ALTCHA

Принцип работы ALTCHA: криптографический Proof-of-Work

В основе ALTCHA лежит математическая концепция Proof-of-Work (доказательство выполнения работы), аналогичная алгоритму Hashcash, используемому для защиты от почтового спама и в блокчейн-сетях. Механизм функционирует в три взаимосвязанных этапа:

• Генерация вызова (Challenge): когда пользователь открывает страницу с формой, веб-сервер генерирует криптографическую задачу. Она содержит случайную псевдослучайную соль (salt), целевой хеш SHA-256, ограничение сложности (диапазон чисел, например от 10 000 до 100 000) и метку времени (timestamp) с цифровой подписью HMAC.
• Фоновые вычисления на клиенте: легкий браузерный скрипт или веб-компонент запускает Web Worker, который перебирает случайные значения (nonce) до тех пор, пока результат хеширования SHA-256(salt + nonce) не совпадет с заданным условием вызова.
• Мгновенная валидация сервером: при отправке формы найденное число (число-доказательство) передается на бэкенд. Сервер проверяет HMAC-подпись вызова, срок его жизни и производит ровно одну операцию вычисления хеша для проверки результата.

Для обычного человека этот процесс длится доли секунды (100–300 мс) и происходит незаметно в фоновом потоке, не нагружая интерфейс. Однако для спам-бота, рассылающего сотни тысяч запросов, суммарные вычислительные затраты процессора и электроэнергии делают атаку экономически бессмысленной.

Приватность, соответствие законодательству и суверенитет

Главным драйвером перехода на ALTCHA стал глобальный кризис доверия к проприетарным антиспам-системам, злоупотребляющим слежкой за пользователями.

Благодаря такой архитектуре технология по умолчанию соответствует требованиям GDPR (Евросоюз), CCPA (США) и российского 152-ФЗ «О персональных данных», не требуя размещения предупреждений в Cookie-баннерах.

В отличие от Google reCAPTCHA, чьи скрипты блокируются корпоративными сетями или замедляются при трансграничных сбоях, ALTCHA полностью автономна (Self-Hosted). Все вызовы создаются и проверяются внутри собственного сервера, гарантируя независимость от санкций и внешней инфраструктуры.

Пользовательский опыт (UX) и цифровая доступность (a11y)

Традиционные графические тесты Тьюринга являются главным барьером, снижающим конверсию коммерческих сайтов. Разгадывание размытых дорожных знаков или деформированных символов вызывает естественное раздражение пользователей.

• Стандарты WCAG 2.2 AA: интерфейсный компонент ALTCHA спроектирован с учетом потребностей людей с ограниченными возможностями. Он полноценно озвучивается скринридерами (экранными дикторами) и управляется с клавиатуры без применения мыши.
• Отсутствие субъективных ошибок: человеку больше не нужно гадать, входит ли столб светофора в соседний квадрат изображения. Математическое доказательство исключает ложные отказы для реальных посетителей.
• Сохранение конверсии форм: отсутствие видимого трения на этапе подтверждения заказа или отправки контактных данных предотвращает брошенные корзины и увеличивает процент успешных лидов.

Сравнительный анализ: ALTCHA против reCAPTCHA и Turnstile

Для объективной оценки антиспам-решений важно сопоставить их ключевые технические и эксплуатационные характеристики:

• Google reCAPTCHA (v2 / v3): закрытый проприетарный код. Версия v2 требует раздражающего ручного ввода капчи, а версия v3 осуществляет скрытый сбор телеметрии браузера. Пользователи VPN или анонимных браузеров систематически получают низкий скоринг доверия и блокируются.
• Cloudflare Turnstile: обеспечивает удобный пользовательский опыт без головоломок, однако жестко привязывает веб-проект к экосистеме Cloudflare и требует проксирования трафика через сторонние дата-центры.
• ALTCHA (Open Source): открытый исходный код под лицензией MIT, нулевая привязка к вендорам (Vendor Lock-in), возможность полностью изолированной работы без интернета во внутренних корпоративных сетях (Intranet).

Открытый протокол исключает сценарии, при которых сторонний поставщик услуг может в одностороннем порядке ввести платные тарифы или заблокировать API-ключи сайта.

Защита от продвинутых угроз и криптографическая стойкость

Современные спам-фермы используют распределенные ботнеты и аппаратное ускорение. Для противодействия масштабным атакам архитектура ALTCHA использует специализированные инженерные барьеры:

• Защита от атак повторного воспроизведения (Replay Attacks): каждый вызов включает уникальную соль, временную метку и подпись HMAC. Сервер сохраняет использованные токены во временный кэш (например, в быструю память Redis), отклоняя повторные отправки с тем же решением.
• Memory-Hard алгоритмы: помимо стандартного хеширования SHA-256, протокол поддерживает алгоритмы с высокими требованиями к памяти (Argon2, Scrypt), нивелирующие преимущество параллельных вычислений на видеокартах (GPU) и чипах ASIC.
• Защита API и Machine-to-Machine интеграций: ALTCHA эффективно экранирует публичные REST и GraphQL эндпоинты от автоматического скрапинга, брутфорса паролей и атак Credential Stuffing.

Интеграция в CMS Joomla и веб-архитектуру

Внедрение ALTCHA в современные веб-системы (включая CMS Joomla 4, 5 и 6) реализуется предельно просто и надежно:

Серверная валидация на PHP: проверка решения на бэкенде не требует тяжелых библиотек. Валидатор проверяет совпадение HMAC-подписи с секретным ключом сайта и производит разовый вызов нативной функции hash('sha256', ...), что практически не создает нагрузки на процессор сервера хостинга.