For AI agents: fetch the complete documentation index at /llms.txt, the full documentation corpus at /llms-full.txt, the agent skill at /skill.md, or this page as Markdown at /ru/docs/web/captcha.md (or send Accept: text/markdown).

Защита от спама

Переключаемые через env проверки Turnstile на публичных формах и эндпоинтах auth.

Задать вопрос об этом руководстве

Прохождение для начинающих

Предварительные требования: прочтите два приведенных ниже руководства для начинающих, завершите локальную веб-настройку и откройте этот монорепозиторий в корневой папке вашего редактора. Веб-настройки принадлежат apps/web/.env.local; Next.js не читает корень .env. /dashboard в поддельном режиме по умолчанию представляет собой демонстрацию без базы данных; /auth требуется перенесенная база данных.

Вкратце: рабочее пространство — это отдельные пользователи, данные и настройки одной команды. Сервер является доверенным сервером; не допускайте попадания ключей провайдера в код браузера и телефона. Миграция — это изменение версии базы данных, при котором создаются или обновляются таблицы. Модель ИИ — это механизм, который отвечает; Каталог моделей — это список доступных идентификаторов моделей и цен на сервере. Поставщик — это внешняя служба, такая как служба искусственного интеллекта, электронной почты или службы выставления счетов. Право — это грант, который позволяет рабочей области использовать функцию. Вебхук — это сообщение, которое одна служба отправляет на URL другой службы.

1. Создайте виджет тестирования турникета для точного локального/развернутого имени хоста. В apps/web/.env.local установите CAPTCHA_PROVIDER=turnstile и NEXT_PUBLIC_TURNSTILE_SITE_KEY; помещайте TURNSTILE_SECRET_KEY только в секретное хранилище сервера.

2. Перезапустите и отправьте тестовую контактную форму.

3. Ожидайте вызова и успешного ответа с действительным токеном. Если каждый запрос завершается неудачей, сравните имя хоста и пару ключей; никогда не раскрывайте секретный ключ.

Для пользовательского кода начните с предоставленного prompts/README.md и скопируйте ближайшее приглашение: prompts/new-app-screen.md для экрана приложения или prompts/new-landing-page.md для общедоступной страницы. Для работы с сервером, базой данных или провайдером дайте своему агенту кодирования задание из этого руководства и попросите его прочитать AGENTS.md, .ai/PROJECT_CONTEXT.md и соответствующие зеркала .ai/; проверьте точные исходные файлы, указанные здесь; список файлов и проверки перед редактированием; сохранять права собственности на рабочую область и секреты, доступные только серверу; и покажу вам разницу. Сообщите ему желаемое поведение, поля ввода и вывода, разрешенные роли, ожидаемые успехи и ошибки, а также тестовую учетную запись, поставщика или устройство. Используйте выборочные значения; никогда не вставляйте настоящий секрет.

Включить обе клавиши

CAPTCHA_PROVIDER=off — значение по умолчанию. Выберите turnstile, настройте соответствующее имя хоста в приложении турникета и укажите оба ключа. NEXT_PUBLIC_TURNSTILE_SITE_KEY является общедоступным; TURNSTILE_SECRET_KEY используется только верификатором сервера.

CAPTCHA_PROVIDER=turnstile
NEXT_PUBLIC_TURNSTILE_SITE_KEY=your-site-key
# TURNSTILE_SECRET_KEY belongs in the server secret store.

Сохранить защищенные поверхности

Gate охватывает формы контактов/информационной рассылки, а также конечные точки входа и регистрации Better Auth, OTP и сброса пароля. Он дополняет проверку/ограничение скорости; это не заменяет сеансы или авторизацию рабочего пространства.

Проверка отклонения и восстановления

Проверьте действительный токен, отсутствующий/истекший/недействительный токен, сбой верификатора и повторную попытку после сброса клиентского виджета. Сохраняйте действенность копий, проверяемых человеком, и доступ к клавиатуре; проверьте зону покрытия выбранной системы аутентификации, прежде чем переключать провайдера.

Настройка и конфигурация

CAPTCHA_PROVIDER выбирает верификатор: off (по умолчанию — локальная разработка остаётся без учётных данных) или turnstile. Включение turnstile требует TURNSTILE_SECRET_KEY на сервере и NEXT_PUBLIC_TURNSTILE_SITE_KEY для клиентского виджета — схема config роняет запуск, если чего-то не хватает.

packages/web-core/src/captcha.ts компонует один процессный верификатор, который отправляет токен на эндпоинт siteverify Cloudflare с десятисекундным таймаутом и отказывает закрыто — непроверяемый токен никогда не считается доказательством человечности.

CAPTCHA_PROVIDER=turnstile
TURNSTILE_SECRET_KEY=…           # server-only
NEXT_PUBLIC_TURNSTILE_SITE_KEY=…

Guarded: sign-in/up, OTP send, reset,
contact + newsletter forms

Рабочий процесс внедрения

CaptchaWidget (src/captcha-widget.tsx) рендерит виджет и вставляет поле cf-turnstile-response в родительскую форму, а вызовы auth-клиента несут токен в заголовке x-captcha-response. Экшены контакта и рассылки проверяют до записи — проваленная проверка возвращает status=captcha вместо создания лида.

packages/auth монтирует captcha-плагин better-auth, когда провайдер включён; CAPTCHA_ENDPOINTS покрывает маршруты ввода учётных данных и выдачи токенов — sign-in, sign-up, отправка OTP, сброс пароля. Потребляющие эндпоинты вроде check-verification-otp остаются вне списка: там сам OTP или токен является доказательством.

Проверка и устранение неполадок

Отправьте каждую защищённую форму с отсутствующим и с некорректным токеном — оба должны отказать закрыто. Проверьте, что недоступный siteverify отклоняет, а не пропускает, что provider=off оставляет локальную разработку открытой, и что секрет никогда не попадает в клиентские бандлы или логи.