0.11.26 — widget antybotowy schodzi z oczu

Widget antybotowy przyjmuje motyw „auto” i to jest jego ustawienie domyślne. „Auto” brzmi jak „dopasuj się do strony”, a znaczy „dopasuj się do systemu gościa”. Czytelnik z telefonem w trybie ciemnym dostawał więc czarny prostokąt na tle, które w całym silniku ma kolor papieru — jedyny element strony, który nie wiedział, gdzie stoi.

Własnego koloru tła Turnstile nie przyjmuje: są trzy motywy i tyle. Wybór padł na jasny, bo silnik nie ma wersji ciemnej i nie zanosi się na nią. Tło jasnego wariantu to #fafafa, papier instancji prowadzącej ma (250, 250, 248) — różnica jednego stopnia na jednym kanale, niewidoczna. To ta sama sztuczka, co przy kartach z cytatem na płótnie do Instagrama.

Malowanie pudełka na właściwy kolor rozwiązuje jednak gorszy z dwóch problemów. Lepiej pudełka nie stawiać. Widget stoi teraz w trybie, w którym pokazuje się dopiero wtedy, gdy Cloudflare naprawdę chce od czytelnika kliknięcia; dla wszystkich pozostałych token powstaje w tle i przychodzi tym samym wywołaniem, co dotąd. Formularz konta ma pod polem adresu pustą przestrzeń zamiast obcego prostokąta z komunikatem o sukcesie, którego nikt nie prosił o wyświetlenie. Gdy widget już się pokaże, jest jasny i dostaje szerokość kolumny, a nie stałe trzysta pikseli sterczące na wąskim ekranie.

Ochrona nie osłabła ani o krok, bo widoczność widgetu nigdy nie była ochroną. Sekret siedzi po stronie serwera, token nadal jest sprawdzany przed każdą czynnością chronioną, a instancja bez klucza witryny nadal nie renderuje niczego i mimo to nie wpuszcza komentarza. Zmieniło się to, co widzi czytelnik, który botem nie jest — czyli, statystycznie, każdy, komu ta strona jest do czegokolwiek potrzebna.