Protezione reCAPTCHA & hCaptcha: configurazione e aiuto

Il modulo può visualizzare widget Google reCAPTCHA v2, reCAPTCHA v3 o hCaptcha. Prova ogni form selezionato con un token valido, mancante e non valido: un widget visibile da solo non significa che il gestore del form rifiuti gli invii senza un token valido.

Nei form nativi selezionati di accesso, registrazione e newsletter, una risposta CAPTCHA mancante o non valida impedisce l’invio. Disattivare la protezione CAPTCHA lascia disponibile la registrazione nativa.

1. Carica e installa lo ZIP mprrecaptcha tramite Moduli > "Module Manager".
2. Fai clic su "Configure" per aprire Impostazioni CAPTCHA.
3. Seleziona "CAPTCHA Provider".
4. Ottieni le chiavi corrispondenti del provider per il dominio del negozio. Incolla Chiave del sito e Chiave segreta.
5. Seleziona i form in "Protect Forms".
6. Attiva "Enable CAPTCHA Protection" e fai clic su Salva.
7. Prova token validi, mancanti e non validi su ogni form selezionato. Verifica che i controlli falliti impediscano l’operazione sottostante.

L’interruttore CAPTCHA è inizialmente disattivato. Rendering e verifica restano inattivi finché non sono presenti entrambe le chiavi principali. I campi segreti sono mascherati nel form delle impostazioni. Ti servono PHP cURL e una connessione HTTPS dal server all’endpoint di verifica del provider.

Per esempio, scegli v3, seleziona "Contact form", "Customer registration" e "Newsletter subscription", e imposta la soglia a 0.6. Queste impostazioni applicano la protezione v3 ai form selezionati.

Per una prova del fallback v3, seleziona v3, usa una soglia più severa come 0.7, compila entrambe le chiavi v2 di fallback e attiva il relativo interruttore. Dopo un punteggio basso il modulo registra una verifica in sospeso per quel form. Il tentativo successivo usa la casella v2. Un fallback riuscito cancella questo stato in sospeso.

Il modulo visualizza i widget tramite questi hook dei form dove il tema li chiama:

{hook h='displayContactContent'}
{hook h='displayCustomerLoginFormAfter'}
{hook h='displayCustomerAccountForm'}
{hook h='displayNewsletterRegistration'}

Usa anche displayGDPRConsent per il posizionamento di contatto pertinente e un iniettore nel piè di pagina per i form standard riconoscibili. Gli esempi includono #login-form, #customer-form, .block_newsletter form e controlli chiamati submitMessage, submitLogin o submitAccount.

Mantieni il widget all’interno del form. Aggiungere un hook di visualizzazione aggiunge solo un widget. Serve comunque un’integrazione funzionante della validazione lato server.

Puoi usare .mprrecaptcha-widget, .mprrecaptcha-contact, .mprrecaptcha-registration, .mprrecaptcha-newsletter e .mprrecaptcha-login come selettori nel CSS del tema.

Gli script dei provider usano:

https://www.google.com/recaptcha/api.js
https://www.google.com/recaptcha/api.js?render=YOUR_SITE_KEY
https://js.hcaptcha.com/1/api.js

Le risposte Google usano g-recaptcha-response. hCaptcha usa h-captcha-response. Il fallback v3 aggiunge mprcaptcha_v2_fallback=1.

Il form di contatto nativo viene controllato prima dell’invio. Una risposta CAPTCHA non valida impedisce l’invio del messaggio.

L’integrazione di contatto controlla anche submitMessage sul controller di contatto nativo durante actionFrontControllerSetMedia. Se la validazione fallisce, imposta il campo honeypot del contatto. Prova questo percorso con il modulo di contatto installato.

Per ogni form selezionato:

1. Invia dati validi con una verifica valida e conferma il successo.
2. Invia senza token e verifica che non vengano creati messaggi, accessi, account o iscrizioni.
3. Ripeti con un token non valido.
4. Prova il posizionamento su dispositivi mobili e desktop.
5. Se usi il fallback v3, prova il primo tentativo fallito e il nuovo tentativo riuscito con la casella.

Se gli invii non validi riescono, il gestore del form richiede un intervento di integrazione. Cambiare provider o aggiungere un widget non risolve il problema.

Non ci sono impostazioni pronte per checkout, reimpostazione della password, recensioni o form arbitrari di terze parti. Uno sviluppatore può usare renderForForm($formId) e verifyForForm($formId, $token, $ip) per un’integrazione personalizzata. Usa un ID del form stabile contenente solo lettere, cifre, trattini bassi o trattini. Il gestore deve rifiutare l’operazione quando la verifica restituisce false. La verifica restituisce true mentre la protezione del modulo è inattiva.

Se un widget manca, controlla chiavi, attivazione, form selezionati, hook di visualizzazione, selettori e richieste ai provider. Se utenti reali non superano v3, controlla soglia e risposta del provider. Se la verifica fallisce per tutti, controlla dominio/tipo di chiave e accesso HTTPS/cURL del server. Usa la pagina "Integrity" del modulo per i controlli di installazione.

Disattiva "Enable CAPTCHA Protection" e salva per interrompere rendering e validazione CAPTCHA del modulo. Disinstalla tramite "Module Manager" per rimuovere il menu e le impostazioni salvate.

Richiede PrestaShop 1.6 o successivo e PHP 7.1 o successivo.