独立站表单反垃圾：reCAPTCHA/hCaptcha/蜜罐的防垃圾效果

reCAPTCHA v2/v3、hCaptcha 与蜜罐四种反垃圾方案的用户代价与拦截效果对比

独立站表单反垃圾：reCAPTCHA/hCaptcha/蜜罐的防垃圾效果

结论先行：表单反垃圾不是越严越好。强制勾选的 reCAPTCHA v2 能拦掉约 90% 的机器人，但每多一道验证，弃填率会上升 3% 至 10%；对询盘表单，这赶走的真客户往往比拦掉的垃圾还多。最划算的组合是：蜜罐字段打底（零体验成本，拦掉低级机器人）+ reCAPTCHA v3 无感评分（不打断用户，给每条提交打个分）+ 对低分提交做人工复核。反直觉的一点是：最好的反垃圾是用户根本感觉不到它存在。欧洲访客为主时，把 v3 换成 hCaptcha，能少一层 GDPR 同意弹窗。

一、先算清这笔账：拦垃圾和赶客户是同一件事

做表单反垃圾的人最容易走进一个极端：垃圾多了，那就把验证码加得越狠越好。结果是机器人确实少了，但真人询盘也跟着掉了——海外 B 类买家本来就不爱填长表，你让他在提交前先选八张红绿灯的图，他很可能直接关掉走人。验证码强度和弃填率是正相关的，每增加一次需要用户动手的验证，转化率就往下掉一截。

反直觉的判断在这里：对大多数询盘表单，验证码带来的转化损失，可能比它拦掉的垃圾损失更大。一个 B2B 站一个月收到 100 条提交，其中 20 条是垃圾，你为了拦这 20 条把转化率打掉 10%，等于多丢 10 条真询盘，净亏。正确思路是分层：先用零成本的蜜罐和无感评分挡掉大部分机器人，只在可疑时才要求真人验证，而不是对所有人都来一道。表单字段和转化率的关系，见询盘表单字段设计与转化率。

方案	用户要做什么	拦截效果	对转化的影响
reCAPTCHA v2 复选框	勾”我不是机器人”	拦约 90% 机器人	弃填率上升 3% 至 5%
reCAPTCHA v2 图片	选指定图片	拦约 95%	弃填率上升 5% 至 10%
reCAPTCHA v3	什么都不用做	按评分，拦低分	几乎零影响
hCaptcha	偶尔选图	与 v2 相当	隐私更好，影响相近
蜜罐	什么都不知道	拦低级机器人	零影响

二、四种方案各自的原理与适用场景

蜜罐的原理最简单也最优雅：在表单里藏一个真人看不见、但机器人会填的隐藏字段。机器人默认把所有 input 都填一遍，只要这个字段被填了，就直接判定是垃圾，静默丢弃，连邮件都不发。它的好处是用户完全无感，坏处是只能对付那些”无脑填所有字段”的低级机器人，遇到会读页面结构的高级脚本就没用了。

reCAPTCHA v3 是 Google 的无感方案：它在后台记录用户的鼠标移动、停留时间、浏览轨迹，给每次访问打一个 0.0 到 1.0 的分。你设定一个阈值（比如 0.5），低于阈值的提交不直接拒绝，而是进人工复核队列。它的代价是你得花时间看这些可疑提交，而且它会向谷歌发送数据，欧洲站要处理同意问题。hCaptcha 的思路和 v2 类似但更重视隐私，数据不那么集中在谷歌手里，适合 GDPR 合规要求高、欧洲访客多的站。送达与可靠性的整体排查，见询盘表单可靠性。

维度	蜜罐	reCAPTCHA v3	hCaptcha
用户体验	完全无感	完全无感	偶尔要选图
拦截强度	弱，只挡低级机器人	中，靠评分	强，人工式验证
隐私合规	无外部数据，最干净	数据发谷歌，需同意	比谷歌更隐私友好
维护成本	零	要定期看低分队列	低
适合场景	打底必备	全球访客主站	欧洲访客为主站

三、怎么配：一个三层防御决策框架

不要单选一种，正确做法是叠三层。第一层永远是蜜罐，它零成本零影响，先挡掉 60% 以上的低级机器人扫描。第二层是无感评分（v3 或 hCaptcha 的无感模式），对每条提交打个分。第三层才是对低分或异常提交才弹出的图片验证，或者直接进人工复核。这样正常用户全程无感，只有可疑行为才会被要求证明自己是人。

阈值怎么定是关键。v3 刚上线时，先把”拦截阈值”设得很松，只观察不真拦，跑一到两周看正常用户的评分分布。如果真用户普遍在 0.6 以上，你就把拦截线设在 0.4，低于这个才进复核。场景一：一个月收 200 条提交、垃圾占两成的站。蜜罐加 v3 之后，先把 v3 设成”只记录不拦截”，观察一周发现真用户评分都在 0.5 以上，再把 0.4 以下的提交转到垃圾文件夹而不是直接拒绝。场景二：欧洲访客占一半的站。用 hCaptcha 替代谷歌方案，省掉一层”我们使用谷歌服务”的同意弹窗，合规体验更顺。异常告警怎么配，见站点监控与告警。

垃圾占比	建议配置	是否需要人工审
低于 10%	蜜罐即可，不加验证码	不需要
10% 至 30%	蜜罐 + v3 无感评分	每周扫一次低分队列
30% 至 50%	加图片验证，仅可疑触发	每天看一次
超过 50%	查是否被定向攻击	加 IP 频率限制

四、避坑：四个最常见的配置错误

第一个坑是把 v3 当成”装了就万事大吉”，设完阈值就不看队列。v3 是打分不是拦截，低分会漏进来，你不看复核队列就等于白装。第二个坑是阈值设太紧，把正常用户也挡了——尤其亚洲、拉美网络环境下，同一 IP 多人共享，评分系统性偏低，一刀切会误杀真询盘。

第三个坑是忘了移动端和无障碍。图片验证码对手残和读屏用户很不友好，和你刚做完的无障碍改造相冲突。第四个坑是只防表单不防后台，机器人也会直接扫你的 wp-login，那是另一回事。真正的判断标准是看”净损失”：每次加强验证后，对比两周的真询盘量有没有下滑，如果下滑超过 5%，说明你下手太狠了。首响速度和转化的关系，见询盘首响SLA与转化率。

常见错误	后果	纠正做法
装了 v3 不看复核队列	低分垃圾漏进收件箱	每周固定扫一次
阈值设太紧	误杀共享 IP 的真用户	先松后紧，观察分布
首屏强制图片验证	弃填率明显上升	只对可疑提交触发
只看垃圾量不看转化	越防越没人填表	每次调整对比真询盘
忽略无障碍	读屏用户无法提交	优先选无感方案

FAQ 常见问题

reCAPTCHA v2 和 v3 到底选哪个？

询盘表单优先 v3。v2 要用户动手勾选或选图，每多这一步弃填率上升 3% 至 10%；v3 完全无感，在后台给每次访问打 0.0 到 1.0 的分，你只需要把低分提交转人工复核。代价是你得定期看这个队列。如果你的站被机器人刷得很凶、v3 压不住，再考虑对可疑提交升级成 v2 图片验证，而不是对所有人都上 v2。

蜜罐是什么，真的能用吗？

蜜罐是在表单里加一个真人看不见、但机器人默认会填的隐藏字段。机器人遍历所有 input 时会把它填上，后端检测到这个字段非空就直接判定为垃圾、静默丢弃。它零体验成本、零隐私问题，能挡掉 60% 以上的低级扫描机器人。缺点是对会读 DOM 的高级脚本无效，所以它应该是你反垃圾的第一层，不是唯一一层，后面还要配无感评分。

hCaptcha 比 reCAPTCHA 好在哪里？

主要好在隐私合规。reCAPTCHA 把用户数据发给谷歌，欧洲站需要额外弹一个同意弹窗，还可能和你的 Cookie 横幅叠加成两层同意，体验很差。hCaptcha 数据收集更少、对 GDPR 更友好，验证强度和 v2 相当。如果你的访客一半以上来自欧洲，用 hCaptcha 替代谷歌方案，合规和体验都更顺。全球访客为主、不在意这个问题的，继续用谷歌生态更省事。

reCAPTCHA v3 的评分阈值设多少合适？

不要拍脑袋设，先观察再定。上线第一到两周把模式设成”只记录不拦截”，看正常提交的评分分布。如果你的真用户普遍在 0.6 以上，就把拦截线设在 0.4 左右，低于 0.4 的进人工复核而不是直接拒绝。亚洲、拉美共享 IP 多的地区评分系统性偏低，阈值要相应放宽。设好后每两周复核一次误杀情况，真询盘被拦就上调，垃圾漏进来就下调。

我们站垃圾不多，还有必要装验证码吗？

有，但只装蜜罐就够了。蜜罐零成本零体验影响，先把它打开。当你发现垃圾提交占比低于 10%，不需要加任何需要用户动手的验证码——加了只会拉低转化。只有当垃圾占比爬到 10% 至 30%，才上 v3 无感评分；超过 30% 再考虑对可疑提交触发图片验证。判断标准始终是净损失，而不是把机器人赶尽杀绝。

反垃圾会不会误伤真实客户？怎么判断？

会，尤其是阈值设太紧或强制图片验证时。判断方法是每次调整后对比两周的真询盘量：如果正常提交数下滑超过 5%，说明误杀了真人。补救动作包括：把拦截改成”进复核”而非”直接拒绝”、放宽阈值、给欧洲用户换 hCaptcha。一个健康的状态是真用户全程无感、可疑用户才被要求证明，而不是所有人都被当作嫌疑人。

写在最后

表单反垃圾的目标不是”零垃圾”，而是”在不赶走真客户的前提下，把垃圾控制在销售能处理的范围内”。为了零垃圾而上最狠的验证码，本质是用真询盘去换收件箱清净，这笔账算过来往往是亏的。记住分层思路：蜜罐打底、无感评分做判断、只对可疑行为才升级验证。

落地三步：第一，先开蜜罐，零成本挡掉低级机器人；第二，加 reCAPTCHA v3 或 hCaptcha 无感评分，头两周只观察不拦截；第三，按真用户的评分分布定阈值，把低分提交转人工复核，每两周对比一次真询盘量有没有被误杀。表单是询盘的最后一公里，反垃圾做到用户无感，才算做到位。

一句可以记住的话：最好的反垃圾是用户根本不知道它存在——你把所有人都当贼防，真客户就先被你挡在门外了。