Blogs & News
Captcha-API: Ein richtiger reCAPTCHA v2 Ersatz für Metin2
Warum reCAPTCHA und hCaptcha für Metin2 nicht mehr funktionieren
Wenn dein Metin2-Server Google reCAPTCHA oder hCaptcha auf seiner Login-, Register- oder Vote-Reward-Seite ausführt, werden deine Spieler immer noch Brute-Force-Angriffen ausgesetzt. Kommerzielle Captcha-Solver-Services lösen diese Rätsel für Cent pro tausend: 5.000 Lösungen pro Stunde kosten ungefähr 15 Dollar pro Monat. Bot-Betreiber benötigen keine eigene KI - sie zahlen eine API eines Drittanbieters und speisen die Captchas ein.
Woher kommt das Volumen? Immer wenn ein Metin2-Pserver gehackt oder abgeschaltet wird, leckt seine Datenbank. Die meisten Metin2-Quellen hashen Passwörter sehr schwach, daher gehen Angreifer mit Hundertausenden funktionierender E-Mail-Passwort-Paare davon. Sie sprühen diese Anmeldedaten dann auf jeden anderen Metin2-Server durch Residential-Proxy-Pools mit bis zu 30 Versuchen pro Sekunde, wobei reCAPTCHA automatisch in der Schleife gelöst wird. Das Ergebnis: Kontoübernahmen, Itemdiebstahl, Yang-Diebstahl, RMT-Wiederverkauf, Rückbuchungsgebühren und verärgerte Spieler, die dir die Schuld geben.
Was Captcha-API anders macht
Captcha-API ist ein selbst gehostetes Captcha, das speziell für die Metin2-Community entwickelt wurde. Es ist zweckgebunden, um die handelsüblichen Solver-Services zu besiegen, die Google reCAPTCHA jeden Tag besiegen, und es erhält kontinuierliche Verbesserungen ohne Änderungen auf deiner Seite.
Die Benutzererfahrung ist identisch mit reCAPTCHA v2 - Spieler sehen das vertraute Kontrollkästchen „Ich bin kein Roboter" und bei Bedarf ein Folgepuzzle. Das ist alles, was der Spieler je sieht. Wie das System entscheidet, was angezeigt wird, und wie die Rätsel erstellt werden, wird absichtlich nicht beworben.
Das vertraute Kontrollkästchen
Das Folgepuzzle
Was du wirklich bekommst
Für Server-Administratoren
- Drop-in-Kompatibilität mit reCAPTCHA v2 - das Client-Widget verwendet das gleiche
g-recaptchadiv und das gleichedata-sitekeyAttribut - Identisches Verifizierungs-Payload zu
siteverify- dein bestehendessecretresponsePOST funktioniert weiterhin, einschließlich des optionalenremoteipFeldes - Gleiche JSON-Form zurück -
{ "success": true, "error_codes": [] }- keine Client- oder Server-Code-Änderungen über den Schlüsselaustausch hinaus - Multi-Domain-Schlüsselsätze - ein Site-Schlüssel kann an deine Hauptdomain plus jede Subdomain gebunden werden, die ein Formular ausführt (Login, Shop, Voting, Panel, etc.)
- Live-Verifizierungsstatistiken im Server-Panel
- Kostenlos für jeden Metin2-Server mit verifizierten Backlink zur Toplist - keine monatliche Gebühr, keine Rate-Begrenzung
- Im Kampf erprobt auf metin2pserver.net selbst - jede Abstimmung, jeder Login, jede Registrierung und jedes Passwort-Reset auf der Website verwendet dieses gleiche Captcha-API
Für deine Spieler
- Das gleiche Kontrollkästchen, das sie bereits von unzähligen anderen Websites kennen
- Keine Tracking-Pixel von Drittanbietern - wir speisen nicht Googles Anzeigengraph
- Schnellere Ladevorgänge als reCAPTCHA - kein mehrere-MB Google-Bundle
- Konten, die tatsächlich sicher bleiben
Wie echte reCAPTCHA-Migration aussieht
Wenn deine bestehende Login-Seite bereits reCAPTCHA v2 verwendet, ist der Austausch zwei Zeilen. Ersetze die Script-Quelle und die Verifizierungs-URL:
1. Client-seitig
- Ersetze
https://www.google.com/recaptcha/api.jsmithttps://captcha.metin2.zone/assets/captcha.js - Ersetze deinen reCAPTCHA
data-sitekeymit dem im Server-Panel generierten - Alles andere bleibt gleich: das Widget-div, das Formular-Submit, das versteckte
g-recaptcha-responseFeld
2. Server-seitig
- Ersetze
https://www.google.com/recaptcha/api/siteverifymithttps://captcha.metin2.zone/captcha/api/siteverify - POST die gleichen Felder, die du bereits an Google POSTst:
secret,response, optionalesremoteip - Lese
successauf der JSON-Antwort genau wie zuvor
Das ist alles. Welches Framework oder CMS du auch ausführst - WordPress, benutzerdefiniertes PHP, Node, Python, Lua-Nginx - wenn es bereits reCAPTCHA verifiziert, wird es Captcha-API ohne Logik-Änderungen verifizieren.
Worauf du achten solltest
Dinge, die du vermeiden solltest
- Bette das Script nicht mit einem Sitekey aus einer anderen Domain ein - die API lehnt Schlüssel außerhalb ihrer deklarierten Host-Liste ab
- Überspringe nicht den Server-seitigen
siteverifyAufruf - das Client-Widget allein beweist nichts - Protokolliere nicht den geheimen Schlüssel und gebe ihn nicht in Client-seitigem JavaScript preis - wenn er leckt, regeneriere ihn sofort
- Verkette nicht unseres mit reCAPTCHA auf dem gleichen Formular - wähle eines
Wie du anfängst
Das Captcha-API-Panel ist Teil des Admin-Bereichs jedes Metin2-Servers auf der Toplist. Drei Schritte:
Schnelle Implementierungsanleitung
- Füge deinen Metin2-Server zur Toplist hinzu (kostenlos, zwei Minuten)
- Verifiziere einen Backlink zu deiner Website, um das Captcha-System freizuschalten (und schnapp dir 100 kostenlose Abstimmungen pro Tag während du dort bist)
- Öffne Server-Panel → Captcha, liste die Domains auf, die du schützen möchtest, klicke auf Site- & Secret-Schlüssel generieren
- Füge das Script-Tag in deinen
<body>ein, lege dasg-recaptchadiv in jedes Formular, zeige deinen bestehenden siteverify-Aufruf auf unseren Endpoint - fertig
Probiere die Live-Demo oder fang gleich an. Beides ist kostenlos.
Live-Demo testen →Schütze deinen Metin2-Pserver mit einem Captcha, das für das Bedrohungsmodell entwickelt wurde, dem Metin2 2026 tatsächlich gegenübersteht, nicht das reCAPTCHA-Modell von 2014. Tritt der wachsenden Liste von Servern bei, die bereits umgestiegen sind - und lass die Credential-Stuffing-Botnets einen anderen Captcha-Provider für nichts bezahlen.