Änderungen in SCaptcha 2.3.0

Name: SCaptcha
Author: SoftCreatR Media

Veröffentlicht am 8. September 2026. Das ist neu in SCaptcha 2.3.0.

Neue Aufgaben und begrenzte Wiederverwendung

Jede neue Proof-of-Work-Aufgabe besitzt ein eigenes, kryptografisch zufälliges Salt mit 32 Byte. Salt, Hash, Algorithmus, Lösung und HMAC werden gemeinsam gegen die ausstellende WoltLab-Sitzung geprüft. Nach 60 Sekunden sowie bei Änderungen oder einem Sitzungswechsel wird die Aufgabe abgelehnt.
Unmittelbar vor dem Update unter 2.2.x ausgestellte Aufgaben bleiben nur bis zu ihrem normalen Ablauf nach 60 Sekunden gültig. Die Prüfung vor dem Absenden erzeugt einen einmaligen, pfadgebundenen Sitzungsmarker für 300 Sekunden; Text-/Audio-Nachweise gelten ebenfalls 300 Sekunden.
Die Wiederverwendung im Formular, das Under-Attack-Zugangs-Cookie und das Sentinel-Ablehnungs-Cookie bleiben getrennt. Under-Attack nutzt 300–1.800 Sekunden (standardmäßig 600), Sentinel 600 Sekunden.

Die Normalisierung für proxycheck.io v3 behält Risiko, Confidence, times_seen, Beobachtungsdaten, Erkennungs- und Delisting-Status, Netzwerktyp und Anbieterstatus. Fehlende oder ungültige Metadaten gelten nicht als sauberes Ergebnis.
Erst eine positive Beobachtungszahl, mindestens 50 Prozent Confidence und nutzbare aktuelle Beobachtungsdaten können Proxy-, VPN- oder Tor-Hinweise in Sentinel einfließen lassen. Delistete, veraltete, leere und schwache Treffer werden ignoriert.
Erfolgreiche Antworten werden 3.600 Sekunden, volatile oder delistete 900 Sekunden zwischengespeichert. Fehler-Caches gelten 120 bis 900 Sekunden; Transport- und Serverfehler werden höchstens zweimal wiederholt. Cache-Zeilen über 24 Stunden werden entfernt.
SCaptcha sendet standardmäßig tag=0. Betreiber können Anbieterprotokolle positiver Treffer einschalten. Die IP-Adresse wird für die Abfrage trotzdem übertragen; ein Ausfall des Anbieters ist kein sauberes Ergebnis.

Die lokale Anfrageanalyse bleibt standardmäßig aktiv. Sie kann verknüpfbare Betriebsdaten speichern: Zeit, Ergebnis, URI, IP-Adresse, User-Agent, abgeleitete Browser-/Gerätefelder, Netzwerk- und Standortfelder, Gründe, Sentinel-Daten und übermittelte Browser-Telemetrie.
Voreingestellt sind 90 Tage; wählbar sind 1 bis 3.650 Tage. Gelöscht werden Zeilen vor dem Stichtag, nicht am Stichtag. Das Ausschalten beendet die neue Erfassung, löscht aber keine vorhandenen Zeilen oder Exporte.

Verhaltensbewertung und Sentinel bleiben standardmäßig ausgeschaltet. Audio-, WebGL-, Animation-Frame- und Canvas-Routinen laufen nur bei aktivierten Verhaltensprüfungen und der jeweiligen Einzeloption. Nicht verfügbare oder eingeschränkte Signale bleiben neutral.
Allgemeine Chromium/ANGLE-, Mesa- und llvmpipe-Angaben gelten allein nicht mehr als Automatisierung. Zeigeranforderungen betreffen nur die Maus, Scrollen nur scrollbare Seiten; Tastatur und Touch benötigen keine simulierte Mausbewegung.

Am 8. September 2026 befanden sich die EDPB-Leitlinien 02/2026 zur Anonymisierung noch bis zum 30. Oktober 2026 in der öffentlichen Konsultation. Sie werden hier weder als endgültiges Recht noch als endgültige Leitlinie dargestellt.
Chrome 153 erschien am 8. September 2026 und startete den angekündigten zweiwöchigen Stable-Zyklus. Die Browser-Kompatibilität muss deshalb mit jeder Version neu geprüft werden.