Kenapa Website-mu Butuh reCAPTCHA Sekarang Juga?
Kalau kamu bangun form kontak, login, atau kolom komentar tanpa tameng, jangan heran kalau inbox tiba-tiba penuh iklan obat magic atau link judi. Itah kerja bot. Google reCAPTCHA gratis, canggih, dan butuh waktu 15 menit dipasang. Di bawah ini gua kasih step-by-step versi programmer biar kamu nggak sekadar “tahu” tapi langsung praktek.
Apa Sih reCAPTCHA itu (Tanpa Basa-Basi)?
reCAPTCHA adalah layanan Google yang membedakan manusia dan bot lewat interaksi halus: gerakan mouse, cookie, IP, hingga skor perilaku. Beda dengan CAPTCHA lama yang suruh ketik angka nyeleweng, reCAPTCHA v2 cukup centang “Saya bukan robot”, sementara v3 malah nggak pakai centang—cuma ngasih skor 0–1. Semakin mendekati 0, semakin mencurigakan.
Perbedaan v2 vs v3 (Pilih yang Mana?)
v2 interaktif: kotak centang atau gambar zebra cross. Cocok kalau audiensmu umum dan butuh hambatan jelas. v3 silent: ideal di dashboard admin atau e-commerce karena tidak mengganggu user flow. Kamu bisa blokir otomatis lewat skor < 0.5 atau arahkan ke v2 sebagai tes lanjutan.
Cara Kerja 1-2-3
1. Browser kirim token ke Google. 2. Google evaluasi perilaku + cookie + fingerprint. 3. Google kembalikan JSON: {“success”:true,”score”:0.9}. Server-mu yang putuskan lanjutkan atau tolak. Tanpa validasi server, token hanya kertas kosong.
Siap-Siap: Dapatkan Site Key & Secret Key
1. Buka Google reCAPTCHA Console.
2. Label: bebas, mis. “Contact Form SitusJualan”.
3. Pilih tipe: v2 > “I’m not a robot” atau v3.
4. Domain: isi tanpa protokol, contoh: tokohape.com (boleh multi domain).
5. Submit. Copy Site Key (public) & Secret Key (private). Simpan di .env, jangan hard-code di repo.
Install Manual di HTML + PHP (Nggak Pakai CMS)
- Tambahkan JS di
<head>:<script src="https://www.google.com/recaptcha/api.js" async defer></script> - Sisipkan widget di dalam tag
<form>:<div class="g-recaptcha" data-sitekey="YOUR_SITE_KEY"></div> - Validasi server-side (contoh PHP):
$response = $_POST['g-recaptcha-response'];
$verify = file_get_contents("https://www.google.com/recaptcha/api/siteverify?secret=YOUR_SECRET_KEY&response={$response}");
$captcha = json_decode($verify);
if(!$captcha->success){die('Bot detected');} - Untuk v3, ganti div widget dengan:
<input type="hidden" id="g-token" name="g-token">
<script>
grecaptcha.ready(function(){
grecaptcha.execute('YOUR_SITE_KEY',{action:'submit'}).then(function(token){
document.getElementById('g-token').value=token;
});
});/script> lalu cek skor di back-end seperti di atas.
Install di WordPress Pakai Plugin (2 Menitan)
- Aktifkan. Masuk menu plugin → integrasi reCAPTCHA.
- Tempel Site Key & Secret Key. Simpan.
- Tambahkan shortcode
[recaptcha]sebelum tombol submit. Selesai.
Tips: plugin Elementor Pro punya widget reCAPTCHA built-in; cukup masukkan kunci di Elementor → Settings → Integrations.
Troubleshoot Cepat (Error & Solusi)
- ERROR: missing-input-secret → Secret Key salah ketik atau belum diset.
- Timeout → token cuma 2 menit hidupnya; pastikan submit via AJAX langsung atau refresh token otomatis.
- Score v3 selalu 0.1 → cek domain; localhost harus ditambahkan di list Google.
Best Practice agar User Nggak Tersinggung
- Jangan pasang di setiap klik; cukup di endpoint kritis: login, register, komentar, lupa password.
- Gunakan v3 + fallback v2 supaya user dengan skor rendah masih punya jalan keluar.
- Simpan log (timestamp, IP, skor) buat analisis; kadang IP kantor bersama terkena skor jelek.
Kesimpulan
Google reCAPTCHA gratis, powerful, dan wajib hukumnya kalau kamu nggak mau form website dijadikan sarang spam. Pilih v2 kalau ingin jelas dan mudah dipahami user, pilih v3 kalau ingin seamless. Langkah inti: daftar kunci → pasang JS → validasi server. Praktek manual butuh 15 menit; pakai plugin WordPress cuma 2 menit. Setelah jalan, monitor skor & log, lalu sesuaikan ambang batas. Sekarang coba sendiri—spam bakal turun drastis dalam semalam. Happy coding!
FAQ
Ya, Google reCAPTCHA Classic (v2 & v3) gratis tanpa batas request untuk umum.
Boleh, tapi tambahkan localhost atau 127.0.0.1 di kolom domain agar key aktif.
Token dari browser bisa dipalsukan; hanya Google yang bisa memastikan sah/tidak via server-side.
Tidak, v3 bekerja tanpa interaksi user sehingga tidak menambah bounce rate.