SCaptcha 2.3.0
Pubblicata l’8 settembre 2026. Queste sono le novità di SCaptcha 2.3.0.
SCaptcha 2.3.0
Pubblicata l’8 settembre 2026
Nuove challenge e riuso limitato
- Ogni challenge Proof-of-Work usa un salt indipendente di 32 byte generato in modo crittograficamente sicuro. Salt, hash, algoritmo, soluzione e HMAC vengono convalidati nella sessione WoltLab emittente; la challenge scade dopo 60 secondi e non funziona in un’altra sessione.
- Le challenge 2.2.x emesse subito prima dell’aggiornamento restano valide solo fino alla scadenza normale. Il marcatore prima dell’invio, monouso e legato al percorso, e le prove testo/audio scadono dopo 300 secondi.
- Il riuso del modulo, il cookie Under-Attack e il cookie di rifiuto Sentinel restano distinti. Under-Attack dura 300–1.800 secondi (600 di default), Sentinel 600 secondi.
Dati proxy, cache e log del provider
- La normalizzazione proxycheck.io v3 conserva rischio, confidence, times_seen, date di osservazione, stato di rilevamento/delisting, tipo di rete e stato del provider. Metadati mancanti o invalidi non sono un risultato pulito.
- Sentinel richiede conteggio positivo, almeno il 50% di confidence e osservazioni recenti utilizzabili. Risultati delistati, vecchi, nulli o poco affidabili vengono ignorati.
- I successi restano in cache 3.600 secondi, i risultati volatili o delistati 900. Gli errori restano da 120 a 900 secondi; sono previsti due tentativi limitati e le righe oltre 24 ore vengono eliminate.
- SCaptcha invia tag=0 per impostazione predefinita. L’amministratore può attivare i log delle rilevazioni positive; l’IP viene comunque trasmesso e l’indisponibilità del provider non equivale a un risultato pulito.
Analisi e conservazione
- L’analisi locale resta attiva per impostazione predefinita e può registrare dati operativi collegabili: ora, risultato, URI, IP, user agent, browser/dispositivo, rete, posizione, motivi, dati Sentinel e telemetria inviata.
- La conservazione è di 90 giorni per impostazione predefinita e regolabile da 1 a 3.650. Vengono eliminate solo le righe precedenti al limite. Disattivare l’analisi ferma la raccolta senza cancellare righe o esportazioni esistenti.
Browser e accessibilità
- Il punteggio comportamentale e Sentinel restano disattivati per impostazione predefinita; audio, WebGL, animation frame e canvas funzionano solo con le relative opzioni. I segnali non disponibili restano neutrali.
- I renderer generici Chromium/ANGLE, Mesa e llvmpipe non bastano a indicare automazione. Il puntatore riguarda solo il mouse e lo scorrimento solo le pagine scorrevoli; tastiera e touch non simulano il mouse.
Contesto esterno datato
- All’8 settembre 2026, le Linee guida EDPB 02/2026 sull’anonimizzazione erano ancora in consultazione pubblica fino al 30 ottobre 2026. Non sono presentate come legge o guida definitiva.
- Chrome 153 è uscito l’8 settembre 2026 e ha avviato il ciclo stabile bisettimanale annunciato. La compatibilità va verificata a ogni versione.