reCAPTCHA-Alternativen für Website-Formulare

Cloudflare Turnstile ist der naheliegendste Ersatz für reCAPTCHA: Es ist meist unsichtbar, nutzt dasselbe Muster aus Site Key und Secret Key, und seine Serverprüfung nimmt dieselben Parameter. hCaptcha passt zu Sites, die Bild-Challenges von jemand anderem als Google wollen, und Proof-of-Work-Tools wie ALTCHA laufen ganz ohne Drittanbieter. Bei vielen Kontaktformularen machen Honeypot, Inhaltsbewertung und Rate-Limit ein Captcha überflüssig.

Warum Leute von reCAPTCHA wegwechseln

reCAPTCHA funktioniert noch. Die Gründe für einen Ersatz drehen sich meist um die Kosten für Besucher und für dich. Version 2 zeigt manchen Besuchern Bilderrätsel, was auf dem Handy langsam und für Screenreader-Nutzer schwierig ist. Version 3 ist unsichtbar, liefert aber einen Score, für den du selbst die Schwelle setzen musst, ohne Challenge als Rückfallebene. Und reCAPTCHA ist jetzt ein Google-Cloud-Produkt: Googles Abrechnungsdokumentation nennt ein kostenloses Kontingent von 10.000 Assessments pro Monat, mit kostenpflichtigen Stufen darüber.

Manche Teams wollen außerdem weniger Drittanbieter-Skripte auf ihren Seiten. Ob das für deine Datenschutzpflichten relevant ist, ist eine Frage für deine eigene rechtliche Prüfung; diese Seite vergleicht nur, wie die Tools funktionieren.

Die Alternativen im Vergleich

Jede Option außer der letzten hängt weiterhin von einer serverseitigen Prüfung ab. Ein Widget allein stoppt nichts, weil ein Bot an deinen Endpunkt senden kann, ohne die Seite zu laden.

Was jede Option von Menschen verlangt

Beurteile jede Option nach dem Besucher, der sich damit am schwersten tut. Bilderrätsel sind auf dem Handy langsam und für jemanden, der schlecht sieht, schwer oder unmöglich; Audio-Alternativen helfen manchen und frustrieren andere. Unsichtbare Prüfungen wie der übliche Modus von Turnstile, reCAPTCHA v3 und Proof-of-Work-Widgets verlangen von den meisten Besuchern nichts, können aber bei Leuten mit datenschutzorientierten Browsern, strengen Netzwerken oder alten Geräten trotzdem scheitern. Wenn das passiert, braucht die Person einen Ausweg: eine sichtbare Checkbox, eine klare Meldung oder eine E-Mail-Adresse, an die sie stattdessen schreiben kann. Ein Formular, das still scheitert, verliert genau die Nachrichten, von denen du nie erfährst.

In zwei Fragen entscheiden

Von reCAPTCHA zu Turnstile wechseln

Die beiden sind sich so ähnlich, dass der Wechsel auf jeder Seite nur ein paar Zeilen umfasst. Leg im Cloudflare-Dashboard ein Turnstile-Widget für dieselben Hostnamen an und ändere dann Markup und Serverprüfung gemeinsam.

<form action="/api/contact" method="POST">
  <input name="email" type="email" required />
  <textarea name="message" required></textarea>
  <div class="g-recaptcha" data-sitekey="RECAPTCHA_SITE_KEY"></div>
  <button>Send</button>
</form>
<script src="https://www.google.com/recaptcha/api.js" async defer></script>

const form = await request.formData();
const body = new URLSearchParams({
  secret: process.env.RECAPTCHA_SECRET_KEY!,
  response: String(form.get("g-recaptcha-response") ?? ""),
});
const check = await fetch("https://www.google.com/recaptcha/api/siteverify", { method: "POST", body });
const { success } = (await check.json()) as { success: boolean };

• Das gilt für klassische reCAPTCHA-Schlüssel, die bei siteverify verifiziert werden. In Google Cloud erstellte Schlüssel werden stattdessen über die Assessments-API von reCAPTCHA Enterprise geprüft; die Turnstile-Seite ist dieselbe.
• Wenn du v3 genutzt hast, entferne deine Score-Schwelle. Turnstile antwortet mit bestanden oder nicht bestanden; prüfe stattdessen action in seiner Antwort.
• Aktualisiere deine Content Security Policy: Erlaube https://challenges.cloudflare.com in script-src und frame-src und entferne die Google-Einträge, sobald nichts sie mehr nutzt.
• Liefere Markup und Serveränderung im selben Deployment aus. Eine Seite mit dem neuen Widget, die an einen Server sendet, der noch g-recaptcha-response erwartet, lässt jede Einsendung scheitern.

reCAPTCHA durch Ikiform ersetzen

Wenn dein Formular an Ikiform sendet, entferne das reCAPTCHA-Widget komplett. Ikiform verifiziert keine reCAPTCHA- oder hCaptcha-Tokens. Der übrig gebliebene Wert g-recaptcha-response käme als zusätzliches Feld an oder würde mit 422 validation_failed als unbekanntes Feld scheitern, wenn du die Felder des Formulars definiert hast. Wähle dann, was es ersetzt:

• Nichts weiter. Honeypot, Inhaltsbewertung und Rate-Limits laufen bei jedem Formular. Viele Kontaktformulare brauchen nicht mehr.
• Spamprüfung auf Ikiform. Cloudflare Turnstile, von Ikiform ausgeführt, ohne Konto oder Schlüssel. Ein einfacher HTML-Post bekommt eine kurze Prüfseite; fetch-Code ruft challenge() aus @ikiform/sdk auf.
• Eigene Turnstile-Schlüssel. Behalte dein eigenes Widget auf der Seite, füge die Schlüssel in die Einstellungen des Formulars ein, und Ikiform verifiziert das Token.

<form action="https://ikiform.com/f/frm_xxxxxxxxxxxxxxxx" method="POST">
  <input name="email" type="email" required />
  <textarea name="message" required></textarea>
  <input name="_gotcha" type="text" tabindex="-1" autocomplete="off" hidden />
  <button>Send</button>
</form>

Dieses Formular hat gar kein Widget. Mit Spam check auf Ikiform findet die Menschlichkeitsprüfung nach dem Post auf ikiform.com statt, deine Seite lädt also kein Captcha-Skript. Die Spam-Dokumentation behandelt jeden Modus.

Prüfen, ob es funktioniert

1. Sende das Formular nach dem Wechsel ab. Der Post wird angenommen, und du hast höchstens eine Checkbox gesehen.
2. Sende mit curl ohne Token an den Endpunkt. Er wird abgelehnt, was beweist, dass der Server das neue Token prüft.
3. Durchsuche deine Seiten nach g-recaptcha und recaptcha/api.js. Nichts ist übrig.
4. Öffne Submissions im Dashboard. Die neue Einsendung ist da, mit jedem Feld, das du gesendet hast.
5. Nichts angekommen? Stell den Statusfilter im Dashboard auf Spam. Spam bekommt dieselbe Erfolgsantwort wie eine echte Einsendung.

Stolperfallen

• Baukasten-Einstellungen. Website-Baukästen mit eingebauter reCAPTCHA-Einstellung verlangen das Element eventuell in jedem Formular, solange sie aktiv ist. Schalte die Einstellung aus, bevor du die Elemente entfernst.
• Gecachte Seiten. Besucher mit einer alten gecachten Seite senden nach dem Deployment noch eine Weile g-recaptcha-response. Rechne mit ein paar Fehlschlägen oder akzeptiere einen Tag lang beide Tokens.
• v3-Scores in Berichten. Wenn Dashboards oder Alerts den reCAPTCHA-Score lesen, verstummen sie nach dem Wechsel. Aktualisiere sie.

Fragen