Web Sitesine Captcha Nasıl Eklenir? Adım Adım Rehber

Kısa yanıt

Web sitesine captcha nasıl eklenir sorusunun kısa cevabı şudur: Google reCAPTCHA, hCaptcha veya Cloudflare Turnstile gibi bir sağlayıcıdan ücretsiz bir site anahtarı alınır, bu anahtarla üretilen script sayfanın <head> bölümüne eklenir ve formun içine ilgili widget kodu yerleştirilir. Sunucu tarafında da kullanıcının gönderdiği jeton,

sağlayıcının doğrulama uç noktasına sorularak gerçek bir insan mı yoksa bot mu olduğu teyit edilir..

CAPTCHA nedir ve neden kullanılır?

CAPTCHA, “İnsan ve Bilgisayar Ayrımı Amaçlı Tam Otomatik Genel Turing Testi” ifadesinin kısaltmasıdır ve bir form göndereninin insan mı yoksa otomatik bir program mı olduğunu ayırt etmeye çalışan bir güvenlik kontrolüdür. Kullanım amacı tek bir noktada toplanır: formlara, yorum alanlarına ve giriş ekranlarına otomatik araçlarla gönderilen spam içerikleri, sahte kayıtları ve şifre kırma denemelerini engellemek. İletişim formunuza günde yüzlerce anlamsız mesaj düşmesi, kayıt formlarınızın sahte hesaplarla doldurulması veya giriş ekranınızın otomatik denemelerle hedef alınması, hepsi captcha’nın çözmeye çalıştığı aynı problemin farklı görünümleridir.

Modern captcha sürümleri artık kullanıcıya bulmaca çözdürmek yerine arka planda davranışı analiz eder; fare hareketi, tıklama hızı ve tarayıcı parmak izi gibi sinyallere bakarak çoğu gerçek kullanıcıyı hiç rahatsız etmeden geçirir, yalnızca şüpheli görülen istekleri ek bir doğrulamaya yönlendirir. Bu, hem güvenliği korur hem de kullanıcı deneyimini eski, metin okuma zorunlu sürümlere kıyasla büyük ölçüde iyileştirir.

Web sitesine captcha nasıl eklenir?

Web sitesine captcha nasıl eklenir sorusunun teknik tarafı, seçtiğiniz sağlayıcıdan bağımsız olarak hep aynı iki adımdan oluşur: önce sağlayıcının yönetim panelinden alan adınıza özel bir site anahtarı (site key) ve gizli anahtar (secret key) oluşturulur; ardından site anahtarı ön yüze (frontend), gizli anahtar ise sunucu tarafına (backend) yerleştirilir. Gizli anahtarın hiçbir zaman tarayıcıda çalışan kodun içine veya genel erişime açık bir dosyaya yazılmaması gerekir, çünkü bu anahtar ele geçirildiğinde doğrulama mekanizması tamamen atlatılabilir.

Form gönderildiğinde tarayıcı, sağlayıcının sunucusundan bir doğrulama jetonu (token) alır ve bunu formun gizli bir alanına ekler. Sunucu tarafı kod, bu jetonu kendi gizli anahtarıyla birlikte sağlayıcının doğrulama uç noktasına gönderir; dönen yanıt “insan” veya “muhtemelen bot” bilgisini verir ve forma göre gönderim kabul edilir veya reddedilir. Bu doğrulamanın yalnızca ön yüzde (JavaScript ile) değil, mutlaka sunucu tarafında da yapılması gerekir; aksi halde jeton kontrolü tarayıcı geliştirici araçlarından kolayca atlatılabilir.

Google reCAPTCHA ile captcha ekleme

Google reCAPTCHA’nın v2 sürümü klasik “ben robot değilim” kutucuğunu veya görsel bulmacayı gösterirken, v3 sürümü hiçbir kullanıcı etkileşimi istemeden arka planda 0 ile 1 arasında bir risk puanı üretir; bu puan düşükse gönderim sunucu tarafında reddedilebilir veya ikincil bir doğrulamaya yönlendirilebilir. Kurulum için Google’ın reCAPTCHA yönetim konsolundan alan adınızı kaydetmeniz, üretilen script etiketini sayfaya eklemeniz ve formun action’ına (gönderim işleyen kod parçasına) sunucu tarafı doğrulama adımını eklemeniz gerekir. Google’ın resmî reCAPTCHA dokümantasyonu, her sürümün kurulum adımlarını ve sunucu tarafı doğrulama örneklerini ayrıntılı biçimde listeler.

hCaptcha ve Cloudflare Turnstile alternatifleri

Google reCAPTCHA tek seçenek değildir. hCaptcha, benzer bir görsel bulmaca/davranış analizi modeli sunar ve gizlilik odaklı konumlanır; kurulum adımları reCAPTCHA’ya büyük ölçüde paraleldir, sadece script adresi ve API uç noktaları farklıdır. Cloudflare Turnstile ise farklı bir yaklaşım izler: çoğu durumda hiçbir bulmaca göstermeden, tarayıcının gerçek bir tarayıcı olup olmadığını teknik imzalarla kontrol eder ve kullanıcı deneyimini en az bozan seçenek olarak kabul edilir. Zaten Cloudflare kullanan bir site için Turnstile’ı entegre etmek, panel üzerinden widget oluşturup aynı site anahtarı/gizli anahtar mantığını uygulamaktan ibarettir.

WordPress’e captcha ekleme

WordPress çalıştıran bir siteye captcha eklemenin en pratik yolu kod yazmak değil, güvenilir bir eklenti kullanmaktır. Çoğu form eklentisi (örneğin iletişim formu eklentileri) ayarlar panelinde reCAPTCHA, hCaptcha veya Turnstile için doğrudan bir alan sunar; site anahtarı ve gizli anahtar bu alanlara yapıştırıldığında ek kod yazmadan koruma devreye girer. Giriş ekranını veya yorum formunu korumak isteyenler için ayrı güvenlik eklentileri benzer bir entegrasyon sunar. WordPress sitelerinde form güvenliğini genel site güvenliği ve hız dengesiyle birlikte ele aldığımız WordPress SEO, güvenlik ve hız rehberimize de göz atabilirsiniz; captcha, bu dengenin yalnızca bir parçasıdır.

CAPTCHA SEO’yu ve kullanıcı deneyimini etkiler mi?

Doğru yerleştirildiğinde captcha, SEO’ya zarar vermez; arama motoru botları zaten indekslenmesi istenen sayfaları değil, form gönderim işlemini görmez. Riskli olan, captcha’yı yalnızca form ve giriş ekranlarıyla sınırlı tutmak yerine, içerik sayfalarının önüne bir doğrulama duvarı olarak koymaktır; bu durumda arama motoru botu sayfayı tarayamaz ve o içerik indekslenemez. Kullanıcı deneyimi tarafında ise asıl risk, her ziyaretçiye zorlayıcı bir görsel bulmaca göstermektir; bu, özellikle mobilde form tamamlama oranını düşürebilir. Bu yüzden mümkün olduğunca görünmez, davranış tabanlı sürümleri (reCAPTCHA v3, Turnstile) tercih etmek, güvenlik ile dönüşüm oranı arasındaki dengeyi korumanın en pratik yoludur.

Captcha neden sık çıkıyor?

Bir ziyaretçi için captcha’nın normalden sık görünmesinin birkaç yaygın nedeni vardır: kısa süre içinde çok sayıda benzer istek gönderilmesi, bir VPN veya paylaşımlı IP adresi üzerinden bağlanılması, tarayıcıda reklam engelleyici veya gizlilik eklentilerinin captcha script’ini kısmen bloke etmesi ya da tarayıcı çerezlerinin/önbelleğinin eski ve tutarsız bir durumda olması. Site sahibi açısından bakıldığında ise captcha’nın beklenmedik şekilde sık tetiklenmesi genellikle hassasiyet eşiğinin (threshold) çok düşük ayarlanmış olduğunu gösterir; bu değer sağlayıcı panelinden gözden geçirilip gerçek spam oranına göre yeniden ayarlanabilir.

Sık yapılan hatalar

Captcha kurulumunda en sık görülen hata, gizli anahtarı sunucu tarafı kodunda saklaması gerekirken ön yüze (JavaScript dosyasına) yazmaktır; bu, anahtarı herkese açık hale getirir ve doğrulamayı değersizleştirir. İkinci yaygın hata, yalnızca ön yüzde captcha widget’ı göstermek ama sunucu tarafında jetonu hiç doğrulamamaktır; bu durumda bot, widget’ı atlayıp formu doğrudan sunucuya gönderebilir. Üçüncü hata, captcha’yı test ortamında denemeden doğrudan canlıya almaktır; bazı sağlayıcılar belirli alan adlarına kayıtlı anahtarlar ürettiğinden, yanlış alan adıyla kayıtlı bir anahtar canlıda sürekli hata verir. Son olarak, her forma eski ve zorlayıcı bir görsel bulmaca sürümü koymak da sık yapılan bir hatadır; bu, spam’i azaltmaktan çok gerçek müşterileri formu tamamlamaktan caydırabilir.

Kontrol listesi

Web sitenize captcha eklemeden önce şu adımları sırayla değerlendirmek işe yarar:

• Hangi formların gerçekten korunması gerektiğini belirleyin (iletişim, kayıt, giriş gibi işlem sayfaları; içerik sayfaları değil).
• Görünmez/davranış tabanlı bir sürümü (reCAPTCHA v3, Turnstile) öncelikli seçenek olarak değerlendirin.
• Gizli anahtarı yalnızca sunucu tarafı kodda saklayın ve jeton doğrulamasını mutlaka sunucu tarafında uygulayın; widget’ın görünmesi tek başına yeterli değildir.
• Kurulumu canlıya almadan önce test ortamında, gerçek bir form gönderimiyle doğrulayın.

Sonraki adım

Web sitesine captcha nasıl eklenir sorusunun özünde, formlarınızı gerçek müşterileri rahatsız etmeden spam ve kötüye kullanıma karşı korumak yatıyor. Doğru sağlayıcı seçimi, sunucu tarafı doğrulama ve görünmez sürümlerin tercih edilmesi, bu dengeyi kurmanın en pratik yoludur. Form tasarımını dönüşüm oranı açısından daha ayrıntılı ele aldığımız B2B teklif formu tasarımı rehberimize de göz atabilirsiniz; captcha, iyi tasarlanmış bir formun yalnızca güvenlik katmanıdır. Form güvenliğini kullanıcı hesabı güvenliğiyle birlikte düşünmek isterseniz, iki faktörlü kimlik doğrulama (2FA) rehberimize de göz atabilirsiniz.

Sitenizin form altyapısını, güvenlik katmanlarını ve sunucu tarafı entegrasyonlarını sıfırdan kurmak veya mevcut kurulumu denetletmek için özel yazılım geliştirme hizmetimize göz atabilir ya da doğrudan bizimle iletişime geçebilirsiniz. Grup şirketimiz Web Tasarım Ofisi, web projelerinde form güvenliği, spam koruması ve genel teknik altyapı kurulumunda destek sağlamaya devam ediyor.