Captcha Nedir? WordPress Captcha Eklentileri

Captcha, internet ortamında bir işlem yapmak isteyen ziyaretçinin gerçek bir kullanıcı mı yoksa otomatik bir yazılım (bot) mu olduğunu tespit etmeye yarayan bir doğrulama testidir. İlk olarak 2000 yılında Carnegie Mellon Üniversitesi’nde bilgisayar bilimcileri tarafından geliştirilen bu yapı; spam yorumları, sahte hesap kayıtlarını, otomatik giriş denemelerini ve veri kazıma (scraping) saldırılarını engelleyerek hem web sitesini hem de kullanıcı bilgilerini korur. WordPress gibi açık kaynaklı ve çok yaygın sistemlerde captcha, en temel güvenlik katmanlarından biridir.

Captcha Nedir?

Türkçe açılımı “İnsan ve Bilgisayar Ayrımı Amaçlı Tam Otomatik Genel Turing Testi” (Completely Automated Public Turing test to tell Computers and Humans Apart) olan CAPTCHA, internet ortamında herhangi bir faaliyeti yapmak isteyen kullanıcının gerçek kişi mi yoksa bir spam robotu mu olduğunu tespit etmeye yarayan bir testtir. Captcha’larda yapılması istenen görevler, bilgisayarlar tarafından gerçekleştirilmesi zor olan ancak insanlar için nispeten daha kolay olan işlemlerdir.

Captcha kullanıcıya yorumlanması için basit ama sıra dışı bir bilgi sunar. Bir captcha işlemi; çarpık veya çakışan görüntülerde matematiksel ifadeler, semboller ve harfler içerebilir; ya da “aşağıdaki görsellerden trafik ışıklarını seçin” gibi görsel tanıma görevleri verebilir. Bu şekilde karmaşık halde sunulan bir ifadenin botlar tarafından tam olarak tespit edilmesi ve doğrulanması çok zordur.

Captcha’nın çalışma prensibi genel olarak insanların gerçek dünyaya dair sezgilerine ve görüntü yorumlama yeteneğine dayanır. İnsanlar kendilerine verilen karışık ama basit görevleri kolayca yerine getirebilir. Bot adı verilen ve internetten otomatik veri toplamaya yarayan yazılımların ise belirli kalıplar ve rastgele karakterlerden oluşan işlemleri doğru şekilde yapma ihtimali düşüktür.

Buna karşın, makine öğrenimini kullanan botlar da her geçen gün gelişir. Görüntü tanıma konusunda eğitilmiş algoritmalar, geleneksel captcha’ların pek çoğunu artık çözebildiği için sektör, kullanıcıya görsel bulmaca çözdürmek yerine arka planda davranış analizi yapan “görünmez” yöntemlere kaymıştır. Yani modern captcha, çoğu zaman kullanıcıya hiçbir şey sormaz; fare hareketleri, tıklama zamanlaması ve oturum sinyalleri üzerinden bir güven puanı hesaplar.

Captcha Nasıl Çalışır? Turing Testinden Davranış Analizine

Captcha’nın temelinde “Turing testi” fikri yatar: Bir makinenin, karşısındaki tarafın insan mı makine mi olduğunu ayırt etmesi. Yıllar içinde bu test üç kuşakta gelişti:

• Birinci kuşak (metin tabanlı): Çarpıtılmış harf ve rakamların okunup yeniden yazılması. Bugün OCR yazılımları bunları çoğunlukla çözebildiği için güvenliği zayıflamıştır.
• İkinci kuşak (görsel/davranışsal): “Ben robot değilim” onay kutusu ve “trafik ışıklarını seç” tarzı görsel bulmacalar. Kullanıcının sayfadaki davranışı şüphesizse genelde bulmaca bile gösterilmez.
• Üçüncü kuşak (puan/arka plan tabanlı): Kullanıcıya hiçbir şey sorulmaz. Sistem; oturum verileri, cihaz parmak izi ve hareket sinyallerini analiz ederek 0 ile 1 arasında bir risk puanı üretir. Düşük puan bot, yüksek puan insan demektir.

Sunucu tarafında doğrulama da önemlidir: Kullanıcı testi geçtiğinde captcha sağlayıcısı bir token üretir, web sitesi bu token’i kendi gizli anahtarıyla sağlayıcının sunucusunda doğrular. Bu sayede token taklit edilemez ve istek gerçekten geçerlidir.

Captcha Nerelerde Kullanılır?

Captcha; kullanıcının robot olmadığını doğrulamak ve otomatik kötüye kullanımı kısıtlamak isteyen herhangi bir web sitesi tarafından kullanılabilir. En sık karşılaşılan kullanım alanları şunlardır:

• Üyelik ve kayıt formları: Botların sahte hesap açmasını ve kayıt sistemlerine spam göndermesini engeller.
• Giriş (login) sayfaları: Şifre deneme/brute-force saldırılarını yavaşlatır. Özellikle WordPress yönetim panelinde kritiktir.
• Yorum bölümleri: Spam yorum ve bağlantı enjeksiyonunu önler.
• İletişim ve abonelik formları: Sahte gönderim ve istenmeyen e-posta toplamayı azaltır.
• Online anket ve oylamalar: Sonuçların botlarla manipüle edilmesini engeller.
• E-ticaret ve bilet satışı: Stok kapma (scalping) ve dolandırıcılığı sınırlar.

Captcha Çeşitleri ve Modern Alternatifleri

Captcha’lar web sitelerini ve kullanıcıları güvende tutmak için çeşitli biçimlerde sunulur. Günümüzde piyasaya hakim olan üç çözüm ve klasik biçimlerini şöyle sıralayabiliriz:

Google reCAPTCHA (v2 ve v3)

Google tarafından sunulan en yaygın captcha çözümüdür. Üç temel sürümü vardır:

• reCAPTCHA v2 – Onay kutusu: Klasik “Ben robot değilim” kutucuğu. Şüphe duyulan durumda görsel bulmaca da gösterir.
• reCAPTCHA v2 – Görünmez (Invisible): Kullanıcıya kutucuk göstermez; mevcut bir butona basıldığında devreye girer ve yalnızca en şüpheli trafiğe bulmaca çıkarır.
• reCAPTCHA v3: Hiçbir etkileşim istemez. Kullanıcıya 0,0 (büyük olasılıkla bot) ile 1,0 (büyük olasılıkla insan) arasında bir puan verir; siteyi kuran kişi formun gönderilmesi için gereken minimum puanı belirler. v2 ve v3 anahtarları birbirinden farklıdır; v3 için siteyi yeniden kaydetmek gerekir.

hCaptcha

reCAPTCHA’ya gizlilik odaklı bir alternatiftir. Kullanıcıları Google gibi izlemediği ve çerez tabanlı çapraz site takibi yapmadığı için KVKK/GDPR uyumu daha kolaydır. Görsel bulmaca veya görünmez modlarda çalışabilir.

Cloudflare Turnstile

Cloudflare’in ücretsiz ve sınırsız sunduğu modern bir captcha alternatifidir. Kullanıcıya can sıkıcı görsel bulmacalar göstermek yerine arka planda kontrol yapar; çoğu zaman ziyaretçi bir testten geçtiğinin farkına bile varmaz. Çerez kullanmaz, çapraz site takibi yapmaz ve WCAG 2.1 AA erişilebilirlik kriterlerini karşılamasıyla öne çıkar. Cloudflare CDN/DNS kullanmak zorunlu değildir.

Klasik biçimsel çeşitler

• Metin/kod captcha: Çarpıtılmış harf ve rakamların yeniden yazılması (örneğin “Captcha Code” eklentisi).
• Matematik captcha: Basit bir işlem (“3 + 4 = ?”) çözdürme. Erişilebilirliği yüksek, kullanıcı dostu bir yöntemdir.
• Görsel tabanlı (SQ-PIX, ESP-PIX): Birden fazla görsel arasından doğru olanı veya ortak özelliği seçme.

Captcha Çözümlerinin Karşılaştırması

Özellik	Google reCAPTCHA	hCaptcha	Cloudflare Turnstile
Maliyet	Ayda 10.000 doğrulamaya kadar ücretsiz; üstü ücretli	Temel kullanım ücretsiz	Standart planda ücretsiz ve sınırsız
Kullanıcı deneyimi	v3’te bulmacasız; v2’de bulmaca olabilir	Bulmaca veya görünmez mod	Genelde tamamen bulmacasız
Gizlilik / KVKK	Çerez ve çapraz site sinyali kullanır	Gizlilik odaklı, izleme yapmaz	Çerezsiz, oturuma özel sinyaller
Erişilebilirlik	Orta (ses alternatifi var)	İyi	WCAG 2.1 AA uyumlu
WordPress entegrasyonu	Çok geniş eklenti desteği	Yaygın	Resmi eklenti ve form desteği

WordPress Captcha Eklentileri

WordPress dünya genelinde en çok tercih edilen içerik yönetim sistemidir ve tam da bu yaygınlığı onu botların öncelikli hedefi yapar. Neyse ki WordPress tabanlı siteleri istenmeyen e-postalardan, spam yorumlardan, otomatik giriş denemelerinden ve botlardan koruyabilecek pek çok güvenilir captcha eklentisi vardır. Aşağıda 2025-2026 döneminde öne çıkan ve aktif kurulum sayısı yüksek eklentileri sıraladık.

Çok Sağlayıcılı (All-in-One) Eklentiler

Tek bir eklentiyle reCAPTCHA, hCaptcha ve Turnstile arasında geçiş yapmak isteyenler için All In One Captcha ve benzeri çözümler giriş, kayıt, şifre sıfırlama ve yorum formlarına captcha eklemenin en pratik yoludur. Hangi sağlayıcıyı seçeceğinize sonradan, kod değiştirmeden karar verebilirsiniz.

Advanced Google reCAPTCHA

reCAPTCHA odaklı eklentiler arasında toplam kurulum sayısı yüksek (yüz binlerce) olanlardandır. v2 onay kutusu, görünmez ve v3 puan tabanlı modları destekler; giriş, kayıt, yorum ve WooCommerce formlarına kolayca uygulanır.

hCaptcha for WordPress

Gizlilik önceliği olan siteler için en iyi seçeneklerden biridir. Kullanıcıyı Google gibi izlemeden bot koruması sağlar ve çoğu popüler form eklentisiyle uyumludur.

Cloudflare Turnstile (Resmi Eklenti)

Cloudflare’in resmi eklentisi 50.000’den fazla aktif kuruluma ulaşmıştır ve popüler form eklentileriyle sorunsuz çalışır. Bulmacasız, hızlı ve gizlilik dostu yapısıyla kullanıcı deneyimini en az zorlayan seçenektir.

WPForms / Fluent Forms gibi form eklentileri

Pek çok modern form eklentisi (WPForms, Fluent Forms, Formidable Forms) kendi ayarları içinde reCAPTCHA, hCaptcha ve Turnstile seçeneklerini hazır sunar. Ayrı bir captcha eklentisi kurmadan, doğrudan form ayarlarından etkinleştirebilirsiniz.

WPBruiser (No Captcha Anti-Spam)

Algoritma tabanlı, kullanıcıya hiçbir şey sormadan çalışan bir anti-spam eklentisidir. Spambot kayıtlarını ve spam yorumları engellerken kullanıcı deneyimini hiç bozmamasıyla öne çıkar.

WordPress’e Captcha Nasıl Eklenir? Adım Adım

Sağlayıcı hangisi olursa olsun temel kurulum mantığı aynıdır:

• 1. Anahtarları alın: Seçtiğiniz sağlayıcının (Google reCAPTCHA, hCaptcha veya Cloudflare Turnstile) yönetim panelinde sitenizi kaydedin. Size bir site anahtarı (site key) ve bir gizli anahtar (secret key) verilir.
• 2. Eklentiyi kurun: WordPress panelinde “Eklentiler > Yeni Ekle” yolundan tercih ettiğiniz captcha eklentisini kurup etkinleştirin.
• 3. Anahtarları girin: Eklenti ayarlarında site anahtarı ve gizli anahtarı ilgili alanlara yapıştırın. reCAPTCHA seçtiyseniz doğru sürümü (v2 mi v3 mü) belirtmeyi unutmayın; v2 ve v3 anahtarları uyumsuzdur.
• 4. Konum belirleyin: Captcha’yı hangi formlarda göstereceğini seçin: giriş, kayıt, şifre sıfırlama, yorum ve iletişim formları en kritik noktalardır.
• 5. Test edin: Gizli bir sekmede formları deneyin; captcha’nın göründüğünden ve geçerli gönderimlerin engellenmediğinden emin olun.

Sunucu tarafı notu: reCAPTCHA/hCaptcha doğrulaması, sitenizin sağlayıcının API’sine giden bir istek yapmasını gerektirir. Bu, hızlı ve güvenilir bir WordPress hosting altyapısında saniyenin altında tamamlanır; yavaş veya kararsız sunucularda ise doğrulama zaman zaman zaman aşımına uğrayarak gerçek kullanıcıları da mağdur edebilir. Bu yüzden captcha başarısını etkileyen gizli faktörlerden biri de barındırma kalitesidir.

Captcha’nın Dezavantajları ve Erişilebilirlik

Captcha kullanımının avantajları yanında gözardı edilmemesi gereken dezavantajları da vardır. Bunların başında kullanıcı deneyimi kaybı gelir: 2025’te yayınlanan form verileri, mobil kullanıcılara zorla reCAPTCHA v2 bulmacası gösterildiğinde gönderimlerin yaklaşık %4,7 düştüğünü ortaya koymuştur. Yani agresif bir captcha, botları engellerken gerçek müşterileri de kaybettirebilir.

İkinci ve daha kritik sorun erişilebilirliktir. Captcha, W3C tarafından on yılı aşkın süredir webin en sorunlu erişilebilirlik unsuru olarak işaretlenir. Görsel bulmacalar; göremeyen, az gören ve bilişsel güçlüğü olan kullanıcılar için aşılmaz engeller oluşturabilir. Ses (audio) alternatifleri ise arka plan gürültüsüyle çoğu zaman daha da zordur ve sağır-kör kullanıcılar her iki seçeneğe de erişemez. WCAG, captcha’yı metin dışı içerik (SC 1.1.1) kapsamında değerlendirir ve makine tarafından okunabilir hale getirmenin onu aynı anda saldırılara da açık hale getirdiği temel çelişkiye dikkat çeker.

Daha Az Sürtünmeli Alternatif: Honeypot

Pek çok uzman, düşük-orta hacimli sitelerde önce honeypot (bal kabı) yöntemini denemeyi önerir. Honeypot, forma insanların göremediği gizli bir alan ekler; gerçek kullanıcılar bu alanı boş bırakırken botlar onu doldurur ve gönderim reddedilir. Bu yöntemin avantajı sıfır kullanıcı sürtünmesi, tam erişilebilirlik ve KVKK riski taşımamasıdır. Spam yine de geliyorsa, honeypot’un üstüne basit bir matematik captcha eklemek çoğu site için yeterli, dengeli bir çözümdür. Yüksek hedefli ve çok trafikli sitelerde ise honeypot’u reCAPTCHA v3 veya Turnstile ile katmanlı olarak kullanmak en sağlam yaklaşımdır.

Captcha mı, Sunucu Güvenliği mi? Bütüncül Yaklaşım

Captcha, kötüye kullanımı form seviyesinde azaltan önemli bir katmandır; ancak tek başına yeterli değildir. Bir botnet sitenize saniyede yüzlerce istek gönderdiğinde, sorun captcha’dan önce ağ ve sunucu seviyesinde çözülmelidir. Bu yüzden sağlam bir WordPress güvenliği şu katmanların tümünü içermelidir:

• Ağ seviyesi: L3-L4 anti-DDoS koruma, kötü niyetli trafiği siteye ulaşmadan eler.
• Sunucu seviyesi: WAF (Web Application Firewall), kötü amaçlı kalıp ve enjeksiyon denemelerini bloklar.
• Uygulama seviyesi: Captcha, honeypot, güçlü parola ve iki adımlı doğrulama formları korur.

Alastyr’da barındırdığınız WordPress siteleri, sunucu tarafında Imunify360 ve CageFS izolasyonu, honeypot/tehdit istihbaratı besleyen çift WAF ve Voxility tabanlı 1 Tbps+ L3-L4 anti-DDoS korumasıyla bu katmanların önemli bir kısmını sizin yerinize devreye alır. Böylece captcha eklentiniz form spam’ini elerken, aşağı seviye saldırılar sunucuya hiç ulaşmadan engellenir. Performans tarafında LiteSpeed + LSCache ve PHP sürüm seçici, captcha doğrulama isteklerinin hızlı tamamlanmasını sağlar. Sitenizi taşımak isterseniz ücretsiz taşıma ve ücretsiz SSL standart olarak sunulur.

Sıkça Sorulan Sorular

Captcha ne demek?

Captcha, “İnsan ve Bilgisayar Ayrımı Amaçlı Tam Otomatik Genel Turing Testi” ifadesinin kısaltmasıdır. Bir web sitesinde işlem yapan tarafın gerçek bir insan mı yoksa otomatik bir bot mu olduğunu ayırt etmeye yarayan güvenlik testidir.

Captcha ne işe yarar?

Captcha; spam yorumları, sahte üyelik kayıtlarını, otomatik giriş (brute-force) denemelerini, sahte form gönderimlerini ve anket manipülasyonunu engeller. Böylece hem siteyi hem de kullanıcı verilerini korur.

reCAPTCHA, hCaptcha ve Cloudflare Turnstile arasındaki fark nedir?

reCAPTCHA, Google’in en yaygın çözümüdür ancak çerez/çapraz site sinyali kullanır. hCaptcha, gizlilik odaklıdır ve kullanıcıyı izlemez. Cloudflare Turnstile ise ücretsiz, çerezsiz ve genelde tamamen bulmacasızdır; WCAG 2.1 AA erişilebilirlik kriterlerini karşılar.

reCAPTCHA v2 ile v3 arasındaki fark nedir?

v2, “Ben robot değilim” onay kutusu veya görsel bulmaca gösterir. v3 ise kullanıcıya hiçbir şey sormaz; arka planda 0 ile 1 arasında bir güven puanı üretir ve formun gönderilmesi için gereken minimum puanı siz belirlersiniz. v2 ve v3 anahtarları birbirinden farklıdır.

WordPress’e captcha nasıl eklenir?

Önce sağlayıcının panelinden site anahtarı ve gizli anahtarı alın. Ardından bir captcha eklentisini kurup etkinleştirin, anahtarları ayarlara girin ve captcha’yı giriş, kayıt, yorum ve iletişim formlarında etkinleştirin. Son olarak gizli bir sekmede test edin.

Captcha kullanıcı deneyimini ve SEO’yu olumsuz etkiler mi?

Agresif görsel bulmacalar form gönderimlerini düşürebilir ve mobil kullanıcıları zorlayabilir; bu da dönüşümü etkiler. Bulmacasız çözümler (reCAPTCHA v3, Turnstile) veya honeypot bu etkiyi en aza indirir. Captcha betikleri sayfa hızını bir miktar etkileyebilir, bu yüzden gerektiği sayfalarda kullanılması önerilir.

Captcha görmeyen kullanıcılar için erişilebilir mi?

Klasik görsel captcha’lar ekran okuyucu kullanan ve az gören kişiler için ciddi engel oluşturabilir. Ses alternatifleri de çoğu zaman zordur. Bu yüzden WCAG 2.1 AA uyumlu çözümler (örn. Turnstile) veya tamamen erişilebilir honeypot ve basit matematik captcha tercih edilmelidir.

Honeypot, captcha’nın yerini tutar mı?

Düşük-orta hacimli spam alan siteler için honeypot tek başına yeterli olabilir; sıfır kullanıcı sürtünmesi ve tam erişilebilirlik sunar. Spam devam ederse honeypot’un üstüne basit captcha veya reCAPTCHA v3 eklemek dengeli bir çözümdür.

Captcha tek başına sitemi tüm saldırılardan korur mu?

Hayır. Captcha form seviyesinde kötüye kullanımı azaltır; ancak DDoS ve sunucu seviyesi saldırılar için ağ tabanlı anti-DDoS ve WAF koruması da gerekir. En sağlam yaklaşım, captcha’yı güvenli bir sunucu altyapısındaki WAF ve anti-DDoS katmanlarıyla birlikte kullanmaktır.