Borang hubungan baharu dilancarkan pagi tadi. Petang ini peti masuk sudah dipenuhi mesej iklan. Kita memasang Turnstile dan melihat widget muncul; terasa seperti masalah selesai. Sebenarnya, paparan di pelayar cuma separuh daripada proses.
Server mesti memeriksa token
Turnstile menghasilkan token apabila pelawat melalui semakan. Backend perlu menghantar token itu ke Siteverify dan hanya menerima borang jika pengesahan berjaya. Panduan rasmi Cloudflare menegaskan semakan di server wajib dibuat. Jika server sekadar percaya bahawa widget pernah dipaparkan, bot boleh menghantar permintaan terus ke endpoint borang.
Token juga mempunyai tempoh sah dan tidak patut digunakan berkali-kali. Tunjukkan mesej yang jelas apabila pengesahan gagal, supaya pengguna sebenar boleh mencuba semula tanpa perlu meneka apa yang berlaku.
Jaga pengalaman manusia
Jangan bina borang sepuluh medan jika nama, e-mel dan mesej sudah mencukupi. Sahkan input dengan baik, hadkan kadar permintaan dan pantau mesej yang masuk. Jika borang penting untuk tempahan atau pertanyaan pelanggan, uji dari telefon serta sambungan perlahan.
Alat anti-bot membantu, tetapi ia bukan pengganti reka bentuk borang yang kemas dan semakan di belakang tabir.