1С-Битрикс — самая распространённая CMS в российском e-commerce, и вопрос «какую капчу поставить на Битрикс» всплывает каждый раз, когда форму сайта начинают спамить боты. Путь к решению неочевиден: в ядре есть штатная картинка-капча, на маркетплейсе — плагины под Yandex и Google, а ещё есть ручной способ — подключить любой внешний сервис без плагина. Разбираем все три пути по шагам и показываем, как подключить СВАЙПЕР на Битрикс без платного плагина.
Введение
Сайт на Битрикс выглядит для бота как любой другой сайт: публичная форма заявки, регистрация, вход в личный кабинет, комментарий. Спам-скрипты не читают CMS — они находят форму через HTML и отправляют её пакетом. Поэтому «капча для Битрикс» — это та же задача, что и «капча для любого сайта», плюс специфика интеграции: шаблоны, компоненты форм, обработка на PHP и кэш.
У владельца сайта на Битрикс обычно три варианта:
- Включить штатную капчу Битрикс — бесплатно, но это картинка со словом, которую боты обходят годами.
- Поставить плагин с маркетплейса — Yandex SmartCaptcha (бесплатный), Google reCAPTCHA, hCaptcha или комбо-плагины (BXmaker и аналоги, от 4 990 ₽).
- Подключить внешний сервис руками — одна строка скрипта и серверная проверка на PHP. Работает с любым сервисом, в том числе с СВАЙПЕР, без плагина.
Разберём каждый путь честно: что даёт, что стоит, где подвох — и покажем третий способ на живом примере.
Путь 1. Штатная капча Битрикс
В ядре 1С-Битрикс есть встроенная CAPTCHA: компонент формы умеет показывать картинку со словом, которое пользователь должен ввести. Это старейший вид защиты — и он давно устарел:
- Картинку читают нейросети. OCR-модели распознают такие капчи с высокой точностью — это не «боты ломают капчу», а «капча не противостоит современному боту».
- Нет поведенческого сигнала. Ввод текста с картинки не различает человека и скрипт с OCR — оба вводят слово.
- Плохая конверсия. Картинки со сломанным шрифтом, «переверните и введите» — пользователи ошибаются и раздражаются, особенно на мобильных.
Штатная капча имеет смысл только как временная мера на неделю-другую или для форм, где трафик минимальный и боты не заинтересованы. Для продающего сайта с рекламным трафиком это не защита, а видимость защиты. Сравнение механик капчи по устойчивости к ботам — в статье слайдер против чекбокса.
Путь 2. Плагины с маркетплейса Битрикс
На маркетплейсе Битрикс собрано несколько captcha-плагинов. Основные варианты:
| Плагин | Цена | Что даёт | Подвох |
|---|---|---|---|
| Yandex SmartCaptcha (официальный) | Бесплатно | Чекбокс SmartCaptcha, серверная проверка из коробки | Привязка к Yandex Cloud; платно после 10 000 проверок (от 109,8 ₽/1000) |
| Google reCAPTCHA | Бесплатно | Чекбокс / v3-скор | Зависимость от доступности Google в РФ; оплата Enterprise — в USD |
| BXmaker «Капча» (комбо) | от 4 990 ₽ | Несколько сервисов (Yandex, Google, hCaptcha, MTCaptcha и др.), переключение | Одна подписка за право выбора; сами сервисы тарифицируются отдельно |
| hCaptcha | Бесплатно | Виджет hCaptcha | Данные за границей; free tier с оговорками |
Плюс плагинов — «всё уже подключено»: ставите из маркетплейса, вставляете ключи, форма работает. Минусы — два. Первый: вы привязаны к конкретным сервисам, которые поддерживает автор плагина, и к его темпу обновлений. Второй: комбо-плагины за 4 990 ₽ — это «право выбирать», а не защита сама по себе: за проверки вы всё равно платите выбранным сервисам. И третий, про который молчат: если завтра вам понадобится сервис, которого нет в списке плагина (например, слайдер с поведенческим анализом) — вы снова будете выбирать между «ждём версию плагина» и «делаем руками».
Путь 3. Внешний сервис руками: СВАЙПЕР на Битрикс
Третий путь — самый свободный: любой captcha-сервис подключается к Битрикс без плагина, потому что архитектура всегда одна: скрипт виджета + серверная проверка токена. Показываем на СВАЙПЕР.
Шаг 1. Ключ
Зарегистрируйтесь в кабинете СВАЙПЕР и получите site-key. Первые 5 000 проверок в месяц — бесплатно, карта не нужна.
Шаг 2. Скрипт в шаблоне
В файл подвала активного шаблона сайта (обычно /templates/ваш_шаблон/footer.php или в «Дополнительные скрипты» параметров сайта) добавьте перед закрывающим тегом:
<script src="https://verifsite.ru/widget.js"
data-site-key="ВАШ_SITE_KEY"
data-mode="hard"></script>Параметр data-mode выбирает режим: hard — слайдер показывается на каждой отправке (максимальная защита, рекомендуется для форм под напором ботов), soft — показывается по риску, «чистые» пользователи проходят незаметно. Для Битрикс-сайтов с личным кабинетом и корзиной обычно начинают с hard на формах заявки и регистрации, и переходят на soft, когда спам уходит.
Важно для Битрикс: если на странице кэш — убедитесь, что скрипт виджета не «закэширован» в состоянии без site-key (проверяйте на чистом кэше), и что скрипт грузится на всех страницах с формой.
Шаг 3. Форма: сигнал прохождения
СВАЙПЕР рендерит слайдер рядом с формой и сообщает о прохождении человеком через событие. Подпишитесь на него в JS формы:
document.addEventListener('slider-captcha:passed', function(e) {
// e.detail содержит токен проверки
window.__swyperToken = e.detail.token;
document.getElementById('form-submit').disabled = false;
});Логика простая: кнопка отправки заблокирована, пока пользователь не прошёл слайдер. Если не закончил за 45 секунд — проверка считается несостоявшейся, слайдер сбрасывается. Для форм, собранных на компоненте Битрикс, это добавление в шаблон компонента или в общий JS сайта — без переписывания ядра.
Шаг 4. Серверная проверка на PHP
В обработчике формы (ваш PHP-хэндлер, куда форма отправляет POST) проверяйте токен серверным запросом:
$ch = curl_init('https://verifsite.ru/api/v1/introspect');
curl_setopt_array($ch, [
CURLOPT_POST => true,
CURLOPT_POSTFIELDS => json_encode(['token' => $token]),
CURLOPT_HTTPHEADER => ['Content-Type: application/json'],
CURLOPT_RETURNTRANSFER => true,
CURLOPT_TIMEOUT => 10,
]);
$response = json_decode(curl_exec($ch), true);
// принимать заявку только при положительном вердиктеВнимание: серверная проверка обязательна. Токен в JS — это «подпись клиента», а вердикт «человек» бэкенд должен получить от сервиса, а не доверять фронтенду. Именно поэтому защита без server-side check — декорация, а не защита.
Шаг 5. Проверка и аналитика
Прогоните сценарий: живой пользователь проходит слайдер за 1–2 секунды и форма отправляется; отправка формы «с чистой» JS-переменной токена без реального свайпа — не принимается. Дальше — аналитика: в кабинете СВАЙПЕР видны показы, прохождения, отказы и таймауты по дням — через неделю вы будете видеть, ушёл ли спам, и в каком режиме (hard/soft) форма работает лучше для вашей конверсии. Влияние капчи на конверсию форм — отдельная тема, разобранная в статье капча и конверсия формы.
Типичные ошибки при подключении капчи на Битрикс
По опыту подключений на CMS с шаблонами и кэшем, почти все «капча не работает» на Битрикс — это не проблема сервиса, а один из шести подвохов интеграции:
- Проверка токена только на фронтенде. Самый частый и самый опасный: токен лежит в JS, и «проверка» — это просто presence-проверка переменной. Боту достаточно подставить любую строку. Вердикт «человек» должен приходить серверному коду от сервиса (в СВАЙПЕР — запрос
/api/v1/introspect), а не из переменной формы. - Скрипт виджета не грузится на мобильном шаблоне. Битрикс часто держит отдельные шаблоны для десктопа и мобильного (или адаптив через компоненты). Если скрипт добавлен только в
footer.phpосновного шаблона — на мобильном слайдера просто нет, и боты идут через мобильные формы. Проверьте вывод на всех шаблонах. - Кэш отдаёт страницу без инициализации. Кэш Битрикс кеширует HTML целиком; если скрипт виджета подставляется динамически и «пропадает» в закэшированной копии — форма без капчи. Сравните HTML с включённым и выключенным кэшем.
- Разные site-key на разных доменах. Сеть сайтов на Битрикс (магазин, блог, портал) — это разные домены. Убедитесь, что каждый домен привязан к аккаунту и в скрипте лежит правильный ключ, а не ключ «соседнего» сайта из копипаста.
- Капча включена не на всех формах. Классика: защита на форме заявки, но открыты регистрация, комментарий, вход в личный кабинет и «заказать звонок». Боты идут через самую открытую дверь. Перечислите все публичные формы и закройте каждую.
- Не протестирована отправка «с бота». После подключения обязательно проверьте: POST на форму без прохождения слайдера (curl, Postman) — должен получиться отказ. Если сервер принимает заявку без валидного токена, защита не работает, каким бы красивым ни был слайдер.
Все шесть подвохов лечатся за один вечер, и все шесть — причина, по которой «капча стоит, а боты проходят». Если после проверки по списку форма всё ещё принимает мусор — смотрите логи серверной проверки и аналитику сервиса: в кабинете СВАЙПЕР видно, были ли вообще показы и прохождения по вашему site-key.
Какой путь выбрать
| Сценарий | Путь | Почему |
|---|---|---|
| Временная мера, трафик минимальный | Штатная капча Битрикс | Бесплатно и на 5 минут; но не держит современных ботов |
| Уже в экосистеме Yandex Cloud, трафик < 10 000 | Плагин Yandex SmartCaptcha | Бесплатный плагин, большой free tier, всё в одном контуре |
| Нужен выбор из нескольких сервисов «из коробки» | Комбо-плагин (BXmaker и др.) | Гибкость без ручной интеграции; цена 4 990 ₽ + тарифы сервисов |
| Слайдер с поведенческим анализом, данные в РФ | СВАЙПЕР руками | Одна строка скрипта + server-side check; 5 000 проверок бесплатно; от 2 490 ₽/200K |
| Несколько сайтов на Битрикс (сеть) | СВАЙПЕР руками, единый аккаунт | Один аккаунт, аналитика по всем сайтам, предсказуемый тариф |
Ключевой аргумент за третий путь: вы не покупаете «капчу Битрикс», вы покупаете защиту для сайта, а Битрикс — просто среда, в которую она ставится одной строкой скрипта. То же подключение работает и на WordPress (разобрано в статье капча на WordPress за 5 минут), и на любом другом сайте — знания переносятся.
Частые вопросы
Есть ли капча в Битрикс из коробки?
Да, штатная CAPTCHA в виде картинки со словом. Она бесплатна и включается в настройках формы, но в 2026 году не защищает от современных ботов: нейросети читают такие картинки, а поведенческого сигнала у ввода текста нет. Для продающего сайта — временная мера, не решение.
Сколько стоит капча для Битрикс?
Штатная — 0 ₽ (и не работает против ботов). Плагин Yandex SmartCaptcha — 0 ₽ + тарифы сервиса после 10 000 проверок (от 109,8 ₽/1000). Комбо-плагин BXmaker — от 4 990 ₽ за право выбора сервисов + тарифы самих сервисов. СВАЙПЕР — 5 000 проверок в месяц бесплатно, дальше от 2 490 ₽ в месяц за 200 000 проверок, оплата российскими картами через YooKassa.
Нужен ли плагин, чтобы поставить СВАЙПЕР на Битрикс?
Нет. Архитектура подключения универсальная: скрипт виджета в шаблоне + серверная проверка токена на PHP. Это 15–30 минут работы разработчика, без маркетплейса и без подписки на плагин.
Что делать, если на сайте кэш Битрикс?
Проверьте, что скрипт виджета присутствует в выводе на чистом кэше (отключите кэш в панели и сравните HTML). Если кэш отдаёт страницу «до» инициализации виджета — перенесите скрипт в точку, которая не кешируется, или добавьте его через «Дополнительные скрипты» параметров сайта.
Hard или soft: какой режим выбрать на Битрикс?
Начните с hard на самых спамящих формах (заявка, регистрация, вход) — он гарантированно отсекает ботов. Через 1–2 недели посмотрите аналитику: если спам ушёл, а конверсия страдает, переходите на soft — «чистые» пользователи будут проходить незаметно, а защита сработает для подозрительных. Разница механик — в статье слайдер против чекбокса.
Итоги
«Капча для Битрикс» — это три пути: штатная картинка (бесплатно, но не держит ботов), плагины маркетплейса (удобно, но привязка к сервисам и темпу автора) и ручной подключение внешнего сервиса (свобода выбора и предсказуемая цена). Для продающего сайта на Битрикс с рекламным трафиком рабочий вариант — слайдер с поведенческим анализом, подключённый одной строкой скрипта и проверкой на PHP: без плагина, без экосистемы облака, с данными в России и оплатой в рублях.
СВАЙПЕР — российская слайдер-капча: 5 000 бесплатных проверок в месяц, тарифы от 2 490 ₽ за 200 000 проверок, подключение к Битрикс за 15–30 минут. Зарегистрируйтесь и заберите site-key — форма перестанет принимать ботов уже сегодня.