Do these 3 things before closing this tab:
1Scan for outdated or missing drivers - takes under a minute2Repair Windows errors before they cause bigger problems3Fix the driver behind crashes, sound loss and screen glitchesSome links on this page are affiliate links: if you buy through them we may earn a commission, at no extra cost to you.
注册、登录或提交表单时，网站可能会让你选出图片中的交通灯，输入一串字符，或勾选“我不是机器人”。这类检查通常叫 CAPTCHA（人机识别测试）。它与短信验证码、邮箱验证码不同：CAPTCHA 主要帮助网站评估请求是否像自动化流量，并不证明用户身份，也不能保证请求一定来自真人。
CAPTCHA 是什么？它不是什么？
CAPTCHA 是“Completely Automated Public Turing test to tell Computers and Humans Apart”的缩写，通常译作“全自动区分计算机和人类的公开图灵测试”。它是一种挑战—响应机制，目的是提高脚本批量操作网站的成本。挑战可以是识别字符、选择图片，也可以完全在后台进行风险评估。W3C 对 CAPTCHA 的介绍也指出，它常用于阻止自动化程序滥用网站功能。
关键区别在于：CAPTCHA 判断的是一次请求是否具有自动化或滥用风险，而不是“这个人是谁”。因此它不是登录凭证，也不是多因素认证（MFA）。短信码和邮箱码用于证明用户可以访问某个手机号或邮箱；TOTP 一次性密码、推送确认和 passkey 则是身份验证流程的一部分。网站可以同时使用 CAPTCHA 和身份验证，但不能把它们当成同一件事。
Recommended Free Tools
| 方式 | 主要目的 | 常见用途 |
|---|---|---|
| CAPTCHA | 评估请求是否像自动化或滥用流量 | 防垃圾注册、刷票、批量提交 |
| 短信或邮箱验证码 | 确认用户能访问指定的手机号或邮箱 | 注册、找回密码、交易确认 |
| TOTP、推送确认、passkey | 验证身份或批准登录、交易 | 登录、多因素认证 |
网站为什么要求完成 CAPTCHA？
自动化请求可以用来批量注册账号、发布垃圾评论、撞库、刷优惠券或投票、抓取内容、滥用密码重置流程，或消耗服务资源。CAPTCHA 可以迫使脚本处理浏览器端代码、挑战内容或交互步骤，而不只是反复发送简单请求。它通常更适合放在容易被滥用的动作前，例如注册、登录、评论、投票、领取促销资源或提交高风险表单，而不是让每位访客先通过挑战才能浏览整个网站。
#1 Best Overall
- Security Key : Protect your online accounts against unauthorized access by using FIDO2 and U2F authentication with T110. It's the world's most protective security key that works with windows, Mac OS, Linux as well as Chrome, Firefox, Edge and many other major browsers.
- Certified with the new FIDO2 standard, T110 provides the benefit of fast login and strong protection against phishing, account takeover as well as many other online attactks.
- Works with : Bank of America, Github, Google, Microsoft, DUO, Twitter, Facebook, Dropbox, Apple, ebay, BINANCE, mor and more.
- Fits USB-A port : Insert the T110 security key into the USB-A port of each service and log in conveniently with one touch
- For the driver download and user guide, please visit TrustKey Solutions Home support page.
现代方案往往不只是“答对一道题”。服务可能综合浏览器环境、网络信誉、IP、会话和操作模式评估风险。Google 将 reCAPTCHA 描述为使用用户行为、设备和网络等信号进行风险分析；Cloudflare Turnstile 则会运行浏览器端检查。具体信号和阈值通常不完全公开，且会因服务和配置而异。Google reCAPTCHA 产品说明与Cloudflare Turnstile 文档介绍了各自的工作方式。
常见 CAPTCHA 类型
文字图像
用户读取被扭曲、遮挡或加噪的字符，再输入文本。它容易嵌入旧系统，但字符扭曲会同时增加真人阅读难度；OCR 和机器学习也削弱了它对自动化程序的阻挡效果。对盲人、部分低视力用户和有阅读障碍的人尤其不友好。
音频挑战
系统播放字符或数字，用户听后输入。它可为部分无法看清视觉挑战的用户提供另一种途径，但不能解决所有无障碍问题：听障用户可能无法使用，背景噪声、失真或难以控制的播放也会形成障碍。音频方案应有清晰说明、暂停和重播控制，并与其他方式并行提供。
What’s actually slowing this PC down?
Pick the symptom - the matching free tool is one click away.
图片识别
用户选择包含汽车、公交车或交通灯等对象的图片。这种方式不要求输入长字符串，触屏操作也可能较直观；但小屏幕、低视力、图像边界含糊、文化差异或低带宽都可能让任务变难。图像识别模型也可能逐渐学会解题。
Rank #2
- Ultra-Compact FIDO2 Security Key - Plug-and-stay or carry on a keychain. This USB-A hardware security key offers portable, always-on protection for desktop and mobile use. (Item Size: 0.75 X 0.74 IN x 0.25 IN)
- USB-A Hardware Key for All Devices - Works with USB-A ports on PC, Mac, Android, and other laptop/notebook device. Enables secure, cross-platform login with FIDO2.0 passkey support.
- FIDO Certified Security Key - Meets FIDO and FIDO2 standards. Works with Google, Microsoft, GitHub, Dropbox, and more. Please check service compatibility before purchase.
- Passwordless Login with Passkey - Supports passkey login via WebAuthn and CTAP2. Enjoy password-free sign-ins where supported. Not all websites or services currently support passkeys.
- Advanced Multi-Factor Authentication - Offers 200 FIDO2 passkey slots and 50 OATH-TOTP slots. Strong, flexible 2FA/MFA support across various apps and authentication platforms.
数学、逻辑或知识题
简单算术或常识题开发成本低，也不一定依赖图像。但它可能排除有认知障碍、语言差异或不同教育背景的用户；题目太简单容易被脚本解决，太复杂则增加误拦截。
“我不是机器人”复选框
复选框本身不是安全证明。部分服务会结合浏览器、网络和交互信号作判断；风险较高时仍可能要求进一步挑战。点击了复选框，只说明用户完成了一个交互步骤，并不证明请求来自真人。Google 对 reCAPTCHA 复选框的说明可作为具体产品行为的参考。
无感或风险评分
有些方案无需用户主动解题，而是在后台评估风险，再由网站决定直接放行、要求额外验证、限速、拒绝或交由人工审核。这可以减少打断，但风险分数只是决策信号：低分不能证明请求安全，高分也不能证明用户是攻击者。所谓“无感”也不等于没有处理设备、浏览器、网络或行为信号；网站应评估相关隐私影响。
行为、设备检测及替代方案
机器人检测还可能分析鼠标或触摸操作、键盘输入节奏、页面操作顺序、JavaScript 能力、代理和数据中心网络信誉，或设备与会话信号。这些方法不一定显示一道题，但同样可能影响用户隐私、误判率和可访问性。Private Access Tokens、设备完整性证明、WebAuthn、工作量证明等也可用于部分防滥用或验证场景，不过它们并非普遍适用、可以直接替代所有 CAPTCHA 的单一方案。
Rank #3
- USB-C or tap via NFC for easy authentication on any compatible device. No drivers needed; optional Kensington software available for advanced management features.
- Works across Windows, macOS, iOS, Android, ChromeOS, and supports Passkeys and Apple ID.
- Slim, keychain-ready form for easy carry and on-the-go authentication
- IP68-rated for dependable performance
- FIDO CTAP 2.1 for enhanced security features (e.g. resident credentials, Passkey support) and backwards compatibility with CTAP 2. FIDO2 L2 certified security for phishing resistant protection against identity theft and unauthorized access.
CAPTCHA 怎样参与网络安全防护？
在典型集成中，浏览器加载挑战组件；用户完成挑战或接受后台评估后，前端取得一个 token；用户提交表单时，后端把 token 发送给服务商验证；服务器检查验证结果及适用于该产品的站点、动作、有效期等信息，再结合自身风控规则决定是否执行敏感操作。Cloudflare Turnstile 的集成文档和Google 创建网站 assessment 的文档均说明，必须由服务端完成验证。
只在浏览器里判断“挑战通过”是不安全的：攻击者可以跳过页面、修改 JavaScript 或直接调用后端接口。服务器应验证 token，而不是相信前端提交的布尔值；还应按所用产品的规则检查 token 是否过期、已被重复使用、关联到正确站点或动作。字段名称和验证方式因供应商而异，不能把一家服务的参数当成通用标准。
CAPTCHA 是多层防御中的一层，不是完整安全方案。它不会单独防住被盗凭证、恶意真人、人工代解、代理池、僵尸网络，或缓慢模仿真人行为的自动化。对于账户和交易风险，网站还应考虑账户与 IP 限速、凭证填充防护、MFA 或 passkey、会话管理、设备与交易风险、异常检测、WAF、审计告警及必要的人工审核。通过挑战不应自动等同于获准执行所有操作。
可访问性：一项挑战可能挡住真实用户
CAPTCHA 可能给盲人和屏幕阅读器用户、低视力或色觉障碍用户、听障用户、有阅读或认知障碍的人、运动障碍用户，以及依赖键盘、放大工具或隐私保护设置的人带来困难。移动网络不稳定、第三方脚本被拦截或浏览器限制 JavaScript，也会影响挑战加载和完成。
Rank #4
- Security Key : Protect your online accounts against unauthorized access by using FIDO2 and U2F authentication with T120. It's the world's most protective security key that works with windows, Mac OS, Linux as well as Chrome, Firefox, Edge and many other major browsers.
- Certified with the new FIDO2 standard, T120 provides the benefit of fast login and strong protection against phishing, account takeover as well as many other online attactks.
- Works with : Bank of America, Github, Google, Microsoft, DUO, Twitter, Facebook, Dropbox, Apple, ebay, BINANCE, mor and more.
- Fits USB-C port : Insert the T120 security key into the USB-C port of each service and log in conveniently with one touch
- For the driver download and user guide, please visit TrustKey Solutions Home support page.
把视觉谜题换成音频，并不自动让流程无障碍：前者可能排除盲人或低视力用户，后者又可能排除听障用户。W3C 的G143和G144分别讨论说明性文本替代和不同感知模式的替代 CAPTCHA；这些技术建议并非唯一的合规路径。对登录等认证流程，WCAG 2.2 的可访问认证说明还涉及认知功能测试的替代方式。不能仅凭“提供音频挑战”就断言整个网站符合 WCAG。
设计或采购 CAPTCHA 时，至少要确认：
- 所有必要步骤都能用键盘操作，并有清晰、可被辅助技术识别的标签和说明；
- 不同感知模式都有可用的替代途径，而不是只提供图片或音频中的一种；
- 挑战没有不合理的短时限，且不依赖颜色、声音或拖拽作为唯一线索；
- 刷新、失败和重试时保留已填写的表单内容，并提供清楚的错误恢复；
- 不要禁止密码管理器、粘贴或自动填充；
- 实际测试屏幕阅读器、键盘、放大显示、移动设备和脚本受限环境；
- 认证场景提供合适的非认知型替代路径，并让用户能从实际流程中找到它。
供应商对自身产品的无障碍声明，不等同于网站整体符合标准。嵌入方式、表单代码、错误处理和备用流程都会影响真实体验。
Independent reader supportYour contribution helps us test, update, and keep practical guides available for everyone.CAPTCHA 的局限、隐私与故障
攻击者仍可能绕过或承担挑战成本
OCR 和机器学习可处理部分文字、图片或音频题；浏览器自动化、住宅代理和分布式网络也能模仿正常访问。攻击者还可以将题目交给人工代解服务。因此，衡量 CAPTCHA 的价值应看它是否提高了滥用成本，而不是是否能绝对阻止所有攻击。关于 CAPTCHA 攻击方式与可用性取舍，可参阅相关综述和另一篇研究综述。
真实用户也可能被误判
企业 VPN、共享网络、移动网络 IP 变化、隐私浏览器、内容拦截器、禁用 Cookie 或 JavaScript，以及辅助技术，都可能影响风险判断或组件加载。网站应给出可理解的恢复路径，而不是让用户陷入反复挑战或清空表单的循环。
隐私和第三方依赖
使用风险型检测前，应审查可能处理的浏览器、设备、网络和行为信号，了解数据保留、第三方处理、跨境传输、Cookie 或指纹机制，以及适用的隐私法律义务。具体要求取决于地区、网站和配置；不能因为供应商称方案“无感”或作出某项合规声明，就假定网站无需履行自己的告知和治理责任。
加载失败或配额异常
验证组件无法加载时，原因可能是 JavaScript 被禁用、扩展或防火墙拦截第三方域名、CSP 或 iframe 配置错误、site key 与域名不匹配、token 过期、后端验证故障，或服务商配额和服务状态异常。网站运营者应检查浏览器网络请求和服务端日志，核对密钥、域名和后端验证流程，并为用户保留备用验证路径。
故障时采用放行还是拒绝，取决于所保护操作的风险：低风险联系表单可以考虑临时降级并用限速等控制补位；高价值账户或交易则不应因验证服务故障无条件放行。Google 文档列出未启用计费项目的 assessment 月度额度及超额处理规则，但实际额度、接口行为和计费应以当前产品文档与项目配置为准：计费说明、配额说明。
网站如何选择 CAPTCHA 或替代控制？
| 场景 | 优先考虑 | 不要只依赖 |
|---|---|---|
| 博客评论、联系表单 | 限速、蜜罐字段、必要时低摩擦挑战 | 每次访问都强制图片谜题 |
| 普通注册 | 风险评估、邮箱确认、账户与设备/IP 限制 | 把 CAPTCHA 当作账户身份验证 |
| 登录与密码重置 | 凭证填充防护、风险验证、MFA 或 passkey、严格限速 | 单独使用 CAPTCHA |
| 电商、优惠券、抽奖或投票 | 账户、设备、交易和频率控制，必要时人工审核 | 认为一次通过就代表交易可信 |
| 高价值 API | API 密钥、OAuth、签名、配额、WAF 和监控 | 用面向浏览器的 CAPTCHA 保护 API |
| 公共服务或无障碍要求较高的网站 | 多路径、键盘可用、低摩擦和非认知型验证 | 只看供应商的无障碍声明 |
选型时除了安全效果，还应比较挑战出现频率、移动体验、屏幕阅读器和键盘兼容性、失败后的表单恢复、第三方数据处理、服务端验证能力、日志与告警、配额、峰值容量、SLA 和迁移成本。Cloudflare Turnstile、Google reCAPTCHA 和 hCaptcha 的工作方式、产品范围和计费模式并不相同，且会随版本、地区和方案变化。应以各自当前官方资料核对，而不要把供应商的准确率、节省成本或无障碍宣传当成独立测试结论：Turnstile 文档、Google reCAPTCHA 产品页、hCaptcha 方案页。
小型网站可先用限速、邮箱确认和低摩擦挑战处理低风险滥用；账户、支付或促销活动则需要更完整的账户与交易风控。若用户体验、隐私或无障碍要求高，实际集成测试比产品名称或“无感”标签更重要。
Quick Recap
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
