你会推荐什么类型的验证码?

信息安全 验证码
2021-08-25 10:03:23

你会推荐什么类型的验证码?我主要关注可用性、易用性(也是开发)、相对安全

可用性

我发现那些带有非常卷曲的单词/数字的验证码有时太难读了。我开始在许多应用程序中看到的是简单的计算“Whats 5 + 15”。看起来很简单,但这应该很容易被机器人破解,我希望?

安全

我不是在开发一个非常安全的应用程序,你只知道一般的网络应用程序,如项目管理、论坛等类型的应用程序。所以我不需要硬核安全性,我认为这会有点矫枉过正,只会弄乱代码。我更喜欢简约且易于使用的东西

我也读过蜜罐法。我有一个被css隐藏的输入。理论是机器人将填补所有领域。这有多真实?这很容易实现最少的侵入性,用户不需要做任何事情。这是否意味着我可以在没有验证码的情况下拥有它?

4个回答

正如您所说,蜜罐验证码是一个不错的选择,它对用户是不可见的,并且在很多情况下都有效。

另一个很好的选择是reCaptcha,它几乎总是很容易阅读。

没有 100% 的安全保护。

所有验证码都可以破解。例如,您是否知道印度有专门提供人力破解验证码的公司?

还有一些技巧,例如将您的验证码作为框架嵌入到其他页面中,邀请他们的用户解决它以访问有趣的图片。

我建议你放松一下,让它变得简单。一一尝试以下选项。

  1. 与Akismet服务集成
  2. 将页面的 POST Url 更改为不同的内容。机器人通常会发布到同一页面的 Url,如果您不接受此类摘要,它将阻止机器人。
  3. 添加蜜罐解决方案
  4. 如果 1、2、3 失败,则添加验证码

像这样的东西:

验证码幽默

只需在注册表单上询问您域中的访问者都可以回答的问题,但域外的人不能回答,我就取得了非常好的结果。例如,'whats the name of the head coach of last year's league champions?'、 或'whats the last name of the author of [some popular book]?'、 或'whats the nickname for the company's cafeteria?'机器人无法破解这些,非英语(或您使用的任何语言)的演讲者通常不能很好地翻译它们,或者对上下文不够熟悉,无法回答它们。

当然,这假设您的所有访问者都共享一些具有约束力的元素(雇主、爱好、兴趣)。

一般来说,如果这些是本地开发的应用程序,除非您的网站非常大,否则您可能不会受到垃圾邮件发送者的大量关注,因为它们会追求更常见的软件包,因为它们的数量更多(因此编写脚本可以获得更好的回报自动登录)。