Cloudflare Turnstile: Siteverify olmadan widget hiçbir botu durdurmaz

Kayıt formunuzdaki bir bot kontrolü kusursuz görünüp yine de hiçbir şeyi durdurmayabilir.

Turnstile iki yarıdan oluşur. Tarayıcıdaki widget bir token üretir. Backend'iniz bu token'ı Siteverify'a gönderir. İkinci çağrıyı atlarsanız bir bot istediği herhangi bir string'i gönderebilir. Cloudflare'in kendi dokümanları token'ların sahte üretilebileceğini söylüyor.

Cloudflare artık bu boşluğu görebiliyor. Her widget'ı ve her Siteverify çağrısını gördüğü için, backend kontrolü olmadan trafik alan bir widget'a "Fix with Spin" banner'ı çıkıyor. Ardından kendi kodlama agent'ınız bir plan öneriyor, onay bekliyor ve eksik sunucu adımını bağlıyor.

Bu, üretilmiş bir uygulamanın hiçbir şey bozuk görünmeden atlayabileceği yarı.

Her istemci tarafı kontrol için dört şeyi doğrulayın:

• token sunucuda doğrulanıyor,
• eksik ya da tekrar kullanılan token'lar reddediliyor,
• hostname ve action beklediğinizle eşleşiyor,
• süresi dolan token'lar bir reset tetikliyor.

Widget soruyu sorar. Cevabı backend'inizin kontrol etmesi gerekir.