Cloudflare представила Turnstile Spin — установку защиты от ботов через ИИ-агентов

В 2023 году Cloudflare объявила об отказе от CAPTCHA, запустив Turnstile — privacy-first client-side challenge, который не требует от посетителя решения головоломок, бесплатен и работает на любом сайте без необходимости проксировать трафик через инфраструктуру Cloudflare. Теперь компания анонсировала Turnstile Spin — реализацию Turnstile end-to-end, управляемую агентом. Это особенно важно на фоне роста ИИ: всё больше людей создают приложения с помощью ИИ-агентов, а злоумышленники получают новые способы автоматизации атак. Защита от ботов нужна не только тем, кто ежедневно пишет backend-код. Turnstile обрабатывает около трёх миллиардов верификаций в обычный будний день, а за одну недавнюю неделю более 23 000 аккаунтов создали новый виджет в дашборде Cloudflare. Такой рост популярности подтолкнул компанию к поиску способа сделать полную валидацию Turnstile максимально простой.

Подробности

Классическая установка Turnstile требует двух шагов и понимания frontend- и backend-разработки. Сначала нужно изменить frontend-код, чтобы отрендерить виджет Turnstile — это позволяет Cloudflare выполнить client-side challenge и выдать токен. Затем токен отправляется методом POST в API Siteverify, который проверяет его и возвращает метаданные о том, прошёл ли посетитель проверку. На основе этого решения можно, например, разблокировать кнопку входа только после успешного прохождения challenge. Turnstile Spin автоматизирует этот процесс. С его помощью можно создать виджет, встроить его на сайт и подключить Siteverify к нужным функциям backend — так же, как это делалось бы вручную. Кроме того, Spin исправляет неправильно установленные виджеты и обрабатывает миграцию с других CAPTCHA-провайдеров. Запустить инструмент можно из дашборда Cloudflare, через Wrangler или вставив публичный skill URL в своего агента. Spin учитывает изменившуюся парадигму веб-разработки: если раньше интерфейсы и backend-логику писали вручную, отражая двухшаговый workflow Turnstile, то сегодня ИИ-агенты позволяют создавать рабочие сайты за секунды. Однако security-процессы, рассчитанные на ручную разработку, не всегда соответствуют prompt-driven подходу. Spin создан, чтобы закрыть этот разрыв. Проверить собственную конфигурацию можно на странице Turnstile в аккаунте: если виджет обслуживал трафик без backend-валидации, появится действие «Fix with Spin».

Что делать

Пользователям Cloudflare, уже использующим Turnstile, рекомендуется открыть страницу Turnstile в своём аккаунте и проверить наличие действия «Fix with Spin» — оно сигнализирует о том, что виджет работал без backend-валидации, а значит, защита была неполной. Для исправления достаточно запустить Spin. Тем, кто только планирует внедрять защиту от ботов или мигрирует с других CAPTCHA-провайдеров, можно воспользоваться Spin для автоматической настройки через дашборд, Wrangler или ИИ-агента. Это снижает риск ошибок при ручной интеграции client-side и backend-частей. Turnstile Spin делает полноценную защиту от ботов доступной без глубоких знаний frontend- и backend-разработки, что особенно актуально в эпоху массового применения ИИ-агентов для создания сайтов.

Источник: Cloudflare Blog (Security)