Tài khoản giả gây thiệt hại cho doanh nghiệp. Bot đăng ký dùng thử miễn phí, lạm dụng chương trình giới thiệu, và tràn ngập nền tảng bằng spam. Một số doanh nghiệp trả tiền cho phần mềm chống gian lận để ngăn chặn điều này. Số khác chưa đủ khả năng chi trả, hoặc muốn thử nghiệm vấn đề trước bằng công cụ miễn phí.

Hướng dẫn này chỉ ra một lộ trình mã nguồn mở miễn phí (open-source) để bảo vệ bot và bảo vệ tài khoản giả cho trang web của bạn. Nó sử dụng hai công cụ: CrowdSec và ALTCHA. Cả hai đều là mã nguồn mở, chạy trên máy chủ của bạn, và không tốn phí ở mức cơ bản.

Chúng tôi đã xây dựng và thử nghiệm thiết lập này trên máy chủ Ubuntu 26.04 LTS. Mọi lệnh trong hướng dẫn đều từ bài kiểm tra đó.

Phần mềm chống gian lận là gì?

Phần mềm chống gian lận phát hiện và chặn các hoạt động có hại trước khi chúng gây thiệt hại. Đối với việc tạo tài khoản, điều đó có nghĩa là ngăn chặn đăng ký giả, đăng ký bot, và tài khoản stolen-identity (danh tính bị đánh cắp).

Các nền tảng chống gian lận trả phí chấm điểm từng khách truy cập theo thời gian thực. Chúng kiểm tra các tín hiệu như dấu vân tay thiết bị, chuyển động chuột, tốc độ gõ phím, và danh tiếng mạng. Nhà cung cấp cập nhật các mô hình này thường xuyên, dựa trên dữ liệu tổng hợp từ nhiều khách hàng.

Các công cụ miễn phí, mã nguồn mở có thể đảm nhận một phần công việc này. Chúng không thể sánh với phạm vi đầy đủ của nền tảng trả phí. Hướng dẫn này cho thấy các công cụ miễn phí có thể làm gì, và giới hạn của chúng.

Tại sao điều này quan trọng với cửa hàng thương mại điện tử

Tài khoản giả gây thiệt hại cho cửa hàng trực tuyến theo những cách tốn kém. Bot có thể tạo hàng chục tài khoản để nhận mã giảm giá cho đơn hàng đầu tiên, lặp đi lặp lại. Tài khoản giả có thể để lại đánh giá giả, làm mất lòng tin của người mua. Chúng cũng có thể trục lợi tiền thưởng giới thiệu, đăng ký bằng các liên kết giới thiệu giả để thu thập phần thưởng dành cho khách hàng thật.

Ngăn chặn lạm dụng mã khuyến mãi và chống gian lận giới thiệu quan trọng nhất khi thiệt hại tài chính là trực tiếp và dễ đo lường. Nếu cửa hàng của bạn có chương trình giảm giá khi đăng ký, chương trình giới thiệu, hoặc hệ thống đánh giá, thì bảo vệ tài khoản giả là không thể bỏ qua.

Thiết lập trong hướng dẫn này hoạt động tương tự cho biểu mẫu đăng ký hoặc tạo tài khoản thanh toán của cửa hàng trực tuyến như cho bất kỳ trang web nào khác.

Hai lớp bảo vệ bot và tài khoản giả

Bảo vệ tài khoản giả hoạt động tốt nhất theo nhiều lớp. Không có công cụ nào bắt được tất cả. Hướng dẫn này xây dựng hai lớp.

  1. CrowdSec theo dõi lưu lượng mạng. Nó chặn các địa chỉ IP xấu đã biết, các cuộc tấn công brute-force đăng nhập, và quét tự động.
  2. ALTCHA theo dõi biểu mẫu đăng ký. Nó sử dụng proof-of-work challenge để lọc các bot đơn giản.

Cùng nhau, các lớp này chặn một phần lớn lưu lượng bot ít nỗ lực. Chúng không ngăn được những kẻ tấn công sử dụng trình duyệt thật và hành vi giống con người. Chúng tôi giải thích khoảng trống đó sau trong hướng dẫn này.

Điều kiện tiên quyết

Hướng dẫn này được xây dựng và thử nghiệm trên thiết lập sau.

Chúng tôi sẽ hướng dẫn bạn cách cài đặt và cấu hình từng công cụ tại thời điểm cần thiết.

Phần 1: Thiết lập CrowdSec

CrowdSec là hệ thống ngăn chặn xâm nhập mã nguồn mở. Nó đọc nhật ký hệ thống, như nhật ký SSH và nhật ký máy chủ web. Nó tìm kiếm các mẫu tấn công trong nhật ký. Khi phát hiện, nó tạo quyết định chặn địa chỉ IP đó. Một chương trình riêng, gọi là bouncer, thực thi lệnh chặn thông qua tường lửa của máy chủ.

CrowdSec cũng chia sẻ dữ liệu mối đe dọa trong cộng đồng người dùng. Nếu một người dùng CrowdSec khác chặn một địa chỉ IP tấn công, máy chủ của bạn có thể hưởng lợi từ việc chặn đó. Điều này yêu cầu đăng ký vào CrowdSec Console, một bước miễn phí được đề cập dưới đây.

Kiểm tra hệ thống trước

Xác nhận phiên bản hệ điều hành và một số cài đặt trước khi cài đặt bất cứ thứ gì:

lsb_release -a
sudo systemctl status ufw
timedatectl

Xác nhận ba điều: phiên bản hệ điều hành, tường lửa UFW có hoạt động không, và đồng hồ hệ thống được đồng bộ. CrowdSec cần dấu thời gian chính xác để hoạt động đúng.

Quy tắc tường lửa nếu UFW hoạt động

CrowdSec và UFW làm các công việc khác nhau. UFW kiểm soát cổng nào được mở. Bouncer của CrowdSec chặn các địa chỉ IP cụ thể mà nó gắn cờ là độc hại. Cái này không thay thế cái kia. Giữ UFW hoạt động, và để bouncer của CrowdSec chạy song song.

Nếu UFW hoạt động, chỉ mở những gì thiết lập này cần.

Cho phép SSH trước khi bật UFW, không phải sau. Nếu bạn bật UFW mà không có quy tắc SSH trước, bạn sẽ tự khóa mình khỏi máy chủ từ xa ngay lập tức, không có cách nào quay lại ngoại trừ bảng điều khiển của nhà cung cấp đám mây.

sudo ufw allow OpenSSH
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status verbose

Cổng 5000 và 8080 cố tình đóng. Flask chỉ cần Nginx truy cập được, trên cùng một máy, qua 127.0.0.1. Mở cổng 5000 cho công chúng sẽ cho phép khách truy cập bỏ qua Nginx và TLS, truy cập trực tiếp Flask. Agent và bouncer của CrowdSec cũng nói chuyện với nhau qua 127.0.0.1, và chỉ cần cổng công cộng nếu bạn chạy CrowdSec trên nhiều máy chủ, điều mà hướng dẫn này không đề cập.

UFW và bouncer của CrowdSec tạo các quy tắc tường lửa riêng biệt và không xung đột trong sử dụng bình thường.

Một lưu ý: Trên một số thiết lập, các quy tắc riêng của UFW có thể làm cho bộ đếm số liệu của bouncer kém chính xác hơn. Việc chặn vẫn hoạt động chính xác. Chỉ hiển thị số liệu bị ảnh hưởng.

Cài đặt CrowdSec Agent

Mở terminal và chạy các lệnh sau để thêm kho lưu trữ CrowdSec và cài đặt agent trên Ubuntu:

curl -s https://install.crowdsec.net | sudo sh

sudo apt install -y crowdsec

Điều này cài đặt công cụ phát hiện lõi, gọi là agent. Agent đọc nhật ký. Nó không chặn lưu lượng một mình.

Kiểm tra cài đặt:

sudo systemctl status crowdsec --no-pager

sudo cscli collections list

Một collection là một gói các quy tắc phát hiện cho một loại dịch vụ. Trên máy chủ mới, CrowdSec cài đặt các collection cho SSH và bảo mật Linux chung theo mặc định.

Đầu ra mẫu:

────────────────────────────────────────────────────────────────────────────────────────────────────────────────
COLLECTIONS
────────────────────────────────────────────────────────────────────────────────────────────────────────────────
Name                                 📦 Status   Version  Local Path
────────────────────────────────────────────────────────────────────────────────────────────────────────────────
crowdsecurity/linux                  ✔️  enabled  0.4      /etc/crowdsec/collections/linux.yaml
crowdsecurity/sshd                   ✔️  enabled  0.9      /etc/crowdsec/collections/sshd.yaml
crowdsecurity/whitelist-good-actors  ✔️  enabled  0.4      /etc/crowdsec/collections/whitelist-good-actors.yaml
────────────────────────────────────────────────────────────────────────────────────────────────────────────────

Cài đặt Nginx và kết nối với CrowdSec

Hầu hết việc tạo tài khoản giả xảy ra qua biểu mẫu đăng ký của trang web. Để bảo vệ biểu mẫu đó, CrowdSec cần đọc nhật ký máy chủ web của bạn.

Cài đặt Nginx:

sudo apt install -y nginx

Thêm collection Nginx:

sudo cscli collections install crowdsecurity/nginx

Lưu ý rằng cài đặt collection chỉ thêm các quy tắc phát hiện. Nó không cho CrowdSec biết tệp nhật ký ở đâu. Bạn phải thêm điều đó riêng:

sudo tee /etc/crowdsec/acquis.d/nginx.yaml > /dev/null <<EOF
filenames:
- /var/log/nginx/access.log
- /var/log/nginx/error.log
labels:
type: nginx
EOF

Khởi động lại dịch vụ CrowdSec để áp dụng các thay đổi:

sudo systemctl restart crowdsec

Kiểm tra rằng CrowdSec bây giờ đọc các nhật ký này:

curl http://localhost/

sudo cscli metrics

Tìm /var/log/nginx/access.log trong bảng Acquisition Metrics. Số dòng đã đọc phải lớn hơn không.

Cài đặt Bouncer

Agent phát hiện. Bouncer chặn. Chúng ta cần cả hai.

Ubuntu 26.04 sử dụng nftables làm backend tường lửa. Điều này thay thế hệ thống iptables cũ. Cài đặt bouncer phù hợp:

sudo apt install -y crowdsec-firewall-bouncer-nftables

sudo cscli bouncers list

Danh sách bouncer sẽ hiển thị bouncer của bạn là hợp lệ. Nó cũng nên hiển thị dấu thời gian kết nối gần đây.

Đầu ra mẫu:

────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
Name                            IP Address  Valid  Last API pull         Type                       Version                                                                  Auth Type
────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
cs-firewall-bouncer-1786521275  127.0.0.1   ✔️      2026-08-12T07:54:36Z  crowdsec-firewall-bouncer  v0.0.36-debian-pragmatic-amd64-4c315193cd4f19e3937cdee2f15183ec4d602f56  api-key
────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────

Xác nhận toàn bộ pipeline hoạt động

Kiểm tra bằng lệnh chặn thủ công. Sử dụng địa chỉ IP kiểm tra dành riêng sẽ không bao giờ mang lưu lượng thực:

sudo cscli decisions add --ip 192.0.2.100 --duration 5m --reason "manual-test-block"

sudo nft list ruleset | grep -A 5 -i crowdsec

Kiểm tra kết quả. Nếu địa chỉ IP (ví dụ 192.0.2.100 trong trường hợp của chúng tôi) xuất hiện trong bộ quy tắc nftables với quy tắc drop, toàn bộ chuỗi hoạt động: phát hiện, quyết định, và thực thi.

Tham gia mạng lưới tình báo mối đe dọa cộng đồng

Chúng tôi đã cài đặt agent CrowdSec trên máy của mình. Tiếp theo chúng ta cần thêm máy vào mạng CrowdSec.

Để làm điều đó, chạy:

sudo cscli console enroll --quick

Lệnh này in ra một liên kết.

INFO Please visit the following URL to enroll your instance: https://app.crowdsec.net/quick-enroll?token=xxxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
INFO This link is valid for the next 15m0s.
INFO Please restart crowdsec after accepting the enrollment.
INFO manual set to true
INFO context set to true
INFO Enabled manual : Forward manual decisions to the console
INFO Enabled tainted : Forward alerts from tainted scenarios to the console
INFO Enabled context : Forward context with alerts to the console

Mở nó trong trình duyệt. Đăng nhập vào tài khoản CrowdSec miễn phí và nhấp Enroll engine. Lưu ý rằng liên kết chỉ có giá trị trong 15 phút, vì vậy hãy hoàn thành bước này càng sớm càng tốt.

Bước này kết nối máy chủ của bạn với danh sách chặn dùng chung của CrowdSec, được xây dựng từ dữ liệu của nhiều người dùng.

CrowdSec bắt được gì, và bỏ sót gì

CrowdSec mạnh trong việc ngăn chặn gian lận ở cấp độ mạng. Nó chặn:

  • Các cuộc tấn công SSH brute-force
  • Các địa chỉ IP độc hại đã biết
  • Quét tự động và các nỗ lực khai thác phổ biến

CrowdSec không theo dõi những gì xảy ra bên trong biểu mẫu đăng ký của bạn. Nó không thể phân biệt người thật với bot, nếu cả hai gửi yêu cầu bình thường từ một địa chỉ IP sạch. Đây là lý do tại sao bảo vệ tài khoản giả cần một lớp thứ hai.

Phần 2: Thêm ALTCHA để bảo vệ tài khoản giả

ALTCHA là một giải pháp thay thế CAPTCHA mã nguồn mở. Nó không yêu cầu người dùng giải câu đố. Thay vào đó, nó yêu cầu trình duyệt của họ giải một bài toán nhỏ, gọi là proof-of-work challenge. Trình duyệt thật giải quyết điều này trong chưa đầy một giây. Bot đơn giản bỏ qua bước này và bị chặn.

ALTCHA có hai phần:

  • Widget mã nguồn mở. Miễn phí và tự lưu trữ. Đây là cái chúng tôi sử dụng trong hướng dẫn này.
  • ALTCHA Sentinel. Một sản phẩm riêng biệt, trả phí. Nó thêm học máy và phân tích hành vi. Chúng tôi đề cập đến điều này sau.

Xây dựng ứng dụng đăng ký thử nghiệm

Chúng tôi đã sử dụng Flask, một framework web Python nhỏ, để xây dựng biểu mẫu đăng ký thử nghiệm. Điều này mô phỏng một trang tạo tài khoản thực. Nó thu thập email và tên người dùng, sau đó kiểm tra giải pháp ALTCHA hợp lệ trước khi lưu tài khoản.

Cài đặt pip nếu nó chưa được cài đặt:

sudo apt install -y python3.14-venv python3-pip

Thiết lập môi trường:

mkdir -p ~/testapp && cd ~/testapp
python3 -m venv venv
source venv/bin/activate
pip install flask altcha

Mã ứng dụng đầy đủ có sẵn dưới dạng GitHub Gist trong kho GitHub của chúng tôi. Tải xuống bằng lệnh:

curl -O https://gist.githubusercontent.com/ostechnix/679974866de0cc00f0de57a8b14ccd12/raw/d917c3c79c358f70105801e40d2559235e54f570/altcha-signup-demo.py

Tệp bao gồm biểu mẫu đăng ký, endpoint challenge, và trang quản trị. Trang quản trị ghi lại cả đăng ký được chấp nhận và bị từ chối. Các phần chính là:

  • Một route GET /altcha-challenge. Nó tạo một proof-of-work challenge mới cho mỗi lần tải trang.
  • Một route POST /signup. Nó từ chối bất kỳ yêu cầu nào thiếu payload ALTCHA hợp lệ, đã giải.
  • Một bảng cơ sở dữ liệu cho các lần thử bị từ chối. Nó ghi lại lý do và địa chỉ IP nguồn. Nhật ký này cung cấp bằng chứng thực tế về những gì công cụ bắt được.

Đổi tên và chạy nó:

mv altcha-signup-demo.py app.py
python app.py &

Bây giờ ứng dụng sẽ chạy trong nền.

Kết nối Nginx như một reverse proxy

Một reverse proxy nằm giữa internet và ứng dụng của bạn. Nó chuyển tiếp yêu cầu đến Flask. Nó cũng xử lý mã hóa và ghi nhật ký.

sudo tee /etc/nginx/sites-available/testapp > /dev/null <<'EOF'
server {
listen 80;
server_name _;
return 301 https://$host$request_uri;
}
server {
listen 443 ssl;
server_name _;
ssl_certificate     /etc/nginx/ssl/testapp.crt;
ssl_certificate_key /etc/nginx/ssl/testapp.key;
location / {
proxy_pass http://127.0.0.1:5000;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
EOF

Tệp này một mình không làm gì cho đến khi Nginx được yêu cầu sử dụng nó. Kích hoạt site, xóa site mặc định, và kiểm tra cấu hình trước khi tải lại:

sudo rm -f /etc/nginx/sites-enabled/default

sudo ln -s /etc/nginx/sites-available/testapp /etc/nginx/sites-enabled/testapp

Cấu hình HTTPS (Quan trọng)

Điểm này làm nhiều người dùng first-time ALTCHA ngạc nhiên. Proof-of-work challenge dựa trên một tính năng trình duyệt gọi là Web Crypto API. Trình duyệt chỉ cho phép tính năng này qua HTTPS, hoặc trên localhost. Kết nối HTTP thông thường qua địa chỉ mạng cục bộ sẽ thất bại. Trình duyệt sẽ báo: "Secure context (HTTPS) required."

Đối với phòng thí nghiệm thử nghiệm, chứng chỉ tự ký (self-signed) là đủ:

sudo mkdir -p /etc/nginx/ssl

sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
-keyout /etc/nginx/ssl/testapp.key \
-out /etc/nginx/ssl/testapp.crt \
-subj "/CN=192.168.0.30"

Đối với trang web trực tiếp, hãy sử dụng chứng chỉ từ cơ quan đáng tin cậy, chẳng hạn như Let's Encrypt. Thay thế 192.168.0.30 trong lệnh trên bằng địa chỉ IP máy chủ của bạn.

Kiểm tra cấu hình nginx xem có lỗi không:

sudo nginx -t

Bạn sẽ thấy:

nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful

Nếu không có lỗi, hãy khởi động lại dịch vụ nginx:

sudo systemctl reload nginx

nginx -t chỉ kiểm tra cú pháp. Nó sẽ không cảnh báo nếu không có site nào được kích hoạt, vì vậy đừng bỏ qua bước ln -s trong phần trước.

Khớp phiên bản widget với phiên bản thư viện

Trong quá trình thử nghiệm, widget ALTCHA thất bại với "Verification failed," gần như ngay lập tức. Tốc độ đó là manh mối: một bài kiểm tra proof-of-work thực sự mất một chút thời gian để chạy. Nguyên nhân là sự không khớp phiên bản. Thư viện Python trên máy chủ xây dựng một định dạng challenge. Các phiên bản cũ hơn của widget JavaScript mong đợi một định dạng khác, cũ hơn.

Cách khắc phục rất đơn giản: khớp các phiên bản chính. Tại thời điểm hướng dẫn này, widget hiện tại là phiên bản 3. Nó sử dụng thuộc tính challenge trong HTML, và kết hợp chính xác với thư viện Python altcha hiện tại. Kiểm tra phiên bản của bạn trước khi cho rằng thiết lập của bạn bị hỏng.

Kiểm tra kết quả

Đầu tiên, tìm địa chỉ máy chủ của bạn và mở trang đăng ký. Chạy lệnh này trên máy chủ để tìm IP LAN của nó:

ip -4 addr show | grep inet

Tìm địa chỉ dưới giao diện mạng chính của bạn, chẳng hạn như 192.168.0.30. Ví dụ này sử dụng địa chỉ đó; thay thế bằng IP máy chủ của bạn trong suốt quá trình.

Từ trình duyệt trên thiết bị khác trong cùng mạng, truy cập https://192.168.0.30/.

Bạn sẽ thấy cảnh báo chứng chỉ trước tiên. Điều này là bình thường, vì chứng chỉ tự ký cho phòng thí nghiệm này. Nhấp qua nó: trong Firefox, chọn "Advanced," rồi "Accept the Risk and Continue." Trong Chrome, chọn "Advanced," rồi "Proceed."

Trang đăng ký sẽ tải, với trường email, trường tên người dùng, và hộp kiểm ALTCHA bên dưới.

Một thiết lập hoạt động cho thấy hai kết quả.

Một trình duyệt thật, giải challenge, thành công. Nhấp vào hộp kiểm. Widget giải proof-of-work challenge và hiển thị dấu kiểm màu xanh lá cây, nhãn "Verified." Điều này mất một chút thời gian. Nó không tức thì, vì tính toán thực đang diễn ra trong trình duyệt của bạn.

Điền vào biểu mẫu và nhấp "Sign Up." Trang sẽ hiển thị "Account created."

Sử dụng bất kỳ giá trị nào trong biểu mẫu đăng ký. Nó sẽ hoạt động.

Một script bot, bỏ qua challenge, thất bại.

curl -sk -X POST https://localhost/signup -d "[email protected]&username=botuser"

Yêu cầu này không mang payload ALTCHA. Máy chủ từ chối nó và ghi lại lý do. Một script bỏ qua mã trình duyệt thực không thể vượt qua kiểm tra này.

127.0.0.1 - - [12/Aug/2026 08:22:14] "POST /signup HTTP/1.0" 400 -
<!DOCTYPE html>
<html>
<head><title>Blocked</title></head>
<body style="font-family: sans-serif; max-width: 400px; margin: 40px auto;">
<h2>Signup rejected</h2>
<p>Reason: Missing verification payload (bot-like request)</p>
<a href="/">Try again</a>
</body>

Truy cập https://192.168.0.30/admin (sử dụng địa chỉ máy chủ của bạn) để xem cả hai kết quả cạnh nhau: đăng ký thật được chấp nhận, và nỗ lực bot bị ghi là từ chối, với lý do và địa chỉ IP nguồn.

Chúc mừng! Bạn vừa xây dựng một thiết lập bảo vệ tài khoản giả cho trang web của mình bằng CrowdSec và ALTCHA trên Ubuntu.

Như bạn thấy, đây là thiết lập rất cơ bản nhưng nó hoạt động! Hãy khám phá tài liệu ALTCHA để có cấu hình nâng cao hơn.

Hạn chế

CrowdSec và widget ALTCHA mã nguồn mở chặn các bot đơn giản, ít nỗ lực. Chúng không chặn mọi loại tài khoản giả. Đây là giới hạn trung thực của thiết lập trong hướng dẫn này.

Một kẻ tấn công có khả năng hơn có thể sử dụng một trình duyệt tự động thực sự, được điều khiển bởi các công cụ như Playwright hoặc Selenium. Loại bot này chạy JavaScript thực sự. Nó có thể giải proof-of-work challenge của ALTCHA, giống như trình duyệt của con người. Chống lại loại kẻ tấn công này, bộ công cụ miễn phí trong hướng dẫn này không cung cấp bảo vệ.

Đây là khoảng trống mà các nền tảng bảo vệ bot và chống gian lận trả phí nhắm đến. Chúng thêm các tín hiệu ngoài proof-of-work. Bao gồm chuyển động chuột, nhịp gõ phím, và dấu vân tay thiết bị. Chúng cũng sử dụng các mô hình được đào tạo trên lưu lượng từ nhiều khách hàng. Mức độ đóng khoảng trống của một nền tảng phụ thuộc vào nhà cung cấp. Nó cũng phụ thuộc vào lưu lượng của chính bạn. Hãy tự nghiên cứu và tìm giải pháp thương mại tốt nhất cho các trang web sản xuất của bạn.

Câu hỏi thường gặp (FAQ)

Q: CrowdSec có miễn phí không?

A: Có. Agent và bouncer lõi của CrowdSec là mã nguồn mở và miễn phí để tự lưu trữ. Một tầng console trả phí tồn tại cho các tổ chức lớn hơn, nhưng không bắt buộc cho thiết lập trong hướng dẫn này.

Q: ALTCHA có miễn phí không?

A: Widget ALTCHA miễn phí và mã nguồn mở. ALTCHA Sentinel là một sản phẩm riêng biệt với các tính năng học máy. Nó trả phí, sau bản dùng thử 30-day.

Q: Bot có thể vượt qua ALTCHA không?

A: Một script đơn giản gửi biểu mẫu trực tiếp, mà không tải trang hoặc chạy JavaScript, không thể vượt qua ALTCHA. Một bot sử dụng trình duyệt tự động đầy đủ có thể giải challenge, vì nó hoạt động như một trình duyệt thực. Đây là giới hạn chính của widget open-source miễn phí.

Q: Tôi có cần HTTPS để ALTCHA hoạt động không?

A: Có. Proof-of-work challenge phụ thuộc vào một tính năng trình duyệt chỉ hoạt động qua HTTPS, hoặc trên localhost. Một trang HTTP thông thường sẽ không hoạt động, ngay cả trên mạng cục bộ.

Q: Khi nào tôi nên trả tiền cho phần mềm chống gian lận thay vì dùng miễn phí?

A: Cân nhắc nền tảng trả phí khi tài khoản giả gây thiệt hại tài chính thực sự. Cũng cân nhắc khi bạn có bằng chứng rằng bot đang vượt qua các phòng thủ miễn phí của bạn, chẳng hạn như trình duyệt tự động giải proof-of-work challenge của bạn ở quy mô lớn.

Tóm tắt

Bảo vệ tài khoản giả và bot không đòi hỏi ngân sách lớn để bắt đầu. CrowdSec, một hệ thống ngăn chặn xâm nhập mã nguồn mở, chặn các mối đe dọa cấp mạng như tấn công brute-force và các địa chỉ IP xấu đã biết. ALTCHA, một widget proof-of-work mã nguồn mở, chặn các bot đơn giản tại biểu mẫu đăng ký.

Cùng nhau, hai công cụ này cung cấp cho bạn một phòng thủ thực sự, hoạt động, miễn phí. Chúng chặn một phần lớn việc tạo tài khoản giả. Chúng sẽ không bắt được kẻ tấn công sử dụng trình duyệt tự động thực sự. Đối với mức độ đe dọa đó, phần mềm chống gian lận trả phí thêm phân tích hành vi để đóng khoảng trống. Mức độ hiệu quả của nó khác nhau tùy theo nhà cung cấp. Bạn nên tự đánh giá trước khi mua bất kỳ lựa chọn thương mại nào.

Bắt đầu với lớp miễn phí. Đo lường những gì lọt qua, sử dụng nhật ký từ chối mà hướng dẫn này xây dựng. Quyết định nền tảng trả phí khi bạn có dữ liệu thực cho thấy lớp miễn phí thiếu sót ở đâu.