Документация Stitex Captcha & Antifraud API

<form method="POST" action="/send">
  <input name="name">
  <!-- Контейнер капчи: id="stitex-captcha", класс .stitex-captcha или атрибут data-stitex-captcha -->
  <div class="stitex-captcha" data-sitekey="sc_YOUR_SITE_KEY" data-theme="light"></div>
  <button type="submit">Отправить</button>
</form>

<!-- Скрипт виджета — один на страницу (перед </body>) -->
<script src="https://pulse.stitex.com/captcha/stitex-captcha.js" async></script>

// Нарисовать виджет в своём контейнере (вернёт id виджета)
const id = StitexCaptcha.render(document.querySelector('#my-captcha'), {
  sitekey: 'sc_YOUR_SITE_KEY',
  theme: 'light',
  callback: function (token) { console.log('токен', token) },
  expiredCallback: function () { console.log('токен истёк') },
})

StitexCaptcha.getResponse(id)   // текущий токен ('' — ещё не готов); без id — последний виджет
StitexCaptcha.reset(id)         // сбросить и показать проверку заново
StitexCaptcha.execute(id)       // v3: получить ранний токен без привязки к форме (AJAX)
window.stitexCaptchaToken       // последний полученный токен

{
  "success": true,
  "domain": "example.com",
  "timestamp": "2026-03-30T12:00:00Z",
  "antifraud": {
    "score": 12,
    "isBot": false,
    "recommendation": "allow"
  }
}

{
  "success": false,
  "error": "Token expired or invalid"
}

# Получить challenge
curl -H "Origin: https://your-site.ru" "https://pulse.stitex.com/api/captcha?siteKey=sc_YOUR_SITE_KEY&theme=light"

# Ответ: пример только картинкой, текста задачи в ответе нет.
# Origin обязан совпадать с доменом сайта (или его поддоменом).
# {"image":"data:image/png;base64,...","width":260,"height":68,
#  "token":"...","type":"math","difficulty":"easy"}

# Отправить ответ на challenge
curl -X POST https://pulse.stitex.com/api/captcha \
  -H "Content-Type: application/json" \
  -d '{
    "token": "eyJ...",
    "answer": "10",
    "siteKey": "sc_YOUR_SITE_KEY"
  }'

# Ответ:
# {"valid":true,"solveToken":"eyJ...","score":0.95}

# Верифицировать solveToken на сервере
curl -X POST https://pulse.stitex.com/api/captcha/verify \
  -H "Content-Type: application/json" \
  -d '{
    "secretKey": "scs_YOUR_SECRET_KEY",
    "solveToken": "eyJhbGciOiJIUzI1NiJ9..."
  }'

# Ответ:
# {"success":true,"domain":"example.com","timestamp":"2026-03-30T12:00:00Z"}

<?php
$token = $_POST['stitex-captcha-token'] ?? '';

$response = file_get_contents(
  'https://pulse.stitex.com/api/captcha/verify',
  false,
  stream_context_create([
    'http' => [
      'method'  => 'POST',
      'header'  => 'Content-Type: application/json',
      'content' => json_encode([
        'secretKey'  => 'scs_YOUR_SECRET_KEY',
        'solveToken' => $token,
      ]),
    ],
  ])
);

$data = json_decode($response, true);

if (!$data || !$data['success']) {
  die('Капча не пройдена');
}

// Капча пройдена
echo 'Score: ' . $data['score'];

import requests

token = request.form.get('stitex-captcha-token', '')

resp = requests.post(
    'https://pulse.stitex.com/api/captcha/verify',
    json={
        'secretKey': 'scs_YOUR_SECRET_KEY',
        'solveToken': token,
    }
)
data = resp.json()

if not data.get('success'):
    return 'Капча не пройдена', 403

print(f"Score: {data['score']}")

const resp = await fetch(
  'https://pulse.stitex.com/api/captcha/verify',
  {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    body: JSON.stringify({
      secretKey: process.env.STITEX_SECRET_KEY,
      solveToken: req.body['stitex-captcha-token'],
    }),
  }
);
const data = await resp.json();

if (!data.success) {
  return res.status(403).json({ error: 'Captcha failed' });
}

console.log('Score:', data.score);

{
  "success": true,
  "outcome": "pass",
  "version": 3,
  "domain": "example.com",
  "timestamp": 1760000000000,  // время выдачи, мс
  "score": 0.82,        // 0..1, 1 — человек (та же шкала, что в v2)
  "risk": 18,           // 0..100
  "reasons": ["net.datacenter"],
  "action": "pow",      // каким путём выдан: pass | pow | image
  "powLevel": 1,
  "formCheck": "match", // match | mismatch | missing | unbound
  "antifraud": null
}

{ "success": false, "outcome": "fail",  "version": 3, "error": "replay" }
{ "success": false, "outcome": "error", "version": 3, "error": "unavailable" }

<?php
// Скачайте https://pulse.stitex.com/api/captcha/v3/sdk/stitex_captcha.php
require __DIR__ . '/stitex_captcha.php';

// Пары формы с исходными именами (повторы и поля вида a[] сохраняются)
$pairs = stitex_pairs_from_request();
$res = stitex_verify(getenv('STITEX_SECRET_KEY'), $pairs);

if ($res['outcome'] === 'pass') {
  // принять заявку; $res['formCheck'] === 'mismatch' — значения правились после проверки
  // (скрипт дописывает поле в FormData после проверки: stitex_verify($key, $pairs, null, true, ['result']))
} elseif ($res['outcome'] === 'error') {
  // Stitex не ответил: повторить или принять с пометкой — решаете вы
} else {
  http_response_code(403);
  exit('Проверка не пройдена');
}

# Скачайте https://pulse.stitex.com/api/captcha/v3/sdk/stitex_captcha.py
import os
from stitex_captcha import verify, pairs_from_urlencoded

# Flask: СЫРОЕ тело формы (сохраняет повторы и имена вида a[])
pairs = pairs_from_urlencoded(request.get_data(as_text=True))
res = verify(os.environ["STITEX_SECRET_KEY"], pairs)

if res["outcome"] == "pass":
    ...                          # принять заявку
elif res["outcome"] == "error":
    ...                          # Stitex не ответил: повторить или принять с пометкой
else:
    return "Проверка не пройдена", 403

# Ранний токен (AJAX, StitexCaptcha.execute): verify(key, [], token=t, bind=False)
# Скрипт дописывает поле в FormData после проверки: verify(key, pairs, ignore=("result",))

// Скачайте https://pulse.stitex.com/api/captcha/v3/sdk/stitex-captcha.js
const { verify, pairsFromUrlencoded } = require('./stitex-captcha');

// Express: нужно СЫРОЕ тело формы
app.post('/send', express.text({ type: 'application/x-www-form-urlencoded' }), async (req, res) => {
  const r = await verify(process.env.STITEX_SECRET_KEY, pairsFromUrlencoded(req.body));
  if (r.outcome === 'pass') return res.send('ok');
  if (r.outcome === 'error') return res.status(503).send('Повторите позже');   // или принять с пометкой
  return res.status(403).send('Проверка не пройдена');
});

// Ранний токен (AJAX): await verify(key, [], token, { bind: false })
// Скрипт дописывает поле в FormData после проверки: await verify(key, pairs, undefined, { ignore: ['result'] })

<script src="https://pulse.stitex.com/captcha/stitex-antifraud.js"
        data-key="YOUR_API_KEY" async></script>

{
  "found": true,
  "score": 78,
  "isBot": true,
  "reasons": ["webdriver", "headless_chrome", "sw_renderer"],
  "recommendation": "block",
  "requireCaptcha": false,
  "sessionId": "sess_abc123..."
}

# Проверить fraud-скор сессии
curl -X POST https://pulse.stitex.com/api/antifraud/check \
  -H "Content-Type: application/json" \
  -d '{
    "apiKey": "YOUR_API_KEY",
    "sessionId": "sess_abc123..."
  }'

# Ответ:
# {"found":true,"score":78,"isBot":true,
#  "recommendation":"block",
#  "reasons":["webdriver","headless_chrome"],
#  "requireCaptcha":false,"sessionId":"sess_abc123..."}

<?php
$sessionId = $_COOKIE['stitex_af_sid'] ?? '';
if (!$sessionId) {
  die('No antifraud session');
}

$response = file_get_contents(
  'https://pulse.stitex.com/api/antifraud/check',
  false,
  stream_context_create([
    'http' => [
      'method'  => 'POST',
      'header'  => 'Content-Type: application/json',
      'content' => json_encode([
        'apiKey'    => 'YOUR_API_KEY',
        'sessionId' => $sessionId,
      ]),
    ],
  ])
);

$data = json_decode($response, true);

if ($data && $data['recommendation'] === 'block') {
  http_response_code(403);
  die('Доступ запрещён');
}

if ($data && $data['recommendation'] === 'captcha') {
  // Показать Stitex Captcha
}

import requests

session_id = request.cookies.get('stitex_af_sid', '')

resp = requests.post(
    'https://pulse.stitex.com/api/antifraud/check',
    json={
        'apiKey': 'YOUR_API_KEY',
        'sessionId': session_id,
    }
)
data = resp.json()

if data.get('recommendation') == 'block':
    abort(403)
elif data.get('recommendation') == 'captcha':
    # Показать Stitex Captcha
    pass

print(f"Score: {data['score']}, Bot: {data['isBot']}")

async function antifraudMiddleware(req, res, next) {
  const sessionId = req.cookies['stitex_af_sid'];
  if (!sessionId) return next();

  const resp = await fetch(
    'https://pulse.stitex.com/api/antifraud/check',
    {
      method: 'POST',
      headers: { 'Content-Type': 'application/json' },
      body: JSON.stringify({
        apiKey: process.env.STITEX_AF_KEY,
        sessionId,
      }),
    }
  );
  const data = await resp.json();

  if (data.recommendation === 'block') {
    return res.status(403).json({ error: 'Blocked' });
  }
  if (data.recommendation === 'captcha') {
    return res.status(418).json({ requireCaptcha: true });
  }

  req.fraudScore = data.score;
  req.isBot = data.isBot;
  next();
}

<!-- Antifraud (невидимый, в <head> или перед </body>) -->
<script src="https://pulse.stitex.com/captcha/stitex-antifraud.js"
        data-key="YOUR_API_KEY" async></script>

<!-- Captcha виджет (внутри формы) -->
<form method="POST" action="/submit">
  <input type="text" name="email" placeholder="Email" required />
  <textarea name="message" placeholder="Сообщение" required></textarea>

  <div id="stitex-captcha" data-sitekey="sc_YOUR_SITE_KEY"></div>

  <button type="submit">Отправить</button>
</form>

<script src="https://pulse.stitex.com/captcha/stitex-captcha.js"></script>

<?php
// 1. Проверяем Captcha
$token = $_POST['stitex-captcha-token'] ?? '';
$captcha = json_decode(file_get_contents(
  'https://pulse.stitex.com/api/captcha/verify',
  false,
  stream_context_create(['http' => [
    'method'  => 'POST',
    'header'  => 'Content-Type: application/json',
    'content' => json_encode([
      'secretKey'  => 'scs_CAPTCHA_SECRET',
      'solveToken' => $token,
    ]),
  ]])
), true);

if (!$captcha || !$captcha['success']) {
  die('Капча не пройдена');
}

// 2. Проверяем Antifraud (опционально)
$sid = $_COOKIE['stitex_af_sid'] ?? '';
if ($sid) {
  $af = json_decode(file_get_contents(
    'https://pulse.stitex.com/api/antifraud/check',
    false,
    stream_context_create(['http' => [
      'method'  => 'POST',
      'header'  => 'Content-Type: application/json',
      'content' => json_encode([
        'apiKey'    => 'ANTIFRAUD_API_KEY',
        'sessionId' => $sid,
      ]),
    ]])
  ), true);

  if ($af && $af['recommendation'] === 'block') {
    die('Заблокировано антифродом');
  }
}

// Всё ОК — обрабатываем форму

# Получить PoW challenge
curl "https://pulse.stitex.com/api/captcha/pow"

# Ответ:
# {"challenge":"a1b2c3...","difficulty":4,"prefix":"0000",
#  "token":"eyJ...","hint":"Find nonce where SHA-256(challenge+nonce) starts with 0000"}

# Отправить решение PoW
curl -X POST https://pulse.stitex.com/api/captcha/pow \
  -H "Content-Type: application/json" \
  -d '{
    "challenge": "a1b2c3...",
    "nonce": "84721",
    "token": "eyJ..."
  }'

# Ответ:
# {"valid":true,"powToken":"eyJ..."}

async function solveProofOfWork() {
  // 1. Получаем challenge
  const res = await fetch('https://pulse.stitex.com/api/captcha/pow');
  const { challenge, difficulty, token } = await res.json();

  // 2. Brute-force nonce (SHA-256)
  const prefix = '0'.repeat(difficulty);
  let nonce = 0;

  while (true) {
    const input = challenge + nonce;
    const hash = await crypto.subtle.digest(
      'SHA-256',
      new TextEncoder().encode(input)
    );
    const hex = Array.from(new Uint8Array(hash))
      .map(b => b.toString(16).padStart(2, '0'))
      .join('');

    if (hex.startsWith(prefix)) break;
    nonce++;
  }

  // 3. Отправляем решение
  const verify = await fetch('https://pulse.stitex.com/api/captcha/pow', {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    body: JSON.stringify({ challenge, nonce: String(nonce), token }),
  });
  const result = await verify.json();
  return result.powToken; // Используйте вместо solveToken
}

{
  "error": "Token expired or invalid",
  "code": "INVALID_TOKEN"
}