Aggiunto
- Un captcha moderno, attivo dall'installazione: ALTCHA. È ospitato dal sito stesso — nessun account, nessuna chiave, nessun cookie, nessun servizio di terze parti. Il visitatore vede una casella che si spunta da sola mentre compila il modulo: il suo browser esegue un piccolo calcolo, che il server verifica. Protegge il modulo di contatto, l'iscrizione e il reclutamento. All'aggiornamento, un sito senza chiavi reCAPTCHA passa ad ALTCHA; un sito che ne aveva conserva reCAPTCHA. ALTCHA rende costoso l'invio in massa per un robot; contro un attaccante determinato, i fornitori seguenti, che aggiungono i propri controlli, sono più solidi.
- In alternativa, Cloudflare Turnstile, hCaptcha o Google reCAPTCHA v2, in Impostazioni → Sicurezza anti-bot, con il link alla console di ciascuno. La chiave segreta è cifrata e non viene più mostrata. Senza le sue due chiavi, un fornitore viene sostituito da ALTCHA invece di lasciare il modulo aperto.
- Il captcha e i suoi messaggi esistono in tutte e sei le lingue.
Corretto
- reCAPTCHA: la chiave segreta veniva inviata nell'URL di verifica; ora viene inviata nel corpo della richiesta, come richiede Google. Il link superato alla sua console è sostituito, e l'indirizzo del visitatore trasmesso segue la regola usata dal resto del sito, che tiene conto di un proxy dichiarato fidato.
- Quando la verifica anti-bot non è stata completata, il messaggio è scritto per intero sotto il captcha, invece di un'icona solitaria il cui fumetto non compare su uno schermo tattile.
Sicurezza
- Superare il captcha una volta non esonera più dal superarlo di nuovo. Dal NeoFrag originale, un captcha superato esonerava dal superarlo di nuovo per tutti gli invii successivi dello stesso modulo, fino alla fine della sessione: un robot che risolveva una sola sfida poteva poi inviare senza limiti. L'esonero vale ora solo per un unico nuovo invio, dopo un altro errore nel modulo.
- Una soluzione ALTCHA si può usare una sola volta: ripresentarla viene rifiutato.
- La politica di sicurezza delle pagine non permette più Google per impostazione predefinita: solo gli indirizzi del fornitore di captcha scelto, e nessuno con ALTCHA.