Captcha Nedir?

23.07.2026
Genel
1770
4 dk okuma

İletişim formuna saniyeler içinde yüzlerce sahte mesaj gelmesi, üyelik alanında otomatik hesaplar açılması veya giriş ekranının parola denemeleriyle zorlanması çoğu zaman bot trafiğinin sonucudur. CAPTCHA, gerçek kullanıcılarla otomatik istekleri ayırmaya yardımcı olan güvenlik katmanlarının genel adıdır. Fakat güncel bir CAPTCHA uygulaması yalnızca ekrana “robot değilim” kutusu koymaktan ibaret değildir; kullanıcı deneyimi, erişilebilirlik, gizlilik ve sunucu tarafı doğrulaması birlikte düşünülmelidir.

CAPTCHA ne işe yarar?

CAPTCHA; form gönderimi, üyelik, giriş, parola sıfırlama, yorum ve ödeme öncesi adımlarda otomasyonu zorlaştırır. Amaç bütün botları tek başına durdurmak değil, kötüye kullanım maliyetini artırmak ve riskli istekleri ek kontrole almaktır. Arama motoru botları gibi doğrulanmış otomasyonlar ile spam, veri kazıma veya parola denemesi yapan araçlar aynı davranışı göstermediği için tek bir kontrol her senaryoda yeterli olmaz.

Günümüzde kullanılan CAPTCHA türleri

Görsel ve metin tabanlı testler

Bozuk harfleri okuma, belirli nesneleri seçme veya basit soru cevaplama yöntemleri klasik CAPTCHA örnekleridir. Uygulaması kolay görünse de görme engelli kullanıcılar, düşük çözünürlüklü ekranlar ve farklı dil kullanan ziyaretçiler için ciddi engeller oluşturabilir. Gelişmiş görüntü tanıma sistemleri nedeniyle güvenlik avantajları da geçmişe göre azalmıştır.

Davranış ve risk analizi

Modern çözümler; tarayıcı özellikleri, istek düzeni ve etkileşim sinyallerinden yararlanarak risk değerlendirmesi yapar. Düşük riskli kullanıcı hiçbir test görmeden devam edebilir, şüpheli durumda ek doğrulama istenebilir. Cloudflare Turnstile gibi çözümler yönetilen, etkileşimsiz ve görünmez çalışma seçenekleri sunar. Turnstile, sitenin Cloudflare CDN kullanmasını zorunlu kılmadan da forma eklenebilir.

Honeypot ve zaman kontrolü

İnsanların görmediği ancak basit botların doldurduğu gizli alanlar “honeypot” olarak adlandırılır. Formun gerçekçi olmayan hızda gönderilmesi de şüpheli kabul edilebilir. Bu yöntemler düşük maliyetlidir fakat tek başına güçlü koruma değildir; botlar alanları ve zamanlamayı öğrenebilir.

En kritik kural: doğrulama sunucuda yapılmalıdır

Tarayıcıda çalışan widget başarı sinyali üretse bile bu sonuç doğrudan güvenilir kabul edilmemelidir. Kullanıcı formu gönderdiğinde oluşan token, uygulamanın sunucusu tarafından sağlayıcının doğrulama servisine gönderilmelidir. Cloudflare’ın güncel dokümantasyonuna göre Turnstile token’ları beş dakika içinde sona erer ve yalnızca bir kez doğrulanabilir. Gizli anahtar hiçbir zaman HTML veya istemci tarafı JavaScript içinde yayınlanmamalıdır.

Kullanıcı formu doldurur ve CAPTCHA çözümü bir token üretir.
Form verileri ile token aynı istekte sunucuya gönderilir.
Sunucu token’ı doğrulama API’sine iletir.
Doğrulama başarılıysa veri ayrıca içerik, hız ve yetki kurallarından geçirilir.
Başarısız veya süresi geçmiş token işleme alınmaz.

CAPTCHA tek başına yeterli mi?

Hayır. Güçlü koruma katmanlı olmalıdır. IP veya hesap bazlı hız sınırı, CSRF koruması, sunucu tarafında alan doğrulama, oturum güvenliği, başarısız denemelerin kaydı ve gerektiğinde web uygulama güvenlik duvarı birlikte çalışmalıdır. Sadece CAPTCHA’ya güvenmek, token doğrulamasındaki bir hata veya yeni bir bot tekniği karşısında sistemi savunmasız bırakabilir.

Kullanıcı deneyimi ve erişilebilirlik

Güvenlik kontrolü gerçek müşteriyi engellememelidir. Widget mobil ekranda taşmamalı, klavyeyle kullanılabilmeli ve ekran okuyucularla uyumlu olmalıdır. Cloudflare, Turnstile’ın WCAG 2.2 AA uyumlu olduğunu belirtir; yine de sitenin kendi form yapısı ayrıca test edilmelidir. Hata mesajı “İşlem başarısız” demek yerine token’ın yenilenmesi veya formun yeniden gönderilmesi gerektiğini açıklamalıdır.

Hangi sayfalarda CAPTCHA kullanılmalı?

Spam alan iletişim ve teklif formlarında
Üyelik, giriş ve parola sıfırlama işlemlerinde
Yorum, değerlendirme ve içerik gönderim alanlarında
Yoğun otomatik sorgu alan fiyat veya stok araçlarında
Risk analizinin şüpheli bulduğu ödeme öncesi adımlarda

Her sayfada sürekli CAPTCHA göstermek gereksiz sürtünme oluşturabilir. Risk temelli yaklaşım, yalnızca ihtiyaç duyulan noktada kontrol uygulayarak dönüşümü korur.

Uygulama kontrol listesi

Token gerçekten sunucu tarafında doğrulanıyor mu?
Gizli anahtar istemci kodundan tamamen uzak mı?
Alan adı kısıtlaması ve test/üretim anahtarları ayrıldı mı?
Başarısız denemeler kişisel verileri gereksiz saklamadan izleniyor mu?
Mobil, klavye ve ekran okuyucu testleri yapıldı mı?
CAPTCHA dışında hız sınırı ve form doğrulaması var mı?

Sonuç

Doğru CAPTCHA çözümü bot trafiğini azaltırken gerçek kullanıcıyı mümkün olduğunca az yorar. Sağlayıcı seçiminden daha önemli olan; token’ın sunucuda doğrulanması, gizli anahtarın korunması ve CAPTCHA’nın diğer güvenlik katmanlarıyla desteklenmesidir. Formlarınız yoğun spam alıyorsa önce trafik örüntüsünü inceleyin, ardından erişilebilir ve risk temelli bir çözüm uygulayın.

Resmî kaynak: Cloudflare Turnstile başlangıç ve sunucu doğrulama dokümantasyonu.

İçerik editörlüğü ve destek

Bu içerik İlter Web Tasarım editör ekibi tarafından bilgilendirme amacıyla hazırlanmıştır. Projenize özel değerlendirme için ekibimizle iletişime geçebilirsiniz.

Uzmanla Görüşün

İlgili İçerikler

Yorum Yapabilirsiniz.

E-posta mailiniz gizli kalacaktır.*