Kontur пока в начале пути, и каждое подключение я разбираю лично: смотрю, как проверка ведёт себя на конкретной форме, какие признаки поведения там вообще собираются и где она ошибается на живых людях. На чужой форме всё это выглядит иначе, чем на моей, а вслепую такие вещи не настраиваются. Поэтому ключи завожу я, и Kontur идёт вместе с сайтом, который я делаю.

Выданное подключение лежит в разделе Kontur вашего профиля: там же домены, статистика по рубежам и перевыпуск секрета. Прежний секрет перестаёт работать сразу же, поэтому перевыпускать стоит только когда есть куда вписать новый.

Блок должен стоять внутри формы — иначе скрытому полю некуда попасть, виджет выглядит рабочим, а проверка до сервера не доезжает. Скрипт скажет об этом в консоли один раз; значение тогда придётся забирать через getResponse().

Секрет никогда не должен попадать в браузер. У адреса проверки намеренно нет заголовков CORS: вызвать его со страницы не получится, и это сразу подскажет, что что-то не так.

{ "success": true, "hostname": "example.com", "challenge_ts": "2026-08-25T12:00:00Z" }

{ "success": false, "error-codes": ["invalid-response"] }

При отказе с кодом challenge-required в ответе приходит поле challenge с готовой картинкой. Верните его на страницу и передайте в виджет — иначе посетитель, ошибшийся один раз, упрётся в тупик до перезагрузки.

const data = await res.json();
if (!data.success) {
  if (data.challenge) window.kontur.challenge(data.challenge);
  return;
}

Аргумент target есть у всех методов, работающих с одной проверкой: индекс, id блока или сам элемент. Он нужен, когда форм на странице больше одной — без него берётся первая, и скрипт предупредит об этом в консоли.

<div class="kontur" id="signup-check" data-callback="onKonturReady"></div>

<script>
  function onKonturReady(response) {
    // пропуск готов — можно отправлять форму своим кодом
  }
  // на странице с несколькими формами называйте нужную явно
  const value = window.kontur.getResponse('signup-check');
</script>

Выдача задачи отвечает одинаковым отказом и на неверный ключ, и на выключенное подключение, и на чужой домен — намеренно: по разнице ответов подбирались бы чужие ключи. Отлаживать по такому ответу нечего, поэтому три случая разделены на отдельной странице.

Кнопка показывает второй режим — так проверка выглядит, когда отправка кажется подозрительной.

Четыре отправки одной и той же формы, посчитанные настоящим движком. Признаки браузера умеют только снижать подозрительность, и их суммы хватает ровно до обычного режима; повышать без ограничения умеют лишь серверные факты — время, происхождение адреса, форма заголовков, номер попытки.

Строки выбраны по тому, что решает при выборе, а не по тому, где Kontur выигрывает. Последняя строка — там, где он проигрывает, и её стоит прочитать раньше остальных.

Обновление про одно: раньше браузер рассказывал о себе, а сервер верил. Теперь браузер показывает, а сервер проверяет — и повышать подозрительность стали факты, которые с клиента подделать нельзя. Для живого посетителя не изменилось ничего.

1. 01

   Поведение проверяется, а не принимается на слово

   Раньше браузер присылал готовые выводы о себе: «страницу трогали», «ритм набора такой-то». Сервер их принимал. Бот, написавший эти шесть чисел от руки, проходил незаметно — и это был самый дешёвый обход, какой в Kontur был. Теперь браузер присылает саму последовательность событий, а выводы делает сервер. Их можно сверить: поведение не может длиться дольше, чем прошло от выдачи задачи, а это время сервер отмерил сам.

2. 02

   Отсекаются арендованные адреса

   Около полутора тысяч диапазонов AWS, Google Cloud, Oracle, DigitalOcean, Linode и Vultr. Оттуда приходит почти вся дешёвая автоматика, и оттуда отправка теперь получает картинку. Сети доставки содержимого в список не входят: через них выходят живые люди — например, все, у кого включено «Частное реле iCloud».

3. 03

   Заметен клиент, который только притворяется браузером

   Браузер отправляет набор заголовков целиком и всегда одинаково. Подделать одно поле легко, собрать весь набор — заметно труднее, а забыть половину очень просто, и именно это делают простые скрипты.

4. 04

   Картинка появляется там, где раньше не могла

   В подписке на рассылку и восстановлении пароля её показать было негде — не по существу, а по устройству виджета. Теперь есть где, и подозрительная отправка там встречает визуальный рубеж, а не просто задачу подороже.

5. 05

   Постоянный посетитель платит меньше

   Браузер, прошедший несколько проверок за сутки, получает задачу вчетверо легче. Память привязана к браузеру, а не к адресу, поэтому переход с домашнего Wi-Fi на мобильный интернет её не сбрасывает. На чужих сайтах это не работает: там это кука третьей стороны, и браузеры её режут.

6. 06

   Вам делать не нужно ничего

   Скрипт обновляется сам, ключ и секрет прежние, ответ /verify не менялся ни одним полем. Единственное, что стоит знать: первые минут десять после обновления у части посетителей в кеше ещё лежит старый скрипт, и они увидят картинку. Проходит само.