کپچا (CAPTCHA) چیست و چرا تأیید آن ناموفق می‌شود؟

در حال پر کردن فرم ثبت‌نام هستید. اول کادر «من ربات نیستم» را تیک می‌زنید، بعد چند دقیقه وقت می‌گذارید تا رمز عبوری بسازید که قاعده‌های سایت را بپذیرد. وقتی دکمه ارسال را می‌زنید، صفحه پاسخ می‌دهد ⁦«CAPTCHA verification failed. Please try again.»⁩ به بالای صفحه برمی‌گردید و می‌بینید تیک رفته است: کادر حالا می‌گوید ⁦«Verification expired. Check the checkbox again.»⁩

این نوشته توضیح می‌دهد کپچا یعنی چه، پشت آن کادر چه چیزی اجرا می‌شود و ⁦reCAPTCHA v2⁩ و ⁦v3⁩ چه فرقی با هم دارند. سپس پیام‌های خطای رایج را یکی‌یکی باز می‌کند و فهرست می‌کند به ترتیب چه چیزهایی را امتحان کنید تا بفهمید مشکل در مرورگر شماست، در شبکه شما یا در خود سایت.

کپچا یعنی چه؟#

CAPTCHA کوتاه‌شده عبارت ⁦Completely Automated Public Turing test to tell Computers and Humans Apart⁩ است، یعنی «آزمون تورینگ عمومی و کاملاً خودکار برای جدا کردن رایانه از انسان». آزمون تورینگ که نامش را از ریاضی‌دانی به نام آلن تورینگ گرفته است، می‌پرسد آیا یک ماشین می‌تواند خودش را انسان جا بزند. کپچا این ایده را وارونه می‌کند: رایانه آزمون را طرح می‌کند و انسان باید از آن بگذرد، در حالی که برنامه شکست می‌خورد.

کپچا را در فرم‌های ثبت‌نام و ورود، بازنشانی رمز عبور، بخش نظرها و صفحه‌های پرداخت می‌بینید. در این جاها جلوی برنامه‌هایی را می‌گیرد که حساب‌های جعلی را انبوه می‌سازند، هرزنامه می‌فرستند یا هزاران رمز عبور را امتحان می‌کنند. چهار شکل رایج دارد:

• متن کج‌ومعوج که باید آن را از روی یک تصویر تاب‌خورده تایپ کنید. «کد کپچا» که مردم می‌گویند همین است.
• کارهای تصویری، مثلاً انتخاب همه خانه‌هایی که اتوبوس در آن‌ها دیده می‌شود.
• کادر علامت یا لغزنده: یک تیک روی «من ربات نیستم» یا کشیدن یک دستگیره به سمت راست.
• امتیاز نامرئی که در پس‌زمینه محاسبه می‌شود.

در بسیاری از سایت‌ها این‌ها مرحله‌های یک بررسی واحدند: هرچه تردید بیشتر باشد، کار بیشتری از شما خواسته می‌شود. اینکه این تصمیم چگونه گرفته می‌شود در انواع کپچا و اینکه چه چیزی آن‌ها را فعال می‌کند آمده است و نشانه‌های پشت آن در چرا کپچا ظاهر می‌شود؟

کپچا در پشت صحنه چگونه کار می‌کند؟#

کادر معمولاً بخشی از خود سایت نیست، بلکه پنجره کوچکی است که از سرورهای شرکت دیگری بارگذاری می‌شود. در reCAPTCHA که سرویس Google است، میان کلیک شما و پذیرفته شدن فرم این گام‌ها اجرا می‌شوند:

1. صفحه کادر را از Google بارگذاری می‌کند، از www.google.com/recaptcha یا از نشانی جایگزین www.recaptcha.net. اگر یک افزونه یا فیلتر شبکه آن نشانی را مسدود کند، کادر هرگز ظاهر نمی‌شود.
2. کادر نشانه‌هایی را از مرورگر شما می‌خواند، مثلاً اینکه نشانگر ماوس چگونه حرکت می‌کند، کدام کوکی‌ها وجود دارند و مرورگر خودش را چگونه معرفی می‌کند. نوشته تشخیص بات چگونه کار می‌کند؟ توضیح می‌دهد این نشانه‌ها چگونه به تصمیم تبدیل می‌شوند.
3. اگر تردید داشته باشد، کاری از شما می‌خواهد؛ معمولاً یک جدول تصویری که گزینه صوتی هم دارد.
4. یک کد تأیید یک‌بارمصرف دریافت می‌کنید که به آن توکن (token) می‌گویند. مثل رمز یک‌بارمصرفی است که بانک با پیامک برایتان می‌فرستد: زود منقضی می‌شود و فقط یک بار کار می‌کند.
5. سایت درباره این کد از Google می‌پرسد. وقتی دکمه ارسال را می‌زنید، سرور سایت توکن را به Google می‌فرستد. مستندات تأیید پاسخ Google می‌گوید هر توکن دو دقیقه اعتبار دارد و فقط یک بار می‌توان آن را تأیید کرد.
6. سایت فرم را می‌پذیرد یا خطای خودش را نشان می‌دهد.

بسیاری از فرم‌ها در گام 5 شکست می‌خورند. اگر میان تیک زدن و ارسال بیش از دو دقیقه بگذرد، یا همان کد پس از دو بار کلیک یا با دکمه بازگشت (Back) دوباره برسد، بررسی ناموفق می‌شود.

reCAPTCHA چیست و ⁦v2⁩ و ⁦v3⁩ چه فرقی دارند؟#

reCAPTCHA سرویس کپچای Google است و سایت‌ها میان دو نسخه اصلی آن یکی را انتخاب می‌کنند.

⁦reCAPTCHA v2⁩: کادر علامت#

نسخه 2 همان کادر «من ربات نیستم» است. بسیاری از بازدیدکنندگان با یک کلیک از آن می‌گذرند؛ وقتی کادر مطمئن نباشد، از شما می‌خواهد همه تصویرهایی را که اتوبوس یا دوچرخه دارند انتخاب کنید. یک گونه نامرئی هم هست که هیچ کادری نشان نمی‌دهد و فقط وقتی تردید دارد کار تصویری را باز می‌کند.

⁦reCAPTCHA v3⁩: امتیاز نامرئی#

نسخه 3 هرگز کاری از شما نمی‌خواهد. به هر اقدام امتیازی از 0.0 تا 1.0 می‌دهد. بنا بر مستندات ⁦v3⁩ در Google (بررسی‌شده در سپتامبر 2026)، امتیاز 1.0 به احتمال زیاد یک انسان است و 0.0 به احتمال زیاد یک بات، و سایت‌ها می‌توانند با آستانه 0.5 شروع کنند. اگر امتیاز زیر آستانه سایت باشد، سایت ممکن است فرم را رد کند یا گام دیگری بخواهد؛ به همین شکل است که بدون دیدن هیچ معمایی پیام ⁦«verification failed»⁩ می‌گیرید. نشان کوچک reCAPTCHA در گوشه صفحه یا جمله ⁦«This site is protected by reCAPTCHA»⁩ نشان می‌دهد نسخه نامرئی به کار رفته است.

در آوریل 2026 شرکت Google سرویس reCAPTCHA را درون محصول بزرگ‌تری به نام ⁦Google Cloud Fraud Defense⁩ قرار داد. Google می‌گوید کلیدهای سایت و یکپارچه‌سازی‌های موجود همان‌طور که هستند باقی می‌مانند، پس کادری که می‌بینید تغییری نمی‌کند.

recaptcha.net چیست؟#

www.recaptcha.net همان reCAPTCHA را از نشانی دومی ارائه می‌کند. بنا بر پرسش‌های متداول reCAPTCHA در Google، سایت‌ها وقتی www.google.com برای کاربرانشان در دسترس نیست می‌توانند از این نشانی استفاده کنند. این نشانی جاسوس‌افزار نیست؛ اگر آن را در گزارش حریم خصوصی iPhone خود می‌بینید، سایتی که باز کرده‌اید کپچایش را از آنجا بارگذاری کرده است.

Yandex SmartCaptcha چیست؟#

SmartCaptcha سرویس کپچای Yandex است. بنا بر توضیح انواع چالش در مستندات آن، چالش اصلی یک کادر «من ربات نیستم» یا یک لغزنده است. اگر تلاش مشکوک به نظر برسد، کار دومی در پی می‌آید: تایپ متن کج‌ومعوج، علامت زدن نمادها به ترتیب یا بازسازی یک تصویر با لغزنده. بیشتر گام‌های پایین این نوشته درباره آن هم صدق می‌کند.

صفحه ⁦«Verifying you are human»⁩ و کادر Turnstile در Cloudflare سامانه جداگانه‌ای‌اند که در پیام Verifying You Are Human در Cloudflare بررسی شده‌اند.

پیام‌های خطای کپچا چه معنایی دارند؟#

پیام‌های درون کادر، مثل ⁦«Verification expired. Check the checkbox again.»⁩، از Google می‌آیند. پیام‌های اطراف فرم، مثل ⁦«Invalid Captcha»⁩ یا ⁦«Captcha Required»⁩، را هر سایت خودش می‌نویسد؛ به همین دلیل یک مشکل با جمله‌بندی‌های بسیار متفاوتی دیده می‌شود.

⁦«CAPTCHA verification failed»⁩#

سایت درباره کد شما از Google پرسیده و پاسخ مثبت روشنی نگرفته است. در نسخه کادر علامت، احتمالاً کد منقضی شده یا دوباره استفاده شده است. در نسخه امتیازی ⁦v3⁩، بازدید شما زیر آستانه افتاده است و نخستین جایی که باید بررسی کنید شبکه شماست.

⁦«Captcha Required»⁩ و ⁦«This field is required»⁩#

فرم بدون کد تأیید رسیده است: یا پیش از تیک زدن کادر دکمه ارسال را زده‌اید، یا کادر هرگز بارگذاری نشده است. اگر در صفحه اصلاً کادری نیست، به مسدودکننده تبلیغات یا افزونه حریم خصوصی شک کنید.

⁦«Invalid Captcha»⁩ و ⁦«Incorrect Captcha»⁩#

در فرم‌های متنی، آنچه تایپ کرده‌اید با تصویر نمی‌خواند. در فرم‌هایی که کادر علامت دارند، کد آسیب‌دیده یا خالی رسیده است.

⁦«Verification expired»⁩ و ⁦«timeout-or-duplicate»⁩#

وقتی مهلت تأیید تمام می‌شود، کادر تیک شما را پاک می‌کند و سطر منقضی شدن را نشان می‌دهد. timeout-or-duplicate پاسخی است که Google وقتی سایت کدی خیلی کهنه یا از پیش استفاده‌شده برایش می‌فرستد برمی‌گرداند؛ برخی سایت‌ها همین پاسخ را همان‌طور که هست نمایش می‌دهند.

⁦«Cannot contact reCAPTCHA»⁩ یا کادری که هرگز بارگذاری نمی‌شود#

متن کامل این سطر ⁦«Cannot contact reCAPTCHA. Check your connection and try again.»⁩ است. مرورگر شما به سرورهای Google نمی‌رسد؛ معمولاً به دلیل یک افزونه، خاموش بودن JavaScript یا فیلتر شبکه محل کار یا مدرسه.

⁦«ERROR for site owner»⁩#

سطری در کادر مانند ⁦«ERROR for site owner: Invalid domain for site key»⁩ یعنی سایت reCAPTCHA را اشتباه پیکربندی کرده است. هیچ کاری در مرورگر شما آن را درست نمی‌کند؛ تصویر صفحه را برای سایت بفرستید.

چرا تأیید کپچا ناموفق می‌شود؟#

علت‌ها در سه دسته جا می‌گیرند: مرورگر شما، شبکه شما و خود سایت.

مرورگر شما. مسدودکننده‌های تبلیغات و افزونه‌های حریم خصوصی اسکریپت‌هایی را که از سرورهای شرکت‌های دیگر می‌آیند مسدود می‌کنند و کادر کپچا هم یکی از آن‌هاست. ممکن است JavaScript خاموش باشد یا تنظیم‌های سختگیرانه همه کوکی‌ها را مسدود کنند. راهنمای reCAPTCHA در Google هم روی رایانه رومیزی فقط دو نسخه اصلی آخر Chrome، Firefox، Safari و Edge را پشتیبانی‌شده می‌داند.

شبکه شما. در خوابگاه، محل کار و بسیاری از اتصال‌های موبایل، گروه بزرگی از افراد یک آدرس IP را به‌طور مشترک به کار می‌برند. اگر برخی از آن‌ها ابزار خودکار اجرا کنند، امتیاز همه کسانی که پشت آن آدرس‌اند ممکن است پایین بیاید (CGNAT چیست؟). آدرس‌های خروجی VPN هم به همین شکل مشترک‌اند و بررسی بیشتری به دنبال می‌آورند (خطای «VPN یا پروکسی شناسایی شد»). تلاش‌های زیاد در زمانی کوتاه امتیاز را باز هم پایین‌تر می‌برد.

سایت. کلید اشتباه، دامنه‌ای که در تنظیم‌های reCAPTCHA سایت نیامده یا فرمی که خودش را دو بار ارسال می‌کند، برای همه بازدیدکنندگان شکست می‌خورد. کادری که در هر جست‌وجوی Google دوباره می‌آید صفحه دیگری است و در خطای ترافیک غیرعادی Google بررسی شده است.

وقتی تأیید کپچا ناموفق می‌شود، به ترتیب چه چیزهایی را امتحان کنیم؟#

1. صفحه را تازه کنید و کادر را آخر از همه تیک بزنید. همه خانه‌های فرم را پر کنید، در پایان «من ربات نیستم» را تیک بزنید و ظرف دو دقیقه فقط یک بار دکمه ارسال را بزنید.
2. مسدودکننده تبلیغات را برای این سایت متوقف کنید. بیشتر مسدودکننده‌ها زیر نماد خود در نوار ابزار کلیدی دارند که آن‌ها را فقط برای یک سایت خاموش می‌کند. برای آزمودن، یک پنجره ناشناس باز کنید که افزونه‌ها معمولاً در آن خاموش‌اند (در Chrome: منوی سه‌نقطه > پنجره ناشناس جدید).
3. به JavaScript اجازه بدهید. در Chrome به تنظیمات > حریم خصوصی و امنیت > تنظیمات سایت > JavaScript بروید و دست‌کم برای این سایت اجازه بدهید.
4. مرورگر را به‌روز کنید؛ از صفحه «درباره» در منوی آن.
5. برنامه یا افزونه VPN را خاموش کنید و فرم را دوباره بارگذاری کنید.
6. شبکه دیگری را امتحان کنید. به‌جای Wi-Fi از داده همراه استفاده کنید. اگر فرم ارسال شد، احتمالاً آدرس شبکه نخست مشکل بوده است؛ گزینه‌هایتان در آدرس IP را چطور تغییر دهیم؟ آمده است.
7. صفحه دیگری را که reCAPTCHA دارد امتحان کنید. اگر کادر جای دیگری کار می‌کند و فقط اینجا شکست می‌خورد، مشکل از سایت است: برای بخش پشتیبانی آن تصویر صفحه، زمان رخداد و نام مرورگرتان را بفرستید.

اگر نتوانید تصویرها را ببینید یا صدا را بشنوید چه کنید؟#

در کار تصویری reCAPTCHA، دکمه چالش صوتی زیر تصویرها را بزنید، سپس PLAY را بزنید و عددهایی را که می‌شنوید تایپ کنید. صفحه‌های راهنمای Google می‌گویند reCAPTCHA با صفحه‌خوان‌های ChromeVox، JAWS، NVDA و VoiceOver کار می‌کند.

صدا پاسخ کاملی نیست. یادداشت ⁦W3C⁩ با عنوان Inaccessibility of CAPTCHA (دسامبر 2021) توضیح می‌دهد که آزمون‌های تصویری افراد نابینا و کم‌بینا و افراد دارای نارساخوانی را کنار می‌گذارند، و آزمون‌های صوتی افراد ناشنوا و کم‌شنوا و کسانی را که هم ناشنوا و هم نابینا هستند. اگر هیچ‌کدام برایتان کار نمی‌کند، به‌جای نصب افزونه «حل‌کننده»، از سایت بخواهید راه بررسی دیگری در اختیارتان بگذارد، مثل تماس تلفنی یا پیوندی که به ایمیلتان فرستاده می‌شود.

کپچا و بررسی‌های مشابه را کجا می‌بینید؟#

• جست‌وجوی Google: صفحه «ترافیک غیرعادی» که در خطای ترافیک غیرعادی Google توضیح داده شده است.
• Cloudflare: صفحه ⁦«Verifying you are human»⁩ که در پیام Verifying You Are Human در Cloudflare توضیح داده شده است.
• YouTube: درخواست ورود به حساب و تأیید اینکه ربات نیستید، که در خطای «ربات نیستید» یوتیوب توضیح داده شده است.
• مسدودسازی بدون کادر: ورود یکسره رد می‌شود؛ توضیح آن در خطای Sorry, You Have Been Blocked آمده است.
• ⁦«Access Denied»⁩: صفحه رد دسترسی با یک شماره مرجع؛ توضیح آن در خطای Access Denied در وب‌سایت‌ها آمده است.
• هشدارهای VPN: سایت‌هایی که به‌جای آزمودن آدرس VPN آن را یکسره رد می‌کنند؛ توضیح آن در خطای «VPN یا پروکسی شناسایی شد» آمده است.
• کسب‌وکارهایی که با نرم‌افزار داده جمع می‌کنند: اینجا کپچا تابلوی ایست است. راه مشروع، کم کردن سرعت درخواست‌ها، استفاده از API رسمی و گرفتن اجازه از صاحب سایت است؛ صفحه استخراج داده ما نشان می‌دهد این کار چگونه راه‌اندازی می‌شود. هیچ پروکسی یا ابزاری کپچا را از میان برنمی‌دارد و نباید برای چنین تلاشی به کار برود.

اشتباه‌های رایج#

• نصب افزونه «حل‌کننده کپچا». این افزونه‌ها معمولاً اجازه می‌خواهند داده‌های شما را در همه وب‌سایت‌ها، از جمله بانک و ایمیلتان، بخوانند و تغییر دهند.
• چند بار زدن دکمه ارسال. کد فقط یک بار کار می‌کند، پس بار دوم کدی فرستاده می‌شود که قبلاً استفاده شده است.
• تیک زدن کادر پیش از پر کردن فرم. اگر آهسته تایپ کنید، دو دقیقه تمام می‌شود.
• ارسال دوباره با دکمه بازگشت. مرورگر ممکن است کدی را که قبلاً بررسی شده دوباره بفرستد.
• روشن کردن VPN برای حل مشکل. آدرس مشترک VPN معمولاً بررسی بیشتری به دنبال می‌آورد؛ تفاوت پروکسی و VPN توضیح می‌دهد VPN چه چیزی را تغییر می‌دهد.
• پیروی از بررسی‌ای که از شما می‌خواهد فرمانی را جای‌گذاری کنید. یک کپچای واقعی هرگز نمی‌گوید کلیدهای Windows+R را بزنید یا متنی را در ترمینال جای‌گذاری کنید؛ صفحه‌های بررسی جعلی از همین گام برای نصب بدافزار استفاده می‌کنند.

راهنمای انتخاب#

برای هر حالت دیگر، گام‌های شماره‌دار بالا را به ترتیب انجام دهید.

پرسش‌های متداول#

کپچا برای چه به کار می‌رود؟#

کپچا جلوی برنامه‌ها را دم در فرم می‌گیرد: بات‌هایی که حساب جعلی باز می‌کنند، هرزنامه می‌فرستند یا رمزهای عبور دزدیده‌شده را امتحان می‌کنند. کارش محافظت از سایت و کاربران آن است، نه قضاوت درباره شما؛ به همین دلیل بازدیدکنندگان واقعی هم آن را می‌بینند.

کد کپچا چیست؟#

رشته‌ای کج‌ومعوج از حرف‌ها و عددها در یک تصویر است که برخی فرم‌ها از شما می‌خواهند آن را تایپ کنید. اینکه حروف بزرگ و کوچک فرق دارند یا نه به سایت بستگی دارد؛ اگر نمی‌توانید آن را بخوانید، دکمه بارگذاری دوباره کنار تصویر را بزنید.

recaptcha.net چیست و چرا در iPhone من دیده می‌شود؟#

Google از آن به‌عنوان نشانی جایگزین برای ارائه reCAPTCHA استفاده می‌کند. گزارش حریم خصوصی برنامه در Apple، که روی ⁦iOS 15.2⁩ یا جدیدتر در مسیر تنظیمات > حریم خصوصی و امنیت قرار دارد، دامنه‌هایی را فهرست می‌کند که وب‌سایت‌های بازشده درون برنامه‌ها در هفت روز گذشته با آن‌ها تماس گرفته‌اند.

پاسخ ⁦«timeout-or-duplicate»⁩ یعنی چه؟#

Google این پاسخ را وقتی به سایت می‌فرستد که کد تأیید بیش از دو دقیقه عمر داشته باشد یا قبلاً بررسی شده باشد. این پاسخ به معنای مسدود شدن نیست. فرم را دوباره بارگذاری کنید، کادر را آخر از همه تیک بزنید و فقط یک بار دکمه ارسال را بزنید.

کپچا بارگذاری نمی‌شود و کادر هرگز ظاهر نمی‌شود. چه کنم؟#

مسدودکننده تبلیغات را برای آن سایت متوقف کنید، به JavaScript اجازه بدهید و یک پنجره ناشناس را امتحان کنید، سپس شبکه دیگری را. اگر کادر در سایت‌های دیگر کار می‌کند اما در این یکی نه، به احتمال زیاد علت در راه‌اندازی خود سایت است.

چرا یک کلیک روی «من ربات نیستم» کافی است؟#

کلیک همه آزمون نیست. پیش از کلیک و در همان لحظه، کادر نشانه‌هایی را از مرورگر و اتصال شما می‌خواند. وقتی چیز غیرعادی‌ای نبیند اجازه عبور می‌دهد؛ وقتی ببیند، یک کار تصویری یا صوتی باز می‌کند.

خلاصه#

کپچا آزمون کوتاهی است که در فرم‌های یک سایت انسان‌ها را از برنامه‌ها جدا می‌کند. علت‌های رایج شکست، کد تأییدی است که منقضی شده یا دو بار فرستاده شده، افزونه‌ای که کادر را مسدود کرده، یا آدرس مشترکی که امتیاز را پایین آورده است. صفحه را تازه کنید، کادر را آخر از همه تیک بزنید، یک بار ارسال کنید و مسدودکننده را متوقف کنید؛ اگر کادر ⁦«ERROR for site owner»⁩ نشان می‌دهد، به سایت خبر بدهید. اگر تیم شما برای کسب‌وکار با آدرس‌های IP کار می‌کند، صفحه خدمات پروکسی ما انواع آدرس را توضیح می‌دهد.