Caputchin
全部功能
配置

接好。调好。然后继续。

配置是地基。站点密钥把你的页面接到 Caputchin。仪表盘是人调校它的地方。站点控制项在坏请求还没碰到验证关卡之前就把它们拒之门外。

请求的闯关
所有方案

请求的闯关。

一个请求在抵达验证之前，得先过三道站点控制。每一道都以尽可能低的成本，拒掉一类不同的坏家伙。

  1. 入站

    人、机器人、脚本，全都打向你的站点密钥。

  2. Gate 1来源允许列表拒掉: 来自错误域名的调用者
  3. Gate 2必需的请求头拒掉: 不完整的信封
  4. Gate 3每秒速率限制拒掉: 请求洪流
  5. 幸存者抵达验证关卡
坏请求在尽可能便宜的那一步就死掉。验证只看见闯关后还活着的那些。
仪表盘
所有方案

从仪表盘里调它。

每一项站点控制都住在按站点的配置界面上。切换、拖动、输入、保存。同样的选项，也通过 API 提供给代码优先的搭建方式。

按站点配置面板的风格化预览。真实仪表盘以同样的形态处理同样的字段。

地基

每个账户在每个套餐都会用到的两样东西。把站点密钥接进你的页面，需要改什么的时候，就到仪表盘里走一遍。

所有方案

仪表盘

给团队里的人用的浏览器界面。无需写代码，就能把 Caputchin 所做的一切走一遍，包括站点密钥、令牌、账单、成员。它被设计成：一旦一切就绪，你在这里花的时间最少。

适用场景

第一天的搭建。第三十天的审计。第 365 天给新队友做入职。仪表盘是人去做那些本该由人来做的活儿的地方。

所有方案

站点密钥

每个站点一个站点密钥。每个都带着自己的配置：哪些域名能用它、它要求哪些请求头、速率限制上限是多少、用哪个验证面。密钥可以轮换，无需重新部署。

适用场景

子品牌、预发对生产、内部对面向客户的流程，各自拿到带自己配置的自己那把密钥。轮换是一键操作，不会让正在运行的集成掉线。

站点控制

按站点密钥设的旋钮，在坏请求碰到验证关卡之前就把它们拒掉。可从仪表盘调校，所有套餐都能用。在“验证”页面也有提及，因为它们守护的正是负责验证的那部分。

所有方案

每秒速率限制

每个站点密钥都有一个每秒请求上限，由你的套餐设定，并可在上限之下调校。持续的洪流会在 worker 处被掐断，根本到不了验证或你的后端。

适用场景

一个对准你验证端点的僵尸网络，无法靠灌满配额来淹没你的真实用户。上限会在 worker 处把它拦住。

所有方案

来源允许列表

列出获准调用每个站点密钥的域名。来自别处的一切，比如一把泄露的密钥被拿去用在你网站的钓鱼克隆上，都会在它做任何事之前被拒掉。

适用场景

万一某个站点密钥泄露了（提交进了公开仓库、从某个页面被爬走），允许列表会阻止任何人从另一个来源去用它。

所有方案

必需的请求头

配置一个请求必须携带哪些 HTTP 请求头。真实浏览器总会发送它们。廉价或老旧的脚本往往懒得把整套都伪造齐全。

适用场景

把那些只发半个请求信封就草草了事的低成本机器人，所制造的大半噪声都削掉。

常见问题

站点密钥、仪表盘，以及那些筛查请求的控制项。

什么是站点密钥？
把你的页面连到 Caputchin 的那份凭据。每一把都带着自己的配置：哪些域名可以用它、它要求哪些请求头、它的速率限制上限，以及它的验证面。
我能不停机轮换站点密钥吗？
能。轮换是一键操作，不会让正在运行的集成下线，而且密钥与你的账户是解耦的。
什么是站点控制项？
按密钥生效的检查，在验证还没运行之前就拒掉坏请求：来源允许列表、必需请求头，以及每秒速率限制。每一项都以尽可能低的代价挡住一类不同的坏角色。
站点密钥泄露了会怎样？
来源允许列表会拦住任何人从你没列入名单的域名使用它，所以一把从页面上扒下来、或被提交进公开仓库的密钥，没法在你站点的克隆版上被复用。
配置它一定要写代码吗？
不用。仪表盘用开关和滑块处理每一项站点控制。同样的选项也通过 API 提供，供代码优先的搭建使用。

铸一把站点密钥。拨好刻度。交付。

免费注册、创建你的第一把站点密钥、挑出贴合你网站的控制项。默认值很合理。

免费开始