות למפתחות API, ולכן המשטח היחיד שלא דורש מפתח כרגע הוא נקודת האימות בצד השרת, והיא כבר נמצאת במסלול החינמי. במסלול הכללים המותאמים, הכללים של מדינה, נתיב, שעה, יום, referer ורשימות ההיתר והחסימה נאכפים בקצה; בקרות הקצב, טביעת האצבע ו-ASN בעייתי נשמרות אבל עדיין לא נאכפות.
בלי ספק להירשם אליו. בלי מבקרים למסור לו.
האפשרויות הריאליות הן ווידג'ט קפצ'ה מאוחסן של צד שלישי, חסימה ברמת הרשת לפני האתר, או שדה מלכודת דבש שכתבתם בעצמכם. הנה מה שכל אחת מהן באמת נותנת לכם.
הגנה מבוטים של Xuda אתם | ווידג'ט קפצ'ה של צד שלישי | חסימה ברמת הרשת | שדה מלכודת דבש משלכם | |
|---|---|---|---|---|
| תיבת סימון שאפשר להדביק בטפסים שלכם | ||||
| בדיקה במסך מלא לפני אתר מאוחסן שלם | ||||
| מסלימה רק כשהאותות נראים אוטומטיים | משתנה | |||
| הוכחת עבודה לפני שמאמינים לדפדפן | 16 סיביות כברירת מחדל | משתנה | ||
| אתגר תמונות שנוצר בתוך התהליך, בלי מאגר תמונות | משתנה | |||
| הכרעת סיכון של בינה מלאכותית כשלב האחרון | משתנה | |||
| אותות המבקר מקבלים ציון מצד שלישי | משתנה | משתנה | ||
| אימות בצד השרת במבנה של siteverify | ||||
| טוקן מעבר חד-פעמי, שליחה חוזרת נדחית | 2 דקות | משתנה | ||
| הגבלת קצב לכל מבקר ולכל אתר, כלולה | משתנה | |||
| כללים לפי מדינה, נתיב, שעה ויום | מסלול הכללים המותאמים | משתנה | ||
| חיוב לכל יעד מוגן | משתנה | משתנה |
הדברים שכדאי לשאול קודם.
עצרו את הבוטים. תנו לכל השאר לעבור.
הדליקו את תיבת הסימון לטפסים ולדפים שלכם, או הפעילו את הבדיקה במסך מלא לפני כל מה שאתם מארחים ב-Xuda. מסלול חינמי, בלי כרטיס אשראי, בלי תשלום לכל יעד, ובלי ספק קפצ'ה באמצע.