Adicionado
- Um captcha moderno, ativo desde a instalação: ALTCHA. É alojado pelo próprio site — sem conta, sem chave, sem cookie, sem serviço de terceiros. O visitante vê uma caixa que se marca sozinha enquanto preenche o formulário: o seu navegador faz um pequeno cálculo, que o servidor verifica. Protege o formulário de contacto, a inscrição e o recrutamento. Na atualização, um site sem chaves reCAPTCHA passa para o ALTCHA; um site que as tinha mantém o reCAPTCHA. O ALTCHA torna caro para um robô o envio em massa; contra um atacante determinado, os fornecedores seguintes, que acrescentam as suas próprias verificações, são mais sólidos.
- Em alternativa, Cloudflare Turnstile, hCaptcha ou Google reCAPTCHA v2, em Definições → Segurança anti-bot, com a ligação para a consola de cada um. A chave secreta é cifrada e nunca mais é mostrada. Sem as suas duas chaves, um fornecedor é substituído pelo ALTCHA em vez de deixar o formulário aberto.
- O captcha e as suas mensagens existem nas seis línguas.
Corrigido
- reCAPTCHA: a chave secreta era enviada no URL de verificação; é agora enviada no corpo do pedido, como a Google exige. A ligação desatualizada para a sua consola é substituída, e o endereço do visitante transmitido segue a regra usada pelo resto do site, que tem em conta um proxy declarado de confiança.
- Quando a verificação anti-bot não foi concluída, a mensagem é escrita por extenso por baixo do captcha, em vez de um ícone solitário cuja dica não aparece num ecrã tátil.
Segurança
- Passar o captcha uma vez já não dispensa de o voltar a passar. Desde o NeoFrag original, um captcha passado dispensava de o voltar a passar em todos os envios seguintes do mesmo formulário, até ao fim da sessão: um robô que resolvesse um só desafio podia depois enviar sem limite. A dispensa só vale agora para um único reenvio, depois de outro erro no formulário.
- Uma solução ALTCHA só pode ser usada uma vez: voltar a apresentá-la é recusado.
- A política de segurança das páginas já não permite a Google por predefinição: só os endereços do fornecedor de captcha escolhido, e nenhum com o ALTCHA.