reCAPTCHA는 중국에서 작동하나요? 도달 가능성, Google의 서버, 그리고 PIPL

중국 본토 대상에게, reCAPTCHA에 관한 첫 질문은 그 봇 점수가 얼마나 영리한지가 아니라 — 위젯이 애초에 도착하는지, 그리고 그것이 수집하는 데이터가 어디로 가는지입니다. reCAPTCHA는 Google 서비스입니다: 방문자의 브라우저는 어떤 검사가 실행되기 전에 Google 운영 도메인에서 작은 스크립트를 가져오는데, 본토 안에서는 바로 그 도메인이 불안정하게 동작합니다. 스크립트가 끝내 로드되지 않으면, 챌린지가 렌더링되지 않고 그것이 지키는 제출 버튼이 결코 활성화되지 않아, 다른 모든 곳에서 작동하는 폼이 귀사 중국 사용자에게는 조용히 실패합니다.

그리고 로드되는 경우에도, 그것은 각 방문자의 신호를 계속 해외의 Google 서버로 보냅니다 — 봇 검사를 국경 간 데이터 질문으로 바꿉니다. 도달 가능성은 먼저 알아차리는 증상입니다; 데이터 경로는 첫 번째 것을 우회한 뒤에도 남는 노출입니다.

한눈에 보는 중국에서의 reCAPTCHA

챌린지가 끝내 로드되지 않으면, 폼이 끝내 제출되지 않습니다

reCAPTCHA의 모든 종류 — v2, v3, Enterprise — 는 같은 식으로 시작합니다: 방문자의 브라우저는 어떤 검사가 실행되기 전에 Google 호스팅 작은 스크립트를 가져와야 합니다. 그 스크립트는 Google 운영 도메인에 살며, 본토 안에서는 그것들이 사슬에서 오작동하는 고리입니다. 중국 본토 안 탐침에서 직접 요청했을 때, reCAPTCHA의 엔드포인트는 저희 측정의 어느 시도에서도 응답하지 않았습니다(위 증거와 중국 도달 가능성 전체 데이터를 참조).

스크립트가 끝내 도착하지 않으면, 토큰이 결코 발급되지 않습니다 — 그래서 클라이언트 측 검증이 제출 버튼을 비활성 상태로 유지하거나, 귀사 서버가 빈 토큰을 거부합니다. 폼은 완벽히 정상으로 보이지만 그저 통과되지 않습니다. 이것이 먼저 알아차리는 실패인데, 귀사 중국 사용자가 즉시 느끼기 때문이며, 순전히 접근에 관한 절반입니다: 다른 무엇이 중요하기 전에 서비스가 도달 가능해야 합니다.

로드되더라도, 신호는 나라를 떠납니다

도달 가능성은 볼 수 있는 절반일 뿐입니다. reCAPTCHA는 방문자를 관찰하여 봇 점수를 얻으며 — Google 자신의 약관은 기기·소프트웨어 데이터를 수집하고 분석을 위해 Google로 보내는 서비스를 서술합니다 — Google의 서버는 본토 밖에 있습니다. 중국 개인정보 보호법에 따라, 본토 방문자의 개인정보를 역외로 옮기는 것은 국경 간 이전이며, 의무는 취급자에게 떨어집니다: Google이 아니라 사이트 운영자인 귀하. 귀하는 고지해야 하고, 별도 동의를 받아야 하며, 이전 메커니즘 하나 — CAC 안전성 평가, CAC 표준계약, 또는 인증 — 를 통과해야 합니다.

그 무게는 귀하가 얼마나 많은 개인정보를 옮기는지와 귀하의 역할에 따라 커집니다. 더 가볍고, 더 적은 양의, 비민감 이전은 더 좁은 의무 집합 아래 있을 수 있는 반면, 핵심정보인프라 운영자나 대량 취급자는 역외 Google 서비스가 제공할 수 없는 국내 저장에 직면합니다. 로드 문제와 달리, 이것은 네트워크가 좋은 날에 사라지지 않습니다 — 그것은 어떤 도달 가능성 우회보다 오래 남는 노출입니다.

”그냥 recaptcha.net을 가리켜라”는 로드를 고치지, 컴플라이언스를 고치지 않습니다

Google 스스로가 도달 가능성 문제를 예상합니다. 그 reCAPTCHA FAQ는 개발자에게 “in circumstances when www.google.com is not accessible” recaptcha.net을 쓰라고 말합니다 — Google 자신의 도메인이 사이트 사용자에게 도달 불가능할 수 있다는 유용한 인정이며, 그 대체 도메인은 기본 도메인이 렌더링하지 못하는 곳에서 실제로 위젯을 렌더링하게 할 수 있습니다.

그러나 recaptcha.net은 여전히 Google의 서비스입니다. 방문자의 신호는 여전히 해외의 Google 서버로 이동하므로, 위 섹션의 모든 것이 변하지 않습니다. 도메인을 교체하는 것은 “로드되는가?”에 답하고 “데이터는 어디로 가는가?”를 있던 그대로 남깁니다. “이제 로드된다”를 “이제 규정에 맞다”로 읽는 것이 이 페이지가 짚으려 존재하는 함정입니다: 전송 우회와 컴플라이언스 노출은 서로 다른 두 문제이며, 하나를 고치는 것은 다른 하나에 아무것도 하지 않습니다.

이것은 판결이 아니라 리스크 지도입니다. 귀하가 국경 간 이전 의무, 국내 저장, 또는 둘 다에 직면하는지는 무엇을 수집하는지, 얼마나 많이, 그리고 이용자가 누구인지에 달려 있습니다 — 구축하기 전에 법률 자문과 함께 매듭지을 가치가 있습니다.

21YunBox가 들어맞는 자리 — 도달 가능하고 비안된 검증 경로

귀하는 reCAPTCHA를 뜯어낼 필요가 없고, 폼을 다시 만들 필요도 없습니다. 클라이언트 측 Google 스크립트가 중국 대상 사이트에 줄 수 없는 것을, 저희는 그 주위에 더합니다: 본토 방문자에게 실제로 로드되는 봇 검증 단계를, 본토 안에서 서비스 — 그리고 그것을 국내에서 서비스하는 것이 ICP 비안을 범위로 가져오는 같은 행위입니다. 병행하여, 저희 중국 컴플라이언스 팀은 귀하가 계속 수집하는 신호가 무엇이든 그 국경 간 데이터 노출을, 귀사 법인·역할·데이터 양에 대해 지도화하여, 귀하가 운영하는 검증이 검증되지 않은 근거가 아니라 적법한 근거에 놓이게 합니다. 귀사 애플리케이션은 있는 그 자리에 머뭅니다; 중국 대상 격차는 마이그레이션이 아니라 그 앞의 규정에 맞는 계층으로 닫힙니다.

컴플라이언스 진단 받기 →

---

함께 읽기:

• PIPL상의 국경 간 데이터 이전
• 중국 ICP 비안을 받는 방법
• 중국에서 로드되지 않는 웹사이트