Beste Europese alternatieven voor reCAPTCHA

Waarom mensen reCAPTCHA verlaten

reCAPTCHA staat op een enorm deel van het web omdat het gratis was, goed werkte en met één script-tag was toegevoegd. Geen van die drie klopt meer helemaal, en het eerste is op een manier veranderd die veel mensen verrast.

Het juridische standpunt is het belangrijkste en is specifieker dan het internet doet voorkomen. reCAPTCHA is in Europa niet verboden.

Het gaat om de vraag of toestemming nodig is, en de techniek wijst één kant op: Google's eigen documentatie zegt dat reCAPTCHA een cookie, _GRECAPTCHA, zet bij het uitvoeren, om zijn risicoanalyse te kunnen doen.

Google omschrijft die cookie als noodzakelijk en beantwoordt zijn eigen vraag „Is reCAPTCHA AVG-conform?“ met „Ja“. Het Oostenrijkse Federaal Administratief Hof nam in september 2024 het tegenovergestelde standpunt in: reCAPTCHA is volgens het hof niet technisch noodzakelijk om een website te laten werken, dus een gerechtvaardigd belang dekt het niet.

Dat levert een vervelend resultaat op, niet een illegaal. Een CAPTCHA die moet wachten op toestemming, beschermt een formulier dat wordt ingevuld door iemand die nog niets heeft toegestemd, en een bot klikt zeker niet op akkoord. De conforme opzet is die waarin de bescherming er niet is op het moment dat ze nodig is, en daarom zoeken organisaties naar een mechanisme dat nooit toestemming nodig had.

• Toestemming komt te laat om nuttig te zijn Het Oostenrijkse hof redeneerde dat reCAPTCHA een veiligheidsvoordeel biedt maar geen onderdeel is van de basisfunctionaliteit van een website. De verwerking kan daarom niet op het gerechtvaardigd belang van de exploitant rusten en vereist een actieve, geïnformeerde opt-in. Pas je dat eerlijk toe, dan laadt de CAPTCHA pas nadat de banner is geaccepteerd. Wie weigert, krijgt een onbeschermd formulier, en geautomatiseerde inzendingen reageren helemaal niet op banners. Die oplossing tast de documentatie niet aan, maar wel het product.
• De leverancier zegt iets anders dan het hof Google's reCAPTCHA-FAQ stelt dat reCAPTCHA een cookie, _GRECAPTCHA, zet bij het uitvoeren, om zijn risicoanalyse te leveren, en noemt die cookie noodzakelijk. Ook beantwoordt de FAQ de vraag „Is reCAPTCHA AVG-conform?“ met „Ja“, op basis van de toezeggingen in de Cloud Data Processing Addendum. Dat is de lezing van de leverancier over het eigen product. Het is de moeite waard om die schriftelijk te hebben, maar het is niet hetzelfde als dat een toezichthouder het ermee eens is. Het Oostenrijkse Federaal Administratief Hof kwam in september 2024 tot de tegenovergestelde conclusie over de noodzakelijkheid, en de kloof tussen die twee standpunten is het risico dat je loopt, niet een boete die iemand al heeft betaald.
• Het is geen gratis widget meer reCAPTCHA valt nu onder Google Cloud Fraud Defense, met drie niveaus. Essentials is gratis tot 10,000 beoordelingen per kalendermaand, maar vereist een geldig betaalmiddel op het account. Premium is gratis tot dezelfde 10,000, daarna $8 vast tot 100,000 beoordelingen per maand, en daarboven $1 per 1,000. Enterprise is een vaste maandelijkse verplichting tegen $1 per 1,000 met een minimumlooptijd van twaalf maanden, en het gratis aantal wordt per organisatie geteld over alle accounts en sites, niet per site. De oude ontwikkelaarsdocumentatie is als verouderd gemarkeerd en verwijst naar de Cloud-pagina's.
• Je bezoekers doen het werk en een ander houdt het resultaat De beeldpuzzels zijn zowel een test als een labelingsoefening, en de uitkomst is nuttig voor het bedrijf dat ze draait. Dat is een redelijke ruil als de dienst gratis is en jij hem hebt gekozen. Het is een lastiger gesprek als een burger die een gemeentelijk formulier invult, wordt gevraagd om oversteekplaatsen aan te wijzen namens een reclamebedrijf voordat die een kapotte straatlamp kan melden. Dat scenario duikt steeds weer op bij aanbestedingen in de publieke sector.

Wat je moet vervangen, niet alleen evenaren

Wees precies over wat reCAPTCHA op je site doet, want de twee tools hier beantwoorden verschillende helften, en maar één van beide is een rechtstreekse vervanging.

Op de meeste sites beschermt het formulierverzendingen tegen geautomatiseerd misbruik op grote schaal: registratie, contact, wachtwoordherstel, afrekenen. Dat is precies wat een proof-of-work-challenge goed vervangt: de browser van de bezoeker doet een kleine berekening die eenmalig nauwelijks iets kost, maar bij tienduizend herhalingen veel, zonder iets om op te klikken en zonder dat iemand wordt geprofileerd.

Wat een proof-of-work-challenge niet vervangt, is de risicoscorelaag die reCAPTCHA Enterprise verkoopt: detectie van accountovername, signalen voor betalingsfraude, scores per actie die je in je eigen beslissingen gebruikt. Gebruik je dat, dan biedt deze pagina geen gelijkwaardig alternatief, en dat moet je weten voordat je begint en niet erna.

De alternatieven vergeleken

Hoe elk alternatief zich verhoudt tot reCAPTCHA

Wat er echt stukgaat als je overstapt

Het vinden van elke integratie kost meer tijd dan het vervangen ervan. Contactformulieren, registratie, wachtwoordherstel, reacties, nieuwsbriefaanmeldingen en alles wat een plugin jaren geleden heeft aangesloten, hebben elk hun eigen sleutel en hun eigen verificatieaanroep. Doorzoek de codebase naar de site-sleutel voordat je het werk plant, want het aantal ligt bijna altijd hoger dan je in gedachten had.

Verwacht dat je spamcijfers twee weken lang in beide richtingen bewegen. Een proof-of-work-challenge stopt een andere groep misbruikers dan een beeldpuzzel, dus sommige categorieën vallen naar nul en een paar stijgen. Laat de oude bescherming eerst een week lang parallel draaien op een formulier met weinig waarde, meet en stem af voordat je aan afrekenen of wachtwoordherstel komt.

En schrijf de privacydocumentatie op terwijl je bezig bent. De waarde van de overstap is dat je kunt laten zien wat je nu doet en waarom geen toestemming nodig is, en dat is niets waard als het cookiebeleid nog steeds een Google-cookie beschrijft die je niet meer zet. Een migratie die het mechanisme oplost maar de oude documentatie laat staan, is maar half af, en het onafgemaakte deel is precies het deel dat een auditor leest.

Is reCAPTCHA echt illegaal in de EU?

Nee, en het is de moeite waard om dat te corrigeren, want de bewering gaat breed rond en is onjuist. Geen enkele Europese toezichthouder heeft reCAPTCHA verboden. Wat wel is besloten, is smaller en heeft meer gevolgen: het gebruik ervan vereist de toestemming van de bezoeker, omdat de verwerking niet strikt noodzakelijk is om de dienst te leveren die de bezoeker vroeg.

Het duidelijkste oordeel is Oostenrijks: in september 2024 oordeelde het Federaal Administratief Hof dat een veiligheidsvoordeel een component nog niet tot onderdeel van de basisfunctionaliteit van een website maakt, dus de verwerking kan niet op gerechtvaardigd belang rusten en er had om toestemming moeten worden gevraagd. Google is het daar in de eigen documentatie niet mee eens. Die beschrijft de _GRECAPTCHA-cookie als noodzakelijk en stelt dat reCAPTCHA AVG-conform is. Beide standpunten zijn vastgelegd, maar alleen één van de twee is het standpunt dat jouw toezichthouder zal hanteren.

Je kunt reCAPTCHA dus rechtmatig houden. Je moet het achter een toestemmingsdrempel zetten, de doorgifte aan Google melden en accepteren dat bezoekers die weigeren een onbeschermd formulier zien. Of dat een compliance-oplossing is of een beveiligingsgat, hangt volledig af van wat het formulier doet.

Stopt proof-of-work bots echt?

Geen van beide tools beweert misbruik helemaal te stoppen; beide zeggen duidelijk dat ze misbruik duur maken. De browser voert een berekening uit die eenmalig triviaal is en op schaal duur, dus een enkele bezoeker merkt niets, maar iemand die tienduizend formulieren per uur verstuurt, moet echte rekenkracht betalen om dat te doen.

Dat dekt het geval dat bijna elke site daadwerkelijk heeft: spam op volume, credential stuffing op schaal, geautomatiseerde aanmeldingen. Het helpt niet tegen een vastberaden aanvaller met een budget die specifiek jouw site wil, en het helpt helemaal niet tegen door mensen uitgevoerd misbruik, want een mens die iets eenmaal doet, is precies het verkeer dat je juist wilt toelaten.

De praktische vergelijking met reCAPTCHA is dichter bij elkaar dan het lijkt. Beeldpuzzels worden ook verslagen door iedereen die bereid is een oplossingsdienst te betalen, dus je kiest tussen twee manieren om misbruik duur te maken: de ene heeft een toestemmingsbanner nodig en de andere niet.

Wat houdt overstappen technisch in?

Minder dan de juridische discussie die eraan voorafging. Beide tools volgen dezelfde vorm als reCAPTCHA: een widget of script op de pagina levert een token op, en je server verifieert dat token bij een endpoint voordat de verzending wordt geaccepteerd. De wijziging aan de clientkant is een script-tag en een div; de wijziging aan de serverkant is een andere verificatie-URL en een ander antwoordveld om te controleren.

Het werk dat echt tijd kost, is het vinden van elk formulier. Contactpagina's, registratie, wachtwoordherstel, reactievakken, nieuwsbriefaanmeldingen en alles wat een plugin drie jaar geleden heeft toegevoegd, hebben elk hun eigen integratie, en bij een site van enige leeftijd is de lijst langer dan iemand verwacht.

Bij mCaptcha komt daar een implementatiestap bij: je draait de dienst zelf, dus die moet ergens draaien, met een certificaat, monitoring en updates. Voor een team dat al infrastructuur beheert is dat een middag werk, en voor een team dat dat niet doet, een echte hindernis.

Is een CAPTCHA wel het juiste hulpmiddel?

Voor veel formulieren niet, en het is de moeite waard om dat te vragen voordat je iets migreert wat je ook kunt verwijderen. Een honeypot-veld, een timingcontrole, rate limiting per IP en het vereisen van een e-mailbevestiging voordat iets wordt gepubliceerd, weren samen de meeste spam met weinig moeite, zonder challenge, zonder derde partij en zonder toestemmingsvraag.

Een CAPTCHA verdient zijn plaats waar de kosten van een geslaagde geautomatiseerde verzending hoog zijn: accountaanmaak, wachtwoordherstel, alles wat namens jou een e-mail verstuurt of geld kost, en waar rate limiting alleen niet genoeg is omdat de aanvaller verspreid opereert.

Toegankelijkheid hoort ook bij deze beslissing. Beeldpuzzels zijn echt lastig voor mensen die schermlezers gebruiken, en de onzichtbare proof-of-work-aanpak die beide tools hier gebruiken, is op dat punt duidelijk beter. Als je reCAPTCHA toch vervangt, is dat een echte verbetering en geen troostprijs.

Welke kies je

Als je een commerciële site hebt en dit vóór vrijdag wilt regelen, dan is Friendly Captcha het antwoord: dezelfde integratievorm, geen toestemmingsdrempel, een Duits bedrijf onder de AVG en een gepubliceerde prijs. Reken op een betaald abonnement, want de gratis variant is bedoeld voor niet-commerciële sites, en dat pas in productie merken is een vermijdbaar ongemak.

Als je een overheidsinstantie, een universiteit bent of iemand wiens klacht is dat een bezoeker helemaal niet met een derde partij mag praten, dan is mCaptcha de enige optie hier die dat echt levert, en het feit dat je de implementatie kunt lezen, maakt het verdedigbaar op een manier waarop een verklaring van een leverancier dat niet is. Het kost je een operationele verplichting, en dat is de volledige prijs.

Als je in werkelijkheid reCAPTCHA Enterprise-risicoscoring gebruikt in plaats van een formulier-challenge, vervangt geen van beide dit, en deze pagina doet niet alsof dat wel zo is. Houd het, zet het achter toestemming, meld de doorgifte correct en herzie het zodra fraudesignalen niet meer de reden zijn dat het er is.