CAPTCHA कैसे काम करता है?

Scrapeless एजेंट ब्राउज़र में वेब स्वचालन के लिए उपयोग किए जाने वाले ब्राउज़र सत्रों के भीतर CAPTCHA हैंडलिंग शामिल है।

CAPTCHA एक इंटरैक्शन के बारे में सबूत इकट्ठा करके काम करता है और जांचता है कि क्या वह सबूत किसी सेवा की मानव-सत्यापन नीति को संतुष्ट करता है। एक दृश्य चुनौती में, उपयोगकर्ता छवियों की पहचान कर सकता है या प्रदर्शित पाठ दर्ज कर सकता है। अन्य प्रणालियां एक दृश्य प्रयास के बिना इंटरैक्शन का आकलन करती हैं। महत्वपूर्ण कार्यान्वयन सीमा ब्राउज़र में जो होता है और जिस पर सुरक्षित एप्लिकेशन का सर्वर स्वीकार करता है, के बीच होती है।

पृष्ठ पर एक चेकमार्क एक उपयोगकर्ता-इंटरफ़ेस घटना है। यह स्वयं द्वारा साबित नहीं करता है कि एप्लिकेशन ने प्रतिक्रिया को मान्य किया है या अनुरोधित क्रिया को मंजूरी दी है। एक विश्वसनीय एकीकरण चुनौती के परिणाम को सर्वर-साइड सत्यापन से जोड़ता है और फिर व्यावसायिक संचालन से, जैसे कि एक फॉर्म स्वीकार करना।

सत्यापन प्रवाह में अभिनेता

एक सामान्य होस्टेड CAPTCHA एकीकरण में आगंतुक का ब्राउज़र, सुरक्षित एप्लिकेशन और चुनौती प्रदाता शामिल होता है। ब्राउज़र चुनौती प्रदर्शित करता है या उसे चलाता है। प्रदाता प्रतिक्रिया का मूल्यांकन करता है और एक परिणाम या प्रतिक्रिया टोकन प्रदान करता है। एप्लिकेशन का सर्वर इस सबूत की पुष्टि करता है इससे पहले कि यह तय करे कि जारी रखना है या नहीं।

इन जिम्मेदारियों को स्पष्ट रूप से अलग रखा जाना चाहिए। ब्राउज़र को एप्लिकेशन के सत्यापन रहस्य को सुरक्षित रूप से नहीं रखना चाहिए, और क्लाइंट-साइड सफलता ध्वज को प्राधिकृत सबूत के रूप में स्वीकार नहीं किया जाना चाहिए। सर्वर भी सामान्य जांच जैसे फील्ड प्रमाणीकरण, खाता अनुमति, और डुप्लिकेट सबमिशन हैंडलिंग के लिए जिम्मेदार रहता है।

एक उपयोगी कार्यान्वयन आरेख इस प्रकार होगा कि फॉर्म सबमिशन प्रतिक्रिया टोकन को एप्लिकेशन ले जाने के साथ-साथ एक सर्वर-से-सर्वर सत्यापन चरण दिखाए। एप्लिकेशन फिर अपना निर्णय रिकॉर्ड करता है। उस मध्य चरण को छोड़ने से एक इंटरफ़ेस उत्पन्न होता है जो सुरक्षित दिखता है जबकि परिणामी संचालन क्लाइंट-नियंत्रित इनपुट पर निर्भर रहता है।

पहले पहेली प्रकट होने से क्या होता है

एक चुनौती प्रणाली यह मूल्यांकन कर सकती है कि अंतर्निहित कार्य के रूप में इंटरैक्टिव कार्य प्रदर्शित करने से पहले। सिग्नल और निर्णय प्रक्रिया उत्पाद और कॉन्फ़िगरेशन के अनुसार भिन्न होती है। चेकबॉक्स की उपस्थिति का अर्थ यह नहीं है कि प्रणाली केवल इस पर निर्भर करती है कि उपयोगकर्ता ने कहाँ क्लिक किया, और पहेली की अनुपस्थिति यह साबित नहीं करती है कि कोई सत्यापन नहीं हुआ।

व्याख्याओं से बचें, जो प्रत्येक परिणाम को एकल व्यवहार जैसे कि कर्सर आंदोलन के साथ जोड़ती हैं। एक आगंतुक जो कीबोर्ड या सहायक तकनीक का उपयोग करता है, फिर भी एक वैध उपयोगकर्ता है। एक प्रणाली जो एक पसंदीदा इंटरएक्शन पैटर्न को सार्वभौमिक मानती है, उन्हें बाहर करने का जोखिम उठाती है, जिनके ब्राउज़र और इनपुट विधियाँ भिन्न होती हैं।

एप्लिकेशन टीमों के लिए व्यावहारिक प्रश्न यह है कि प्रदाता कौन से परिणाम प्रस्तुत करता है और प्रत्येक परिणाम का क्या अर्थ है। एक सफलतापूर्वक पूरा किया गया चुनौती, एक अस्वीकृत प्रतिक्रिया, एक गायब प्रतिक्रिया, और सत्यापन को पूरा करने में तकनीकी असमर्थता का भेद करें। उन राज्यों को अलग-अलग उपयोगकर्ता संदेशों की आवश्यकता हो सकती है, भले ही कोई भी स्वचालित रूप से सुरक्षित संचालन की अनुमति न दें।

प्रतिक्रिया टोकन और सर्वर सत्यापन

एक प्रतिक्रिया टोकन एक विशेष सत्यापन इंटरैक्शन द्वारा उत्पन्न सबूत है, जो प्रदाता की सीमाओं के अधीन है। एप्लिकेशन उस टोकन को प्रदाता की सत्यापन सेवा को भेजता है और वापस किए गए परिणाम की जांच करता है। टोकन को संवेदनशील अल्पकालिक मानों के रूप में माना जाना चाहिए न कि लंबे समय तक चलने वाले प्रमाण के रूप में कि एक आगंतुक स्थायी रूप से मानव है।

उदाहरण के लिए, reCAPTCHA प्रतिक्रिया सत्यापन बैकेंड प्रमाणीकरण की आवश्यकता है, और इसके प्रतिक्रिया टोकन एकल-उपयोग होते हैं जिनकी वैधता अवधि दो मिनट होती है। ये नियम उस उत्पाद से संबंधित हैं; यह मान न लें कि हर CAPTCHA कार्यान्वयन का वही जीवनकाल या प्रतिक्रिया क्षेत्र है।

उन परिणामों और किसी भी संदर्भात्मक क्षेत्रों को मान्य करने के लिए चयनित प्रदाता की आवश्यकताओं का पालन करें। एक मान्य टोकन जो किसी अन्य साइट या क्रिया से संबंधित है, को केवल इसलिए स्वीकार नहीं किया जाना चाहिए क्योंकि कुछ बूलियन क्षेत्र कहते हैं कि सफलता है। सटीक जांच को एकीकरण से मेल खाना चाहिए न कि किसी अन्य प्रदाता से ली गई सामान्य उदाहरण से।

एप्लिकेशन अभी भी अंतिम निर्णय लेता है

CAPTCHA के पूरा होने का एप्लिकेशन के निर्णय के लिए एक इनपुट है। एप्लिकेशन अभी भी एक अवैध फॉर्म, एक अनुमत खाता कार्रवाई, या उसकी पहुंच नीति के बाहर के अनुरोध को अस्वीकार कर सकता है। मानव सत्यापन ऑथेंटिकेशन, अनुमोदन, या व्यापार नियमों को प्रतिस्थापित नहीं करता है।

यह विभाजन एक चित्रात्मक खाता-रजिस्ट्रेशन प्रवाह में दृश्य है। एक आगंतुक एक चुनौती को सही तरीके से पूरा कर सकता है, लेकिन एक ईमेल पते को प्रस्तुत कर सकता है जो प्रारूप प्रमाणीकरण में विफल होता है। फॉर्म को उस फ़ील्ड त्रुटि की व्याख्या करनी चाहिए बिना यह संकेत दिए कि CAPTCHA गलत था। विपरीत रूप से, एक मान्य ईमेल पते को भेजने की अनुमति नहीं दी जानी चाहिए जब चुनौती सत्यापन गायब हो।

उपयोग करें HTTP प्रतिक्रिया मॉडल परिणामों की सुसंगत रिपोर्ट करने के लिए, जबकि प्रतिक्रिया शरीर को एप्लिकेशन को सही स्थिति देने के लिए पर्याप्त विशिष्ट रखना चाहिए। केवल इसलिए सफलता का अनुमान न लगाएँ क्योंकि ब्राउज़र ने सफल परिवहन स्थिति वाला पृष्ठ प्राप्त किया।

पूर्ण चुनौती विफल क्यों हो सकती है

एक पूर्ण चुनौती एप्लिकेशन सीमा पर विफल हो सकती है यदि प्रतिक्रिया समाप्त हो गई है, पहले ही उपयोग की गई है, या अपेक्षित एकीकरण संदर्भ से मेल नहीं खाती है। पृष्ठ शायद परिणाम उपलब्ध होने से पहले भी सबमिट कर सकता है। ये अलग-अलग विफलताएँ होती हैं और अलग-अलग निदान लेबल की हकदार होती हैं।

एक लंबी फ़ॉर्म समय की समस्या को स्पष्ट करती है। यदि सत्यापन प्रारंभ के करीब होता है और आगंतुक अन्य फ़ील्ड पूर्ण करने में पर्याप्त समय बिताता है, तो जब फ़ॉर्म जमा किया जाता है, तब साक्ष्य अब वैध नहीं हो सकता है। इंटरैक्शन को इस तरह से डिज़ाइन करें कि सत्यापन वास्तविक संरक्षित कार्रवाई से मेल खाता हो, प्रदाता के समर्थित जीवनचक्र का उपयोग करके।

कई टैब और डुप्लिकेट सबमिशन भ्रम की एक और श्रेणी पेश करते हैं। प्रत्येक फ़ॉर्म इंस्टेंस को अपने स्वयं के राज्य को ट्रैक करना चाहिए, और सर्वर को सत्यापन परिणाम को इच्छित संचालन के साथ जोड़ना चाहिए। विश्लेषिकी घटनाओं या समर्थन स्क्रीनशॉट में प्रतिक्रिया टोकन्स को सहेजने से बचें। टोकन के अपने स्थान पर परिणाम और एक आंतरिक सहसंबंध पहचानकर्ता लॉग करें।

सुलभता तंत्र का एक भाग है

एक CAPTCHA तंत्र को उन आगंतुकों के लिए विचार करना चाहिए जो चुने गए चैलेंज प्रारूप को पूरा नहीं कर सकते। छवि पहचान कुछ उपयोगकर्ताओं को दृष्टि संबंधी विकलांगताओं के साथ बाहर रख सकती है; ऑडियो कार्य विभिन्न बाधाएँ उत्पन्न कर सकते हैं। एक वैकल्पिक प्रारूप पेश करने से केवल तभी मदद मिलती है जब पूरी इंटरैक्शन कुशलता से उस व्यक्ति के उपकरण और सहायक तकनीकी के साथ उपयोगी हो।

W3C का CAPTCHA सुलभता का विश्लेषण व्याख्या करता है कि मानव सत्यापन कार्य क्यों असमान बोझ डाल सकते हैं। सुलभता को चयन और परीक्षण में एक इनपुट के रूप में मानें, न कि चैलेंज कंटेनर में एक कॉस्मेटिक परिवर्तन के रूप में।

सत्यापन पूर्ण नहीं होने पर टेस्ट फोकस मूवमेंट, लेबल, त्रुटि घोषणाएँ और वसूली पथ का परीक्षण करें। जहाँ उपयुक्त हो, उपयोगकर्ता के फ़ॉर्म प्रविष्टियों को बनाए रखें। एक आगंतुक को एक लंबी सबमिशन को पुनःनिर्माण करने की आवश्यकता नहीं होनी चाहिए क्योंकि एक चुनौती समाप्त हो गई है, और इंटरफ़ेस को बिना आंतरिक रहस्यों को उजागर किए अगले समर्थित चरण को स्पष्ट करना चाहिए।

संपूर्ण सत्यापन श्रृंखला का परीक्षण

CAPTCHA परीक्षण को परीक्षण के लिए अभिप्रेत एक वातावरण में मान्य और अमान्य दोनों परिणामों को कवर करना चाहिए। जब उपलब्ध हो तो प्रदाता के दस्तावेज़ीकृत परीक्षण सुविधाओं का उपयोग करें। एक परीक्षण जो केवल यह जांचता है कि क्या एक विजेट रेंडर होता है, वह सर्वर-सत्यापन और व्यवसाय-निर्णय चरणों की जाँच नहीं करता है।

लापता साक्ष्य, अस्वीकृत साक्ष्य, उपभोग किया गया साक्ष्य, और एक वैध सत्यापन के साथ एक अमान्य व्यावसायिक इनपुट शामिल करें। सुनिश्चित करें कि एप्लिकेशन प्रत्येक मामले की सटीकता से रिपोर्ट करता है। यह जांचें कि संरक्षित संचालन को एक दूसरे सबमिशन पथ के माध्यम से नहीं पहुँचा जा सकता है जो सत्यापन चरण को छोड़ता है।

सत्यापन जो इसे प्रमाणित करता है उसके लिए टेस्ट साक्ष्य को सीमित रखें। एक सफल टेस्ट-मोड चुनौती यह स्थापित करती है कि एकीकरण अपेक्षित प्रवाह का पालन करता है; यह उत्पादन बॉट-डिटेक्शन सटीकता को मापता नहीं है। इसी तरह, एक पूरा किया हुआ विजेट का स्क्रीनशॉट उपयोगी इंटरफ़ेस साक्ष्य है लेकिन यह नहीं दिखा सकता कि बैकएंड ने सत्यापन को लागू किया है।

ब्राउज़र स्वचालन में CAPTCHA का अवलोकन

ब्राउज़र स्वचालन को अनुरोधित पृष्ठ को चुनौती के पृष्ठ और प्रविष्टि-विकर्षित परिणाम से भेदभाव करना चाहिए। यह निर्धारित करने के लिए पर्याप्त गैर-संवेदनशील संदर्भ को सहेजें कि कौन सा राज्य हुआ: अंतिम URL, दृश्य शीर्षक, और यह कि अपेक्षित सामग्री आई या नहीं। एक पार्सर जो किसी भी वापस किए गए पाठ को स्वीकार करता है, दुर्घटनावश चुनौती निर्देशों को लक्षित दस्तावेज़ के रूप में सहेज सकता है।

सत्र के लिए उत्पाद के दस्तावेज़ीकृत नियंत्रणों का उपयोग करें बजाय इसके कि चुनौती का परिणाम असंबंधित ब्राउज़र संदर्भों के बीच पोर्टेबल है। जब वर्कफ़्लो की योजना बना रहे हों, तो वर्तमान सेवा मूल्य निर्धारण की समीक्षा करें और उपयोगी लक्षित सामग्री को मापें बजाय चुनौती इंटरैक्शनों की संख्या के जो किए गए।

यह मापना कि क्या एकीकरण मदद करता है

एक CAPTCHA एकीकरण का आकलन इस बात से किया जाना चाहिए कि क्या यह लक्षित दुरुपयोग को कम करता है जबकि इच्छित उपयोगकर्ताओं को कार्य पूरा करने की अनुमति देता है। पूर्णता दरें अपने आप में अपर्याप्त हैं: एक सख्त चुनौती दुरुपयोग सबमिशन और वैध उपयोग दोनों को दबा सकती है। उन परिणामों की तुलना करें जो आवेदन के लिए महत्वपूर्ण हैं।

ब्राउज़र परिवार, इनपुट विधि, और वर्कफ़्लो चरण द्वारा विफल इंटरैक्शन को विभाजित करें जहाँ वह माप उपयुक्त और गोपनीयता-संरक्षण करती है। अंतिम सबमिट क्रिया पर एक केंद्रित विफलता टोकन जीवनचक्र समस्याओं का संकेत दे सकती है। कीबोर्ड उपयोगकर्ताओं में एक केंद्रित विफलता एक अप्रवेश्य इंटरफ़ेस का संकेत दे सकती है।

वैध आगंतुकों के लिए समर्थनित वृद्धि पथ को परिभाषित करें जो अवरुद्ध रह जाएँ। यह एक वैकल्पिक सत्यापन मार्ग या सेवा ऑपरेटर के साथ संपर्क हो सकता है। तंत्र का एक परिचालन मालिक होना चाहिए जो पूरी श्रृंखला की जांच कर सके बजाय इसके कि उपयोगकर्ताओं से यह अनुमान लगाने के लिए कहा जाए कि कौन सा ब्राउज़र सेटिंग अस्वीकृति का कारण बनी।

निष्कर्ष

CAPTCHA साक्ष्य संग्रह, प्रतिक्रिया सत्यापन, और एप्लिकेशन नीति की एक श्रृंखला के माध्यम से कार्य करता है। उस श्रृंखला को एक संपूर्ण के रूप में बनाएं और परीक्षण करें। ब्राउज़र इंटरैक्शन, प्रदाता परिणाम, और अंतिम व्यावसायिक क्रिया को प्रत्येक एक स्पष्ट राज्य की आवश्यकता होती है, ताकि एक दृश्य सफलता संकेतक कभी भी एक महत्वपूर्ण संचालन पर केवल सुरक्षा न बने।