कॉन्टैक्ट फ़ॉर्म के लिए reCAPTCHA विकल्प (जिनके लिए Google की ज़रूरत नहीं)

"stop contact form spam" सर्च करें, और Google reCAPTCHA वही चीज़ है जिसकी तरफ़ हर कोई सबसे पहले बढ़ता है - यह मुफ़्त है, एक तैयार विजेट है, और "मैं रोबोट नहीं हूँ" चेकबॉक्स इतना जाना-पहचाना है कि कोई इस पर सवाल नहीं उठाता। फिर भी, समझदार डिफ़ॉल्ट विकल्पों को कभी-कभी दोबारा परखना चाहिए, और reCAPTCHA इसके लिए एक अच्छा उम्मीदवार है: यह इकलौता विकल्प नहीं है, और बहुत सारी साइटों के लिए यह सही विकल्प भी नहीं है।

इसे दोबारा सोचने की असली वजहें

reCAPTCHA एक थर्ड-पार्टी Google स्क्रिप्ट है, और इसके नतीजे सिर्फ़ "यह काम करता है" से आगे तक जाते हैं:

• प्राइवेसी और सहमति। reCAPTCHA कुकीज़ सेट करता है और अपने रिस्क स्कोरिंग के लिए विज़िटर डेटा Google को भेजता है। EU विज़िटर्स के लिए, यह GDPR सहमति से जुड़े असली सवाल खड़े करता है - कॉन्टैक्ट फ़ॉर्म ठीक वैसी ही कम-घर्षण वाली इंटरैक्शन है जिसे केवल एक स्पैम फ़िल्टर लोड करने के लिए कुकी बैनर की ज़रूरत नहीं होनी चाहिए।
• एक और रेंडर-ब्लॉकिंग स्क्रिप्ट। यह किसी पेज के क्रिटिकल पाथ में एक और बाहरी रिक्वेस्ट जोड़ देती है, जबकि उस पेज का पूरा काम बस तेज़ी से लोड होना और किसी को संदेश टाइप करने देना है।
• असली इंसानों के लिए घर्षण। VPN, प्राइवेसी ब्राउज़र, या ट्रैकिंग प्रोटेक्शन ऑन किए किसी भी व्यक्ति को "सारी ट्रैफ़िक लाइट चुनें" वाली चुनौती एक से ज़्यादा बार मिल चुकी होगी। यह एक असली विज़िटर है जो लगभग छोड़ ही चुका था।
• Google को अपनी साइट पर एक और पकड़ देने से आम अनिच्छा। बहुत सारे डेवलपर बस यह नहीं चाहते कि संदेश भेजने से पहले हर विज़िटर का ब्राउज़र Google से बातचीत करे - यह प्राइवेसी की बारीकियों से अलग, अपने आप में एक ठोस स्थिति है।

विकल्प 1: अदृश्य हनीपॉट फ़ील्ड

एक छिपा हुआ इनपुट जिसे असली विज़िटर कभी देखते नहीं और कभी नहीं भरते, लेकिन जिसे कम समझदार बॉट्स ईमानदारी से भर देते हैं क्योंकि वह मार्कअप में मौजूद ही है। अगर वह ख़ाली नहीं आता, तो सबमिशन स्पैम है - उसे छोड़ दें, किसी को भी कोई चुनौती दिखाए बिना। शून्य थर्ड-पार्टी स्क्रिप्ट, शून्य घर्षण, और यह चुपचाप ज़्यादातर फ़ॉर्म स्पैम पकड़ लेता है, जो किसी चालाकी से नहीं बल्कि बेवकूफ़ क्रॉलर से आता है। (पूरी इम्प्लीमेंटेशन डिटेल, सटीक मार्कअप और एक्सेसिबिलिटी से जुड़ी बारीकियों सहित, हमारे स्पैम-प्रोटेक्शन डीप डाइव में हैं।)

विकल्प 2: रेट लिमिटिंग

जब कोई बॉट एक मिनट में सैकड़ों बार वैध दिखने वाला डेटा POST करता है, तो हनीपॉट काम नहीं आता - प्राप्त करने वाले एंडपॉइंट पर प्रति-IP और प्रति-फ़ॉर्म लिमिट यह काम करती है। कोई असली विज़िटर एक मिनट में वही कॉन्टैक्ट फ़ॉर्म दस बार सबमिट नहीं करता, इसलिए थ्रॉटलिंग से कुछ भी क़ीमती नहीं खोता, और इसके लिए न कोई विजेट चाहिए, न कोई कुकी, न ही फ़ॉर्म भरने वाले व्यक्ति से कोई फ़ैसला।

विकल्प 3: Cloudflare Turnstile, जब वाक़ई चुनौती की ज़रूरत हो

कभी-कभी कोई फ़ॉर्म ज़्यादा स्मार्ट बॉट्स को आकर्षित करता है - हेडलेस ब्राउज़र जो CSS रेंडर कर लेते हैं और हनीपॉट को पूरी तरह नज़रअंदाज़ कर देते हैं - और तब एक चुनौती अपनी छोटी सी कन्वर्ज़न क़ीमत के बावजूद फ़ायदेमंद हो जाती है। Cloudflare Turnstile इसका प्राइवेसी-सम्मानजनक संस्करण है: यह ट्रैकिंग कुकीज़ की बजाय ब्राउज़र सिग्नल्स के ज़रिए विज़िटर को सत्यापित करता है, आमतौर पर बिना दिखे हल हो जाता है, और इंटरैक्शन को Google से होकर बिल्कुल भी नहीं गुज़ारता। यह वही काम करता है जो reCAPTCHA करता है, बस उन हिस्सों के बिना जिन पर लोगों को आपत्ति है।

इन्हें परतों में इस्तेमाल करें - और सीमाओं के बारे में ईमानदार रहें

यहाँ कोई भी अकेला तरीक़ा बॉट-प्रूफ़ नहीं है, Turnstile भी नहीं। किसी भी फ़ॉर्म के लिए व्यावहारिक जवाब वही है: पहले हनीपॉट, उसके नीचे रेट लिमिट, और चुनौती सिर्फ़ तब जोड़ें जब पहले दोनों काफ़ी न रहें - यही रवैया हम स्पैम-प्रोटेक्शन गाइड में और गहराई से बताते हैं। इस नज़रिए से जो चीज़ बदलती है वह सिर्फ़ डिफ़ॉल्ट है: पहला क़दम Google की स्क्रिप्ट को न बनाएँ।

यह वही रवैया है जिसके साथ Formhook अपने-आप, डिफ़ॉल्ट रूप से काम करता है। हर फ़ॉर्म को डिफ़ॉल्ट रूप से हनीपॉट फ़ील्ड और प्रति-IP/प्रति-फ़ॉर्म रेट लिमिटिंग मिलती है, फ़्री सहित हर टियर पर - कोई कॉन्फ़िगरेशन नहीं, कोई विजेट इंस्टॉल नहीं करना। जिन फ़ॉर्म्स को अतिरिक्त परत चाहिए, उनके लिए फ़ॉर्म सेटिंग्स में Turnstile एक ऑप्ट-इन चेकबॉक्स के रूप में मौजूद है। हर टियर में क्या शामिल है, यह देखने के लिए प्राइसिंग देखें।