Kontrole JS po stronie klienta

Optional browser checks

Behavior checks are off by default. The code contains pointer, movement, and scrolling checks, plus optional canvas, WebGL, and audio routines. Evaluation happens in the browser; results can affect local scoring and SCaptcha logs. This documentation therefore makes no blanket no-fingerprinting claim.

Pipeline decyzji

Gdy strona jest otwarta, SCaptcha śledzi telemetrię interakcji: liczby i zakres ruchów myszy/touch, ramkę obwiedni, entropię kierunku, wariancję prędkości i interwałów, obecność i równomierność przewijania, liczbę kliknięć, czas hover, bezczynność klawiatury po 15 s, zmiany widoczności oraz czas pierwszej interakcji (<500 ms).

Po kliknięciu klient ocenia markery automatyzacji o wysokiej sile sygnału, takie jak navigator.webdriver, HeadlessChrome w UA, globalne obiekty automatyzacji (__webdriver_evaluate, _phantom, itd.), wskaźniki brandu UA dla Playwright/Puppeteer oraz blocklistę podciągów dla wzorców AI/crawler.

Kontrole środowiska działają tylko po włączeniu. Niedostępne lub ograniczone przez prywatność API pozostają neutralne; ogólne renderery Chromium/ANGLE, Mesa lub llvmpipe same nie oznaczają automatyzacji.

Sygnały fingerprint i timing (czas canvas toDataURL poniżej 5 ms, hash fingerprintu WebGL i liczba rozszerzeń, hash OfflineAudioContext, równomierność kadencji requestAnimationFrame) są próbkowane per sesja, aby zmniejszyć stabilność, a następnie łączone w score.

Progi i wyniki

Jeśli zaufanie >= botThreshold, skonfigurowana akcja eskalacji (wyzwanie lub blokada) uruchamia się natychmiast. Jeśli zaufanie >= challengeThreshold, wyświetlane jest wyzwanie fallback, chyba że eskalacja jest ustawiona na none.

Blokada ustawia stan błędu i zapisuje powód; wyzwanie otwiera overlay fallback powiązany z payloadem PoW.

Tryb Under‑Attack podnosi progi i łagodzi wymagania gestów, aby legalni użytkownicy mogli szybko przejść podczas szczytów ruchu.

Kontrole zachowania i UX

Ruch wskaźnika dotyczy tylko myszy, a przewijanie tylko przewijalnych stron; prawidłowa obsługa klawiaturą lub dotykiem nie musi symulować myszy.

Telemetria obejmuje liczby i zakres ruchów, entropię kierunku, czas hover, liczbę kliknięć, czas pierwszej interakcji (<500 ms) i bezczynność klawiatury po 15 s.

Eskalacja i logowanie

Eskalacja zapisuje listę powodów i wynik zaufania w payloadzie analitycznym, aby mogli Państwo dokładnie przeanalizować, dlaczego sesja została wyzwaniem lub blokadą.

Eskalacja do wyzwania żąda fallbacku obrazu/audio opartego na kodzie. Serwer przechowuje wyzwanie i tokeny dowodu w sesji przez 5 minut, a PoW jest akceptowane tylko wtedy, gdy token dowodu pasuje.

Eskalacja do blokady zatrzymuje weryfikację i zapisuje wynik w logach żądań. Zdarzenia klienta, takie jak escalation, challenge i verified, są przechowywane w payloadzie JS, aby wspierać analizę szczegółową.

Uwagi dot. dostępności

Jeśli odbiorcy korzystają wyłącznie z klawiatury lub z osadzonych widoków, złagodź wymagania przewijania lub wskaźnika i opieraj się bardziej na sygnałach timingu lub środowiska.

Wyłącz kontrole audio lub WebGL dla zablokowanych przeglądarek lub rygorystycznych rozszerzeń prywatności, aby unikać fałszywych alarmów.

Preferuj eskalację do wyzwania zamiast blokady, gdy dostępność lub różnorodność urządzeń jest wysoka.

Tryb floating może poprawić UX formularzy, ale przetestuj go z czytnikami ekranu i powiększeniem, ponieważ pozycjonowanie kotwicy może wpływać na kolejność fokusu.

Analityka i retencja

Analityka żądań jest domyślnie włączona i może przechowywać powiązywalne dane operacyjne: IP, user-agent, żądanie, sieć, lokalizację, powody i przesłaną telemetrię. Retencja wynosi domyślnie 90 dni i może mieć od 1 do 3650 dni. Wyłączenie nie usuwa istniejących wpisów ani eksportów.