Cap

Capは、視覚的なパズルではなくプルーフ・オブ・ワーク計算を使用して、ウェブフォームやAPIを自動ボットから保護するオープンソースのCAPTCHA代替手段です。Google reCAPTCHA、hCaptcha、Cloudflare Turnstileのようなサービスに代わるプライバシー重視のソリューションとして構築されたCapは、ユーザーのブラウザ内でWebAssemblyによりサイレントなSHA-256チャレンジを実行します。実際のユーザーは、気づくことなくミリ秒単位でチャレンジを解決します。ボットは、大量の送信を経済的に実行不可能にする計算コストに直面します。クッキーは設定されず、行動データも追跡されず、すべての検証は独自のインフラストラクチャで行われます。

一般的なユースケース

ユーザー登録フォームやログインフォームを保護する開発者は、Googleのサービスに伴うプライバシー上の懸念やサードパーティへの依存を排除するために、reCAPTCHAをCapに置き換えています。セルフホスト型ウェブサイトの問い合わせフォームやコメント欄では、画像パズルやアクセシビリティの障壁でユーザーエクスペリエンスを損なうことなく、スパム送信をブロックするためにCapを使用しています。フィードバックフォーム、投票エンドポイント、公開データ送信など、公開入力を受け入れるAPIエンドポイントは、リクエストごとの追加コストなしでスクリプトによる悪用を防ぐためにCapトークン検証を追加しています。GDPRまたはその他のプライバシー規制の対象となる組織は、ユーザーの同意バナーが不要であるためCapを使用しています。収集する行動データや取得する同意がないためです。マルチテナント製品を構築するSaaS開発者は、個別のサイトキーを使用して複数のクライアントサイトにCapを組み込み、それぞれが独立した分析を行います。社内ツールを構築するチームは、アプリケーションとともにVPS上でCapをセルフホストし、すべてのボット保護インフラストラクチャを自社のネットワーク境界内に保持し、外部監査から遠ざけています。

主な機能

• プルーフ・オブ・ワークチャレンジ: SHA-256計算はブラウザ内でWebAssemblyにより実行され、実際のユーザーには見えず、ボットを完全にブロックすることなく阻止するのに十分なコストがかかります。
• クッキーとトラッキングなし: クッキーは設定されず、フィンガープリントも行われず、外部サーバーにデータが送信されることもありません。GDPRに準拠しており、同意プロンプトは不要です。
• 20KBのクライアントウィジェット: 組み込み可能なJavaScriptウィジェットは軽量で外部依存関係がなく、どのページにも最小限のオーバーヘッドしか追加しません。
• REST検証API: Capインスタンスへの単一のHTTP POSTにより、任意のバックエンド言語またはフレームワークからのチャレンジトークンを検証します。
• 管理ダッシュボード: サイトごとのチャレンジ合格率、失敗メトリクス、使用状況分析を表示します。サービスを再起動することなく、サイトキーの管理とシークレットのローテーションを行います。
• Valkey永続性: チャレンジの状態はディスク永続性を持つValkeyインスタンスに保存されるため、発行されたトークンはコンテナの再起動後も存続します。
• マルチサイトサポート: 複数のドメインまたはプロジェクトに対して個別のサイトキーを作成し、それぞれが管理パネルで追跡される独立したチャレンジ分析と使用状況統計を持ちます。

Hostinger VPSにCapをデプロイする理由

Hostinger VPSでCapを実行することは、ボット保護がGoogle、Cloudflare、または料金や利用規約を変更する可能性のあるその他のサードパーティサービスに依存しないことを意味します。検証の遅延は、外部APIではなくVPSの場所によって決定されるため、ユーザーとバックエンドの両方にとって応答時間が予測可能になります。検証ごとの料金は発生しません。固定された単一のVPSコストで、すべてのサイトとアプリケーションにおける無制限のチャレンジをカバーできます。CapはValkeyストアを除いてステートレスであるため、最小のVPSプランでも効率的に動作し、目立ったリソース使用量なしに同時に数十のサイトを保護できます。