CAPTCHA ย่อมาจาก Completely Automated Public Turing test to tell Computers and Humans Apart
คือระบบทดสอบยืนยันตัวตนบนเว็บไซต์ เพื่อแยกแยะว่าผู้ใช้งานเป็นมนุษย์จริงๆ หรือเป็นบอท (โปรแกรมอัตโนมัติ)
โดยทั่วไป เว็บไซต์ที่มีการรับข้อมูลจากผู้ใช้งานหรือมีระบบที่บอทสามารถนำไปใช้ในทางที่ไม่พึงประสงค์ได้ ควรมีมาตรการป้องกัน เช่น CAPTCHA, Bot Detection, Rate Limiting หรือระบบรักษาความปลอดภัยอื่น ๆแบบฟอร์ม Contact Us เป็นหนึ่งในจุดที่มักถูกบอตโจมตี เพราะบอตสามารถส่งข้อความอัตโนมัติจำนวนมากเพื่อสร้างสแปม หรือส่งข้อมูลที่ไม่เกี่ยวข้องเข้ามาในระบบ
ตัวอย่างเช่น เว็บไซต์บริษัทที่มีแบบฟอร์ม
หากไม่มีระบบป้องกัน บอตอาจส่งข้อมูลจำนวนมากจนทำให้เจ้าของเว็บไซต์ได้รับอีเมลหรือข้อมูลสแปมเป็นจำนวนมาก
แนะนำ: ใช้ระบบป้องกันบอตที่ไม่รบกวนผู้ใช้งาน เช่น Invisible CAPTCHA, Turnstile หรือ Honeypot ร่วมกับ Rate Limiting
เว็บไซต์ที่ให้ผู้ใช้งานสมัครบัญชีและเข้าสู่ระบบควรให้ความสำคัญกับการป้องกันบอตเป็นพิเศษ
บอตอาจถูกนำมาใช้เพื่อ
โดยเฉพาะเว็บไซต์ E-Commerce, เว็บไซต์สมาชิก และแพลตฟอร์มออนไลน์ที่มีข้อมูลผู้ใช้งานจำนวนมาก
แนะนำ: ใช้ Rate Limiting, ระบบตรวจจับความผิดปกติ และ CAPTCHA เมื่อพบพฤติกรรมที่มีความเสี่ยง รวมถึงควรมีระบบล็อกบัญชีหรือหน่วงเวลาการลองเข้าสู่ระบบตามความเหมาะสม
แม้ Newsletter จะดูเป็นฟังก์ชันเล็ก ๆ แต่หากเปิดให้ผู้ใช้งานกรอกอีเมลเพื่อสมัครรับข่าวสาร ก็สามารถกลายเป็นเป้าหมายของบอตได้
บอตอาจส่งอีเมลจำนวนมากเข้าสู่ระบบ ทำให้เกิดข้อมูลปลอมและส่งผลต่อคุณภาพของฐานข้อมูลลูกค้า
เว็บไซต์จึงควรตรวจสอบว่าการสมัครสมาชิกมาจากผู้ใช้งานจริงหรือไม่ และอาจใช้ระบบยืนยันอีเมลเพิ่มเติม
แนะนำ: ใช้ Bot Protection ร่วมกับ Email Verification และ Rate Limiting
เว็บไซต์ที่มี Blog, News หรือ Community และเปิดให้ผู้เข้าชมแสดงความคิดเห็น มีโอกาสพบปัญหา Spam Comment
ตัวอย่างเช่น บอตอาจโพสต์ความคิดเห็นจำนวนมากพร้อมลิงก์ไปยังเว็บไซต์อื่น เพื่อพยายามสร้าง Backlink หรือเผยแพร่ข้อความโฆษณา
นอกจากทำให้เว็บไซต์ดูไม่น่าเชื่อถือแล้ว ยังเพิ่มภาระให้ผู้ดูแลเว็บไซต์ต้องคอยลบความคิดเห็นสแปม
แนะนำ: ใช้ระบบตรวจจับสแปมร่วมกับ CAPTCHA หรือระบบป้องกันบอต และควรมีระบบ Moderation สำหรับความคิดเห็นที่มีความเสี่ยง
สำหรับเว็บไซต์ E-Commerce ระบบป้องกันบอตมีความสำคัญมากกว่าการป้องกัน Spam ทั่วไป เพราะเกี่ยวข้องกับข้อมูลลูกค้า สินค้า และคำสั่งซื้อ
บอตอาจถูกใช้เพื่อ
หากเว็บไซต์มีโปรโมชั่น สินค้าจำนวนจำกัด หรือระบบคูปอง ก็ควรให้ความสำคัญกับ Bot Protection มากขึ้น
แนะนำ: ไม่จำเป็นต้องแสดง CAPTCHA กับลูกค้าทุกคน แต่ควรมีระบบตรวจจับพฤติกรรมผิดปกติ และเพิ่มการยืนยันเมื่อระบบพบความเสี่ยง
เว็บไซต์ที่มีระบบจอง เช่น
ควรมีระบบป้องกันบอต เพราะบอตสามารถส่งคำขอจองจำนวนมากเพื่อแย่งสิทธิ์หรือทำให้ทรัพยากรถูกจองโดยผู้ใช้งานปลอม
ในกรณีที่มีจำนวนที่นั่งหรือสิทธิ์จำกัด การป้องกันบอตจึงมีความสำคัญเป็นพิเศษ
แนะนำ: ใช้ Bot Detection, Rate Limiting และการยืนยันเพิ่มเติมในขั้นตอนที่มีความเสี่ยง
ฟังก์ชัน “ลืมรหัสผ่าน” เป็นอีกหนึ่งจุดที่ควรได้รับการป้องกัน แม้ผู้ใช้จะไม่ได้เข้าสู่ระบบก็ตาม
หากระบบเปิดให้กรอกอีเมลหรือ Username เพื่อขอรีเซ็ตรหัสผ่าน บอตสามารถส่งคำขอจำนวนมากได้
นอกจากนี้ ระบบที่ออกแบบไม่ดีอาจทำให้เกิดปัญหา Account Enumeration ซึ่งเป็นกรณีที่ผู้โจมตีสามารถตรวจสอบได้ว่าอีเมลหรือบัญชีใดมีอยู่ในระบบ
แนะนำ: ใช้ Rate Limiting, CAPTCHA เมื่อมีความเสี่ยง และออกแบบข้อความตอบกลับให้ไม่เปิดเผยว่าบัญชีดังกล่าวมีอยู่ในระบบหรือไม่
เว็บไซต์ที่มีข้อมูลสำคัญหรือเกี่ยวข้องกับธุรกรรมควรมีระบบรักษาความปลอดภัยมากกว่าเว็บไซต์ที่ใช้แสดงข้อมูลทั่วไป
ตัวอย่างเช่น
ในกรณีเหล่านี้ CAPTCHA เป็นเพียงส่วนหนึ่งของระบบรักษาความปลอดภัย ไม่ควรใช้เป็นมาตรการป้องกันเพียงอย่างเดียว
ควรพิจารณาร่วมกับ HTTPS, Authentication, Authorization, Rate Limiting, Monitoring และมาตรการรักษาความปลอดภัยอื่น ๆ
เว็บไซต์ที่มีการรับข้อมูลหรือให้ผู้ใช้งานดำเนินการบางอย่าง เช่น ติดต่อ สมัครสมาชิก Login สมัคร Newsletter แสดงความคิดเห็น สั่งซื้อสินค้า จองบริการ หรือลืมรหัสผ่าน ควรมีระบบป้องกันบอตที่เหมาะสม
