Web認証ページに reCAPTCHA
認証ページに reCAPTCHA v2(チェックボックス式)が表示されます。チェックを入れてから「認証する」を押すと、認証が完了します。
環境変数を設定したときだけ有効になります。未設定のときは、これまでと同じ動作です。
Web認証にreCAPTCHAを追加
Web認証のページに、Googleの reCAPTCHA(「私はロボットではありません」)を追加しました。ボットによる自動認証を防げます。チェックが終わるまで「認証する」ボタンはグレーで押せないので、何をすればいいかも分かりやすくなっています。
新機能
チェックが終わるまで、ボタンがグレー
チェックを入れる前の「認証する」ボタンはグレーで、押せません。ボタンの下には案内文も出ます。チェックが完了すると青くなり、押せるようになります。チェックの期限が切れたときは、再びグレーに戻ります。
サーバー側での検証
ボタンの見た目とは別に、BOTのサーバーがGoogleの検証サーバーでチェックの結果を確認します。ほかのサイトで取られたトークンは使えません。
Googleの検証サーバーに接続できないときは、認証を通さず、少し待ってからやり直すよう案内します。
状態の表示
/verify の状態表示と起動ログに、reCAPTCHAが有効か無効かを表示します。
変更
チェック忘れは、同じリンクでやり直せる
チェックを入れ忘れたり、チェックの期限が切れたりしたときは、エラーを表示して同じ認証ページに戻ります。認証リンクを発行し直す必要はありません。
ただし、5回失敗するとそのリンクは使えなくなります。その場合は、Discordの認証パネルのボタンを押し直してください。
認証リンクの使い切りを、二重送信にも対応
認証リンクは1回限りです。ボタンを素早く2回押しても、認証処理が2回通らないようにしました。
認証ページとプライバシーポリシーの記載
reCAPTCHAが有効なとき、認証ページに Google のプライバシーポリシーと利用規約へのリンクを表示します。
プライバシーポリシーには、新しく次の2つの項目を追加しました。「Web認証とIPアドレスの取扱い」(接続元IPの用途と、IPのハッシュ値の保存・削除)と、「Google reCAPTCHA について」(Googleへ送られる情報と、Botが保存しないもの)です。
環境変数
| 名前 | 内容 |
|---|---|
RECAPTCHA_SITE_KEY | reCAPTCHA の「サイトキー」。認証ページに表示するために使います。 |
RECAPTCHA_SECRET_KEY | reCAPTCHA の「シークレットキー」。BOTがチェックの結果を確認するために使います。人に見せないでください。 |
サーバー管理者への注意
- reCAPTCHAが働くのは、認証方式が「Web認証」のときだけです。ボタン・計算・画像の認証方式には影響しません。
- 設定は、このBOTを使うすべてのサーバーで共通です。環境変数を設定すると、Web認証を使うどのサーバーでも reCAPTCHA が表示されます。
- 設定したあとは、BOTを再起動してください。認証リンクはボタンを押した時点で作られるので、すでに出ているリンクを開いても、再起動後の新しい認証ページが表示されます。
自分でbotをホスティングする人向け
- キーは、reCAPTCHAの管理画面で作ります。reCAPTCHA の管理画面で「reCAPTCHA v2 → 「私はロボットではありません」チェックボックス」を選び、ドメインに
WEB_URLのドメインを登録してください。 - IPアドレス直指定の
WEB_URLでは使えません。reCAPTCHAには、ドメインの登録が必要です。http://203.0.113.5:8080のようなURLの場合は、ドメインを用意してください。 - BOTのサーバーから Google へ、HTTPSで接続できる必要があります。外へのアクセスを制限している環境では、
www.google.comへの接続を許可してください。 - systemd で動かしている場合は、
EnvironmentFile=で.envを読み込むのが簡単です。設定が反映されたかは、起動ログの「Web認証のreCAPTCHA」の行で確認できます。