Капча на сайт: сколько стоит и чем её заменить

У Яндекс SmartCaptcha бесплатны первые 10 000 проверок в месяц, а дальше — 109,8 ₽ за тысячу, и платите вы только за людей, которые проверку прошли: робот, которого капча отсеяла, не стоит ничего. У Google reCAPTCHA бесплатны тоже 10 000 оценок в месяц, но считаются они на организацию, а не на сайт, и при исчерпании проект без платёжного аккаунта начинает отдавать ошибку. Это два главных числа темы, и ни одно из них я не нашёл ни на одной из двенадцати страниц выдачи.

01Что пишут 12 страниц по запросу «капча на сайт» и чего в них нет

Позиции по Яндексу снять не удалось: на автоматический запрос поиск отдаёт не выдачу, а собственный заслон SmartCaptcha. Поэтому пул из 12 страниц собран по выдаче Google и поисковым подсказкам по запросам «капча на сайт» и «как установить капчу на сайт», каждая страница скачана целиком, а заголовки H2 вынуты из разметки, а не с пересказа. Порядок в моём списке — не порядок топа, и это важная оговорка.

Состав пула: две справки хостингов (Timeweb, Рег.ру), три веб-студии и SEO-агентства, два блога сервисов, массовое IT-медиа, медиа тендерной площадки, база знаний конструктора, блог для программистов. Вот что в них есть и чего нет.

Ноль в строке про цены — это не придирка к мелочи. Двенадцать страниц обсуждают, какую капчу выбрать, и ни одна не называет, сколько это стоит. Ближе всех подошли двое, и оба мимо: одна студия пишет, что «хорошие модули стоят немалые деньги», без суммы, а единственная страница, построившая таблицу с колонкой «Цена / лимиты», заполнила её словами «Бесплатно до лимита» и «Бесплатно / платные пакеты». Какой лимит, что произойдёт при его исчерпании и сколько стоит дальше — не сказано нигде.

Отдельно про свежесть: четыре страницы из двенадцати устарели содержательно — SEO-студия в материале 2018 года называет капчу Яндекса «Яндекс.Чистый Веб», хотя SmartCaptcha тогда ещё не существовало, справка хостинга не обновлялась с 2021 года. Дальше я заполняю ровно те места, где в пуле стоят нули.

02Сколько стоит Яндекс SmartCaptcha

Главное в тарифе — не ставка, а то, что именно считается запросом. Документация формулирует это так: тарифицируются обращения к адресу проверки, причём только корректные, на которые сервис ответил ok. Для этого должны выполниться три условия: сервис определил запрос как исходящий от человека, а не от робота; переданы корректные ключ и токен; токен выдан не более 10 минут назад.

Расчёт ступенчатый, период тарификации — календарный месяц. Официальный пример из документации: при 50 000 проверок счёт равен (50 000 − 10 000) / 1000 × 109,8 ₽ = 4392 ₽. Ставки сняты со страницы тарифов 29 октября 2026 года, и это живые числа — перед планированием бюджета их стоит открыть заново.

Что не тарифицируется, документация перечисляет пятью случаями, и для владельца сайта это важнее ставки. Не платятся: пустой или некорректный токен; ошибка разработчика в ключе или токене; повторная отправка одного и того же токена — ответ ok придёт только на первый запрос; отправка токена спустя десять минут — ответ будет failed на все запросы. Вывод простой: роботы бесплатны, платите вы за посетителей, которые дошли до отправки формы. Для сайта небольшой компании 10 000 проверок в месяц — это порог, до которого форма заявки практически не доходит, то есть SmartCaptcha для него фактически бесплатна.

И одна ловушка, про которую не пишет никто. Если платёжный аккаунт в Облаке не активен, капча переходит в ограниченный режим, и в нём, по документации, все запросы на валидацию получают ответ ok, а на виджете может появиться сообщение об ограничении работы сервиса. То есть защиты нет, а форма при этом выглядит защищённой. Проверяется это за минуту: отправьте форму дважды подряд и посмотрите, появляется ли задание.

03Сколько стоит Google reCAPTCHA

У reCAPTCHA два разных мира — классические ключи и тарифы в Google Cloud, и числа у них свои.

Первое, что надо прочитать в сноске Google: бесплатные 10 000 оценок считаются на организацию, лимит суммирует использование по всем аккаунтам и всем сайтам. То есть агентство, поставившее reCAPTCHA на двадцать клиентских сайтов из одной организации в Google Cloud, делит один бесплатный лимит на двадцать. Для Premium нужен действующий платёжный инструмент в Google Cloud, то есть карта, принимаемая Google.

Второе — что видит посетитель при исчерпании квоты у классических ключей. Документация описывает это дословно: ключу v3 проверка может начать отвечать статическим баллом 0.9 с сообщением Over free quota., и видимых признаков для пользователя при этом нет; у ключа v2 в виджете может показываться сообщение This site is exceeding reCAPTCHA quota.. Первый случай хуже второго: форма пропускает всех и никто об этом не знает.

Версий при создании ключа три: чекбокс «Я не робот» — по описанию Google, две строки HTML; невидимая, которая вызывается по клику на существующую кнопку сайта; и v3, которая не прерывает пользователя вовсе и возвращает балл от 0.0 до 1.0 с порогом 0.5 по умолчанию. Версия v1 выключена с марта 2018 года.

04Работает ли reCAPTCHA в России

Это первый вопрос владельца сайта в 2026 году, и в пуле на него не отвечает никто. Отвечаю по тому, что есть в первоисточниках, и отдельно оговариваю, чего в них нет.

Официального заявления Google о блокировке reCAPTCHA в России нет. В истории инцидентов reCAPTCHA Enterprise на странице статуса Google Cloud за всё время два случая, и оба не про Россию. Но сам Google в FAQ описывает сценарий, когда его домен недоступен, и даёт обходной путь: использовать www.recaptcha.net в коде в обстоятельствах, когда www.google.com недоступен, заменив адрес скрипта и все остальные обращения к www.google.com/recaptcha/ на сайте. Страну Google не называет, но инструкция существует именно для таких случаев.

Что касается персональных данных, есть ответ Роскомнадзора от 27 августа 2026 года № 08-924328, который публикует юридическая фирма: ведомство полагает, что использование сервиса reCAPTCHA не предполагает обработку персональных данных, в том числе их трансграничную передачу. На сайте самого ведомства этот документ не опубликован — его приводит третья сторона с указанием номера и даты, и публикаторы сами оговаривают, что ведомство не анализировало всю обработку данных на конкретном сайте и не ответило на вопрос об основании обработки: согласие субъекта или законный интерес оператора. Утверждения вида «с 1 июля 2025 года reCAPTCHA в России запрещена» ни одним официальным документом не подтверждаются и позиции ведомства прямо противоречат.

Что задокументировано — перебои. В июле 2026 года в России без VPN перестали открываться сайты Google, GitHub и Apple, за сутки около 1600 жалоб, и ведомство в ответе «Ведомостям» сообщило, что доступ к этим сервисам не ограничивает. Про reCAPTCHA в материалах того эпизода не говорится ничего.

Я проверил доступность скриптов с российского подключения 29 октября 2026 года: www.google.com/recaptcha/api.js и www.recaptcha.net/recaptcha/api.js ответили кодом 200 за 0,14 и 0,13 секунды, скрипт SmartCaptcha — за 1,7 секунды. Это одно измерение с одного подключения в один момент, а не утверждение о доступности в стране. Практический вывод: технического запрета нет, риск — в недоступности чужого домена, и он снимается либо обходным адресом Google, либо сервисом на серверах в России.

05Какой вариант выбрать: четыре решения числами

Сравнение, которого в пуле нет ни у одной страницы, хотя три из двенадцати строили таблицы.

Про хранение данных у Яндекса есть отдельный документ: владелец сайта поручает сбор технических данных об устройстве, активности и цифровом отпечатке, срок хранения — 60 дней с даты сбора, серверы находятся в России, а оператором персональных данных остаётся владелец сайта, а не Яндекс. Поэтому рядом полезно посмотреть, что именно обязано быть в согласии на обработку данных и кто считается оператором, — капча добавляет на страницу ещё один обработчик, и в текстах сайта он должен быть назван.

Про Turnstile честно: Cloudflare называет его бесплатным фрагментом кода, избавляющим от капч, и описывает три типа виджета — управляемый, неинтерактивный и невидимый, — но страницы с числовыми лимитами в документации я не нашёл: обе проверенные отдают 404.

06Что стоит в Тильде и почему вы не можете это изменить

Если сайт на Тильде, выбора у вас нет, и это главное, чего не говорит почти никто. Капча там включена принудительно: в ответах Тильды сказано, что проверка появляется при третьей повторной отправке с одного IP-адреса за короткий период или при первой, если включена усиленная защита от спама, а обычным пользователям, не ботам, капча показываться не будет. И следом: убрать капчу, к сожалению, нельзя, потому что в таком случае в форму будет попадать много спама.

Менять можно только уровень, и это делается в настройках сайта, в разделе форм, в общих настройках форм. Усиленная защита, по формулировке Тильды, пропускает только один запрос с одного IP без капчи; агрессивная показывает капчу каждый раз, даже при первичном заполнении формы. Своих ключей reCAPTCHA или SmartCaptcha Тильда не принимает — поля для них в справке нет.

Какая именно капча там стоит, справка не называет. Но это видно в рабочем скрипте форм Тильды: он подключает https://www.google.com/recaptcha/api.js и создаёт блок с классом g-recaptcha и атрибутом data-size="invisible", а ключ подставляется самой Тильдой на стороне сервера. Это чтение кода, а не цитата из справки, и привожу я его именно так. Из него следует, что под капотом у форм Тильды невидимая reCAPTCHA v2, а не v3, как часто пишут, и что судьба вашей формы зависит от доступности домена Google.

Практическое следствие, которое стоит живых заявок: если вы руками отметили заявку как спам, следующие заявки с этого IP в ближайшие 7 дней будут помечены спамом автоматически. В бизнес-центре или на корпоративном подключении с общим внешним адресом так теряется обращение от соседней компании, поэтому перед отметкой стоит убедиться, что заявка действительно мусорная.

07WordPress: в ядре форм нет, а Akismet для бизнеса платный

Про WordPress в пуле пишут трое, и все — про плагины. Чего не говорит никто: в ядре WordPress форм обратной связи нет вовсе, поэтому штатной защиты формы заявки в документации нет и быть не может — она целиком на стороне плагина формы. Встроенные настройки касаются комментариев: модерация, требование имени и адреса почты, задержка при превышении числа ссылок, списки запрещённых слов и IP. Слово «captcha» в официальной статье про спам в комментариях не встречается ни разу.

Второе, что важно знать до установки: бесплатный ключ Akismet коммерческому сайту прямо запрещён. Условия сформулированы так: бесплатные ключи, которые идут с тарифом Personal, не поддерживают коммерческую деятельность, и в список недопустимого входит «продвижение бизнеса или услуги», реклама на сайте, партнёрские ссылки, онлайн-чаты, приём донатов и работа на платформах электронной торговли; несоблюдение этих условий ведёт к немедленному прекращению обслуживания без уведомления. То есть любой сайт, который продаёт услуги, попадает в платный тариф.

Парадокс, который виден только в таблице: у бесплатного некоммерческого ключа проверки неограниченны, а коммерческий Pro за 119 долларов в год получает 500 проверок в месяц. Платит владелец бизнеса не за объём, а за право пользоваться сервисом. Цены в рублях взяты из официального прайс-каталога Automattic и зависят от курса — цифра в вашем счёте будет другой.

08Невидимая капча и что видит посетитель

Современная проверка не обязана мучить посетителя, и обе большие системы это умеют. В SmartCaptcha, по документации, сервис проверяет запросы своими алгоритмами и показывает задание только тем пользователям, чьи запросы счёл подозрительными, причём кнопку «Я не робот» на странице размещать необязательно: в невидимом режиме кнопки нет, а разработчик сам выбирает событие, при котором запускается проверка. У Google невидимая версия вызывается по клику на существующую кнопку, и по умолчанию задание предлагается только самому подозрительному трафику.

Проверка при этом двухэтапная: сначала основное задание — чекбокс или ползунок, и только если запрос подозрителен, появляется дополнительное: распознавание искажённого текста, выбор силуэтов в определённом порядке или сборка картинки ползунком. Уровней сложности четыре, и на максимальном дополнительное задание показывается всегда, независимо от результата основного. Ставить максимальный уровень на форму заявки — то же, что ставить турникет перед кассой.

Цену неудобства называют два независимых источника, и в пуле её нет ни у кого, хотя два текста обсуждают конверсию целыми разделами. Яндекс в документации о доступности признаёт: примерно половина пользователей проходит капчу с первого раза. W3C в записке о недоступности капчи приводит данные, по которым в среднем на прохождение уходит 32 секунды, и пишет, что конструкция, предполагающая несколько попыток как норму, недоступна по замыслу для людей с тревожным расстройством и рядом когнитивных особенностей. OWASP формулирует резче: видимые капчи враждебны доступности и решаются машинным обучением, поэтому это крайняя мера усиления, а не основная защита.

Разберём именно
ваш сайт бесплатно

Посмотрю страницу и рекламу, найду,
где теряются заявки, и пришлю план,
что поменять.

Что входит в разбор

• 1
  Где теряются заявкипуть от объявления до формы
• 2
  Что поправить на сайтепервый экран, оффер, формы
• 3
  Что поменять в рекламезапросы, объявления, бюджет

Михаил Лапошинразберу ваш проект лично

Ваше имяТелефонСайт

TelegramWhatsAppЗвонок

Согласен на обработку данных и политику конфиденциальностиПолучить бесплатный разбор

✓ Заявка принята — отвечу в течение часа

09Что ставить вместо капчи

Для формы заявки на лендинге часто достаточно двух бесплатных мер, и обе описаны в авторитетных источниках, а не в блогах.

Скрытое поле-ловушка. OWASP описывает это как дешёвый, эффективный и не влияющий на нормальных пользователей приём: в форму добавляется поле, скрытое стилями и подписанное «оставьте пустым»; боты его заполняют, люди — нет, и такая отправка отклоняется молча. W3C отмечает, что подход достаточно успешен и поддержан в нескольких системах управления контентом, и приводит живой пример: на странице входа в программу лояльности Hilton поле подписано «это поле только для роботов, пожалуйста, оставьте пустым». У Gravity Forms такая ловушка встроена и дополнена замером времени между загрузкой страницы и отправкой: заполненное быстрее, чем физически может человек, помечается спамом. Там же честная оговорка — одна ловушка не рассчитана поймать всё.

Ограничение частоты отправок. OWASP называет его фундаментальным контролем и советует применять не только по IP, но и по сессии, по конечной точке и по сети оператора, используя алгоритм дырявого ведра или скользящего окна, а при достижении предела возвращать обычный код 429. В nginx это штатный модуль, который ограничивает частоту обработки запросов по заданному ключу тем же методом дырявого ведра.

Если форма на сайте ломается чаще, чем спамится, порядок разбора другой: сначала проверяется, доходят ли заявки вообще. Я разбирал подробно, на каких шагах заявка теряется между формой и почтой, и капча в этом списке стоит не на первом месте, а на пятом. А если вам нужна настройка приёма заявок с невидимой проверкой и серверной валидацией формы, её имеет смысл делать вместе с учётом источников заявки, а не отдельной заплаткой: иначе вы отрежете спам и одновременно потеряете возможность понять, из какой рекламы пришёл живой человек.

10Чего капча не чинит: что Директ не фильтрует за вас

Связи между мусорными заявками и деньгами на рекламу не делает ни одна страница пула, хотя именно из-за неё владелец и приходит с этим вопросом. Справка Директа описывает проблему прямо: недействительный трафик ведёт к потере бюджета, искажению статистики и трате времени на обработку недействительных заявок. Яндекс с ним борется, в том числе на этапе клика — подозрительного пользователя система проверит капчей, — а расходы возвращаются на баланс, и отфильтрованные показы и конверсии удаляются из отчётов.

Но в той же справке есть раздел о том, что антифрод не фильтрует, и это самая полезная часть темы. Дословно: неверно указанные клиентом почта или телефон не считаются недействительным трафиком. Не фильтруются заявки, где поля использованы не по назначению — например, отзыв вместо контактов. Не фильтруются переходы и заявки от реальных, но нецелевых людей. И отдельно: проверить конверсии на фрод Яндекс может только за последние 30 дней.

Из этого следует вывод, который стоит всей статьи. Тот класс мусора, из-за которого владелец и ищет капчу — заявки с «телефоном» 1234567 и формы, заполненные ради обещанной скидки, — Яндекс за вас не чистит, они остаются в статистике и в расчёте цены заявки. Больше того, Яндекс в этом же тексте прямо советует использовать верификаторы, которые не позволяют отправлять одни и те же данные, то есть рекомендует защищать форму самому. Это и есть честный ответ на вопрос «зачем мне капча, если у Яндекса есть антифрод». Соседний случай — когда по объявлениям кликают боты, а не заполняют формы, — лечится другими средствами, и я собирал отдельный список проверок против скликивания в Директе, который имеет смысл пройти до того, как менять что-то на сайте.

11Что сделать со своей формой на этой неделе

Порядок короткий. Сначала посмотрите, что уже стоит: на Тильде капча есть всегда и вопрос только в уровне, на WordPress защиту даёт плагин формы, а не сам WordPress. Потом добавьте бесплатное — поле-ловушку и ограничение частоты отправок с одного адреса. Если мусор продолжается, ставьте невидимую капчу, а не чекбокс, выбирая по двум критериям: где обрабатываются данные и что будет при исчерпании лимита. Уровень сложности поднимайте последним: каждый шаг здесь оплачивается конверсией, а с первого раза проверку проходит примерно половина людей.

Если хотите прислать мне три последние мусорные заявки и разобрать, бот это или живой нецелевой человек, это разговор на двадцать минут, и чаще всего после него выясняется, что капча не нужна вовсе: половина мусора приходит из одного объявления с неудачной формулировкой, а вторая половина отсекается полем-ловушкой за один вечер работы.

Михаил ЛапошинМаркетолог, руководитель Laposhin Agency

«Делаем сайты и запускаем Яндекс Директ так, чтобы
сайт приносил заявки, а не просто был»

Есть вопрос по статье?Задать вопрос в Telegram