-1

No submit do formulário estou utilizando a validação padrão do Capctha (versão 2 do Google) para o disparo de e-mail, mas por algum motivo os ataques de robôs ainda passam, lotando minha caixa de entrada.

Faço a verificação da seguinte forma:

require_once('api_recaptcha.php');
$response = null;
$reCaptcha = new ReCaptcha(*** minha chave ***);
if ($_POST["g-recaptcha-response"]) {
    $response = $reCaptcha->verifyResponse($_POST["g-recaptcha-response"], $_SERVER['REMOTE_ADDR']);
}
if($response == null){
    $erros_form[] = "Marque o captcha (Não sou um robô)";
}

if(is_array($erros_form)){
    echo "<script>window.alert('".$erros_form[0]."');</script>";
}else{
    // aqui o código de disparo do e-mail, onde não deve cair quando não for marcado o Captcha
}

Tem alguma outra forma de fazer esta verificação? Ou então estou fazendo algo errado? Desde já agradeço.

4
  • echo "<script>window.alert('".$erros_form[0]."');</script>'; - Me parece que está faltando uma aspa aqui. Sei que não é esse o seu problema, mas é algo que notei que está errado. 3/01/2017 às 13:09
  • Sim, obrigado. Foi vacilo meu na hora de passar o código pra cá.
    – Leo
    3/01/2017 às 13:15
  • Você está validando a request post. Pois alguns robôs podem nem passar pelo teu form e realizar diretamente um post injection 3/01/2017 às 18:10
  • Não trabalho com PHP, mas em uma pesquisa rápida vejo que você verifica se a resposta do reCaptcha não é nula, porém se está usando a classe que o Google disponibiliza para fazer a verificação ele retorna um objeto com um campo success, então você deveria verificar além de null se tem a resposta $response->success == true 10/03/2017 às 20:36

1 Resposta 1

1

Não sei qual é a classe que está utilizando para isto, por isso irei recriar isto usando o CURL, embora existam outras formas de fazer isto.

Criei uma função bem simplória para fazer o serviço, sem utilizar bibliotecas oficiais ou já existentes.

function isCaptchaValid(string $ChaveSecreta, $ClienteCaptcha, $ClienteIP) : bool {

    $ClienteCaptcha = filter_var($ClienteCaptcha, FILTER_DEFAULT);
    $ClienteIP = filter_var($ClienteIP, FILTER_VALIDATE_IP);

    if($ClienteCaptcha && $ClienteIP){

        $valoresPost = [
            'secret' => $ChaveSecreta,
            'response' => $ClienteCaptcha,
            'remoteip' => $ClienteIP
        ];

        $ch = curl_init('https://www.google.com/recaptcha/api/siteverify');

        curl_setopt_array($ch, [
            CURLOPT_POST => 1,
            CURLOPT_POSTFIELDS => $valoresPost,
            CURLOPT_RETURNTRANSFER => 1,
            CURLOPT_SSL_VERIFYHOST => 2,
            CURLOPT_SSL_VERIFYPEER => 1,
            CURLOPT_FAILONERROR => 1
        ]);

        $resposta = json_decode(curl_exec($ch), true);
        curl_close($ch);

        if(isset($resposta['success'])){

            return $resposta['success'];

        }

    }

    return false;

}

Dessa forma basta fazer, no HTML:

<form action="SuaPagina.php" method="post">
    <div class="g-recaptcha" data-sitekey="SuaChavePublica"></div>
    <input type="submit">
</form>

<script src='https://www.google.com/recaptcha/api.js'></script>

Enquanto no PHP:

if(isset($_POST['g-recaptcha-response'])) {

    //...

    if(isCaptchaValid('SuaChavePrivada', $_POST['g-recaptcha-response'], $_SERVER['REMOTE_ADDR'])){

        echo 'Você preencheu o captcha corretamente :D';
        exit;

     }

}

echo 'Você errou o captcha! :(';

Lembre-se se estiver utilizando CloudFlare, Sucuri, Incapsula (...) não deve utilizar o REMOTE_ADDR!

Tentei deixar a função mais simples possível, logicamente poderia fazer todo o tratamento criando outras funções...

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .