Cloudflare vs reCAPTCHA: по-бърза защита без тормоз

⚠️ reCAPTCHA често забавя сайта, изисква досадни проверки и все по-често се заобикаля от ботове. Cloudflare Turnstile е лека, GDPR-съобразна алтернатива без картинки и кликове, която използва Cloudflare Threat Intelligence, за да спре ботовете без да пречи на реалните клиенти.

С Cloudflare получавате: бърз DNS и CDN, безплатни SSL сертификати, мощен WAF, DDoS защита и Turnstile за елиминиране на ботове без friction. Това подобрява скоростта, сигурността и конверсиите.

Защо Turnstile вместо reCAPTCHA

• 🚀 Нулев friction – няма „избери светофари/автобуси“.
• 🔐 По-добра защита – опира се на глобалната репутация и сигнали на Cloudflare.
• ⚡ По-бърз сайт – минимален JS, няма външен Google трафик.
• 🛡️ GDPR friendly – без споделяне на данни към трети страни за профилиране.

Как интегрираме Cloudflare (накратко)

1. Добавяме домейна в Cloudflare и прехвърляме NS записите към именните сървъри на Cloudflare.
2. Активираме Proxy (оранжев облак) за всички публични A/AAAA/CNAME записи.
3. Включваме SSL/TLS (режим Full или Full (strict)) и автоматично HTTP→HTTPS пренасочване.
4. Настройваме WAF и Bot Fight Mode с разумни правила (страници/ендпойнти за форми, логин, админ).
5. Създаваме Turnstile (Site key + Secret key) и го вграждаме във формите.
6. Тестваме с реални изпращания, валидираме сървърната проверка и активираме Rate Limiting при нужда.

Как да интегрираме Cloudflare и Turnstile (стъпка по стъпка)

1) Добавяне на домейн и DNS

• Създайте акаунт в Cloudflare и Add a site.
• Импортирайте DNS записите; оставете прокси „включен“ (оранжев облак) за публичните услуги.
• Сменете NS записите при регистратора към тези на Cloudflare.

2) SSL/TLS и пренасочвания

• Задайте SSL/TLS → Full (strict) при валиден origin сертификат; иначе Full.
• Включете Always Use HTTPS и Automatic HTTPS Rewrites.
• Добавете Page Rule или Redirect Rule за канонични пренасочвания (www → non-www или обратното).

3) WAF, Bot Fight и Rate Limiting

• Активирайте WAF Managed Rules; добавете правило за защита на /wp-login.php, /admin, /contact и API ендпойнти.
• Включете Bot Fight Mode (ако планът ви позволява – и Super Bot Fight).
• Създайте Rate Limiting Rule за POST към форми (напр. > 10 req/мин IP → блок/JS challenge).

4) Turnstile ключове

• В Cloudflare → Turnstile → Create; изберете „Managed“ и домейните, на които ще се ползва.
• Копирайте Site key и Secret key.

5) Вграждане във форма (frontend)

Пример за контактна форма (заменете YOUR_SITE_KEY с реалния ключ):

<form action="/send-mail.php" method="post" novalidate>
  <!-- ... вашите полета ... -->

  <div class="cf-turnstile mb-3">
    <div class="cf-turnstile-widget" data-sitekey="YOUR_SITE_KEY"></div>
  </div>

  <button type="submit" class="btn btn-primary">Изпрати</button>
</form>

<script src="https://challenges.cloudflare.com/turnstile/v0/api.js" async defer></script>

6) Сървърна валидация (backend)

ВАЖНО: винаги валидирайте токена сървърно. Пример с PHP:

<?php
$secret = 'YOUR_SECRET_KEY';
$token  = $_POST['cf-turnstile-response'] ?? '';
$ip     = $_SERVER['REMOTE_ADDR'] ?? '';

$ch = curl_init('https://challenges.cloudflare.com/turnstile/v0/siteverify');
curl_setopt_array($ch, [
  CURLOPT_RETURNTRANSFER => true,
  CURLOPT_POST           => true,
  CURLOPT_POSTFIELDS     => http_build_query([
    'secret'   => $secret,
    'response' => $token,
    'remoteip' => $ip,
  ]),
  CURLOPT_TIMEOUT        => 10,
]);
$res = curl_exec($ch);
curl_close($ch);

$data = json_decode($res, true);
if (!($data['success'] ?? false)) {
  // ЛОГНИ И ОТКАЖИ (покажи съобщение, не изпращай имейл)
  http_response_code(400);
  exit('Невалидна антибот проверка. Опитайте отново.');
}

// ... продължете с обработката/изпращането на имейла ...
?>

7) Тест и наблюдение

• Проверете че полето cf-turnstile-response пристига в POST тялото.
• При грешка, прегледайте Cloudflare → Security → Events и сървърните логове.
• Фино настройте WAF/Rate Limit, ако легитимни заявки се маркират погрешно.

❓ Често задавани въпроси (FAQ)

Съвет: Дръжте JS файла на Turnstile async defer и зареждайте форма/скрипт само на страниците, където реално има форма.