hCaptcha

전통적인 위젯은 폼을 보내기 전에 작은 과제를 요구한다. 패시브 모드는 조용한 선택지다. 백그라운드에서 세션을 점수화하고 위험이 정당할 때만 개입한다. hCaptcha는 Pro 플랜에서 방문자의 99.9%가 퍼즐 없이 통과한다고 설명한다. 고객지원 폼이나 뉴스레터에서는 이 차이가 입력 완료율을 가른다.

세션마다 기기와 네트워크, 행동, 의도 신호로 점수를 만든다. 위협 시그니처는 수천 개 IP와 기기에 흩어진 공격자를 한 묶음으로 모은다. 최근 봇넷은 차단 목록이 따라가기 어려울 만큼 주소를 빨리 바꾸기 때문에 이 기능이 중요하다. IP 목록을 관리하는 대신 임계값을 정하고 점수가 판단하게 둔다.

사용자 여정은 페이지와 행동을 넘나들며 세션을 하나로 잇는다. 단독 이벤트에 맥락이 붙는다. 로그인 실패 한 번은 그 자체로 무해해 보인다. 상품 페이지를 열 번 보고 비밀번호를 재설정한 뒤 결제를 시도하다 실패하면 이야기가 달라진다. 조사 담당자는 그 타임라인을 한 화면에서 보고 추측을 줄인다.

Agent Controls는 봇도 사람도 아닌 애매한 트래픽을 맡는다. AI 어시스턴트, 크롤러, 사용자를 대신해 움직이는 에이전트형 브라우저다. 에이전트가 신원을 숨겨도 hCaptcha는 자체 신호로 판단하고, 요청에 서명하는 파트너 플랫폼을 위해 Web Bot Auth도 지원한다. 정책은 사이트키 단위로 정한다. 카탈로그 탐색은 허용하고, 재고 예약 전에는 유효한 토큰을 요구하며, 자동화가 금지된 흐름에서는 거부한다. WebMCP 도구 호출은 이름만 기록하고 인자와 결과는 남기지 않는다.

Account Defense는 가입과 로그인, 인증된 세션을 보며 탈취와 다중 계정을 찾는다. Fraud Protection은 결제를 담당한다. 카드 테스트, 차지백, 인센티브 남용, SMS 펌핑이 대상이다. 둘은 같은 리스크 모델에 신호를 보내기 때문에, 수상한 가입 하나가 10분 뒤 결제의 점수까지 끌어올린다.

hCaptcha는 트래픽 점수화에 개인 식별 정보를 요구하지 않고, 고객은 계정과 거래 항목을 보내기 전에 가릴 수 있다. 준수 목록에는 GDPR, CCPA, LGPD, PIPL이 들어간다. 데이터 웨어하우스를 하나 더 만들자는 제안을 법무가 이미 거절한 회사라면 검토 범위가 그만큼 줄어든다.

Enterprise 플랜에는 리포트 API, SAML SSO를 지원하는 다중 사용자 대시보드, 기업용 SLA가 더해진다. Managed Defense는 한 걸음 더 나아가 24시간 SOC를 계정에 붙인다. 여러 고객에서 같은 공격 패턴을 보는 사람들이 경보를 분류한다. 야간 근무를 짤 수 없는 팀도 자체적으로는 갖추기 어려운 대응 체계를 얻는다.