Een CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) is een challenge-response-test op websites die mensen onderscheidt van geautomatiseerde bots. De term werd in 2003 bedacht door Luis von Ahn, Manuel Blum, Nicholas J. Hopper en John Langford aan Carnegie Mellon University. Moderne CAPTCHA's zijn onder meer Google reCAPTCHA v2 (afbeeldingen), reCAPTCHA v3 (onzichtbare score), hCaptcha en Cloudflare Turnstile; privacyvriendelijke alternatieven zijn honeypot-velden en tijdgebaseerde formulieranalyse.
Hoe werkt een CAPTCHA?
Een CAPTCHA geeft een taak die makkelijk is voor mensen maar moeilijk voor software: vervormde tekst lezen, afbeeldingen met stoplichten kiezen of — bij onzichtbare CAPTCHA's — op de achtergrond muisbewegingen, cookies, browser fingerprint en IP-reputatie analyseren. De server accepteert het formulier alleen als het CAPTCHA-token valideert via de API van de provider.
Welke CAPTCHA-typen bestaan er in 2026?
- Tekst-CAPTCHA — vervormde letters; sinds ~2014 door OCR gebroken.
- Beeld-CAPTCHA (reCAPTCHA v2) — "selecteer de bussen", 2014.
- Checkbox-CAPTCHA — "Ik ben geen robot", sinds 2014.
- Onzichtbaar / score (reCAPTCHA v3) — score 0.0–1.0, oktober 2018.
- hCaptcha — privacyvriendelijk alternatief sinds 2018.
- Cloudflare Turnstile — onzichtbaar, geen labelen, GA september 2023.
- Reken-/vraag-CAPTCHA — eenvoudige som ("2 + 3 = ?").
- Slider-/puzzel-CAPTCHA — puzzelstuk slepen.
Waarom een CAPTCHA op een WordPress-site?
- Spambescherming op contactformulieren, reacties en registratie.
- Brute-force verdediging op
wp-login.phpen WooCommerce login. - Credential-stuffing mitigatie.
- Scrapers tegenhouden.
Wat zijn de nadelen?
- Toegankelijkheid: visuele puzzels blokkeren schermlezers; WCAG 2.2 vereist een alternatief.
- Privacy: Google reCAPTCHA laadt scripts van
google.comen verzamelt IP, cookies en browserdata. AVG-autoriteiten eisen expliciete toestemming. - Conversieverlies: 3,2–29 % formulier-abandonment.
- Performance: reCAPTCHA voegt ~200 KB JavaScript toe.
- Door AI op te lossen: sinds 2023 kraken GPT-4-klasse modellen de meeste beeld-CAPTCHA's.
Welke privacyvriendelijke alternatieven zijn er?
- Honeypot-veld — verborgen input die alleen bots invullen.
- Tijdscheck — formulieren onder 2–3 seconden weigeren.
- Cloudflare Turnstile — geen labels, geen cookies.
- Friendly Captcha — proof-of-work, gehost in de EU.
- Rate limiting — IPs blokkeren na N pogingen per minuut.
Wat InspectWP controleert
InspectWP detecteert Google reCAPTCHA, hCaptcha en Cloudflare Turnstile via geladen scripts en rapporteert ze onder AVG (Google-scripts) en beveiliging. Ook ontbrekende brute-force-bescherming op wp-login.php wordt gemarkeerd.