Alternativa Keycloak reCAPTCHA per le squadre europee (2026)

Keycloak viene fornito con reCAPTCHA integrato nel flusso di registrazione. Per le organizzazioni europee, questa impostazione predefinita crea cookie, trasferimenti di dati negli Stati Uniti e un onere di documentazione sulla privacy nei tre flussi più importanti: login, registrazione e reimpostazione della password. Questa guida spiega come sostituire reCAPTCHA in Keycloak con un'alternativa senza cookie e ospitata nell'UE e illustra la configurazione esatta per ciascun flusso di autenticazione.

Tempo di lettura stimato: 12 minuti

---

In sintesi

---

---

Perché reCAPTCHA crea problemi specifici in Keycloak

La maggior parte delle discussioni sui reCAPTCHA si concentra sui moduli di contatto. Keycloak è una situazione completamente diversa. Si tratta di un sistema di gestione delle identità e degli accessi: il livello che controlla chi può accedere, creare un account o recuperare una password nelle vostre applicazioni. Ciò significa che il reCAPTCHA si trova nei flussi di autenticazione, non nelle pagine di marketing.

Per le organizzazioni europee che utilizzano Keycloak in produzione, questo crea tre problemi più gravi rispetto a un tipico modulo di un sito web.

Le implementazioni di Keycloak per le aziende e il settore pubblico sono oggetto di recensioni molto severe. I DPO, i comitati per gli acquisti e gli architetti della sicurezza pongono domande più difficili sugli script di terze parti nelle pagine di autenticazione che in qualsiasi altra parte di un sito web. Un CAPTCHA che non introduca cookie, non instradi dati statunitensi e un profilo di revisione di terze parti molto più semplice è strutturalmente più facile da difendere e più veloce da approvare.

Il cookie _grecaptcha viene eseguito sulle pagine di autenticazione. Google ha confermato che questo cookie persiste anche dopo la modifica del modello di processore dell'aprile 2026. In una pagina di login che i dipendenti o i clienti devono completare prima di poter accedere a qualsiasi servizio, non possono rinunciare in modo significativo a un cookie che protegge proprio il flusso che devono utilizzare. Questo problema è più difficile da risolvere rispetto allo stesso cookie presente in un modulo di contatto.

Percorsi di verifica attraverso l'infrastruttura di Google. Per le organizzazioni che operano in settori regolamentati come l'assistenza sanitaria, la finanza o il settore pubblico, l'elaborazione di dati personali attraverso l'infrastruttura statunitense richiede una documentazione di trasferimento attiva ai sensi del GDPR. In un sistema di autenticazione che gestisce le credenziali, questo aggiunge un sovraccarico di governance che i team di sicurezza e conformità preferirebbero evitare del tutto.

---

Alternative di Keycloak CAPTCHA a confronto

Diversi fornitori di CAPTCHA offrono plugin per Keycloak, ma il mercato è molto più limitato rispetto a WordPress o TYPO3. La maggior parte delle estensioni della comunità si rompe durante gli aggiornamenti delle versioni principali di Keycloak e riceve una manutenzione limitata. L'ecosistema di Keycloak CAPTCHA è molto più piccolo di quello di WordPress o TYPO3. In pratica, la maggior parte dei team che valutano un moderno livello CAPTCHA di Keycloak guarda a CAPTCHA.eu, Friendly Captcha, reCAPTCHA e un piccolo numero di opzioni gestite dalla comunità, come le integrazioni ALTCHA o hCaptcha.

SOLUZIONE	COCCOLE	POSIZIONE DEI DATI	FLUSSI COPERTI	TIPO DI PLUGIN	REQUISITO DELLA VERSIONE
CAPTCHA.eu	No	Austria (UE)	Accesso, registrazione, reimpostazione della password	JAR ufficiale	Keycloak 22.0.3+
Captcha amichevole	No	Endpoint dedicato solo all'UE dal piano Advanced. I livelli inferiori possono utilizzare l'infrastruttura globale.	Accesso, registrazione, reimpostazione della password	Plugin ufficiale	Keycloak 26.1.0+ e Java 17+ richiesti
hCaptcha	Sì	Con sede negli Stati Uniti	Solo registrazione	Comunità JAR	Manutenzione limitata
ALTCHA	No	La vostra infrastruttura	Solo registrazione	Comunità JAR	È necessario un backend self-hosted
reCAPTCHA v2	Sì (_grecaptcha)	Con sede negli Stati Uniti	Registrazione (solo incorporata)	Incorporato	Login e Reset richiedono estensioni personalizzate

---

I tre flussi da proteggere

Keycloak organizza l'autenticazione come flussi configurabili, ovvero sequenze indipendenti che si modificano separatamente nella console amministrativa. Capire cosa fa ogni flusso aiuta a decidere quali proteggere per primi e perché.

IL flusso del browser (login) è la pagina di login standard che gli utenti vedono quando accedono a un'applicazione protetta da Keycloak. È la pagina con il maggior volume di traffico ed è l'obiettivo principale degli attacchi di credential stuffing e brute-force: tentativi automatizzati di accedere agli account utilizzando credenziali rubate o indovinate su larga scala.

IL flusso di registrazione copre la creazione di account. Senza la protezione CAPTCHA, i bot creano account falsi in massa, il che riduce la qualità del servizio, altera le analisi degli utenti e consente di abusare dei periodi di prova, dei programmi di riferimento o dei livelli gratuiti.

IL azzeramento del flusso di credenziali gestisce il recupero delle password. Gli attaccanti lo prendono di mira per attivare le e-mail di recupero su scala, sovraccaricare l'infrastruttura di posta, enumerare i nomi utente presenti nel sistema o sondare le opportunità di acquisizione degli account. È il meno discusso dei tre e spesso l'ultimo che i team pensano di proteggere. Lasciarla aperta mentre si proteggono le altre due crea una lacuna.

Una limitazione importante da conoscere in anticipo: Il reCAPTCHA integrato di Keycloak protegge solo il flusso di registrazione in modo nativo. Per proteggere il login e la reimpostazione della password con reCAPTCHA, sono necessarie estensioni personalizzate. CAPTCHA.eu copre tutti e tre i flussi con lo stesso JAR e segue lo stesso schema di configurazione per ciascuno di essi, motivo per cui i team trovano la migrazione semplice.

---

Quale versione di Keycloak stai utilizzando?

Prima di installare qualsiasi cosa, controllate la versione di Keycloak. Essa influisce sulle alternative disponibili.

Se si utilizza Keycloak 26.1.0 o successivo con Java 17 o successivo, sono disponibili sia CAPTCHA.eu che Friendly Captcha. Entrambi offrono plugin gestiti ufficialmente che coprono tutti e tre i flussi. CAPTCHA.eu supporta anche la versione 22.0.3 o successiva, nel caso in cui si utilizzi una versione precedente.

Se si utilizza una versione precedente di Keycloak (Keycloak 24.x, 25.x o qualsiasi cosa inferiore alla 26.1.0), il plugin Keycloak di Friendly Captcha non è compatibile. Il loro plugin richiede esplicitamente Keycloak 26.1.0+ e Java 17+. CAPTCHA.eu supporta una gamma di versioni più ampia.

Se si utilizza Red Hat Build of Keycloak (RHBK) o il vecchio prodotto Red Hat SSO, la mappatura delle versioni differisce da quella di Keycloak upstream. RHBK 24 corrisponde all'incirca a Keycloak 24. Verificare la compatibilità documentata del plugin prima di passare alla produzione.

---

Installazione: aggiunta del plugin CAPTCHA.eu a Keycloak

Se si preferisce non modificare manualmente il tema, si può utilizzare il tema precostituito incluso nella fonte dell'estensione CAPTCHA.eu, all'indirizzo /theme/captcha.

---

Configurare il flusso di registrazione

---

Note sulla distribuzione: Docker, Kubernetes e Red Hat SSO

Il modo in cui si installa il JAR dipende dal modo in cui si esegue Keycloak. I passaggi di configurazione della console amministrativa sono identici in tutti i casi. Solo il posizionamento dei file è diverso.

Installazione standard (bare-metal o VM): Copiare keycloak-captcha.jar direttamente nel file fornitori/ della directory di installazione di Keycloak e riavviare. Keycloak rileva automaticamente il nuovo provider all'avvio.

Docker: Aggiungere il JAR in fase di compilazione, utilizzando un'istruzione COPY nel file Docker, oppure montarlo in fase di esecuzione tramite un volume. La cartella dei provider all'interno del contenitore si trova in genere in /opt/keycloak/providers/. Un approccio minimale al file Docker è il seguente:

DA quay.io/keycloak/keycloak:latest
COPIA keycloak-captcha.jar /opt/keycloak/providers/
ESEGUIRE /opt/keycloak/bin/kc.sh build

Kubernetes: Montate il JAR usando un initContainer che lo copia in un volume condiviso, oppure usate una ConfigMap se il vostro cluster supporta i dati binari. L'approccio di produzione più affidabile consiste nel creare un'immagine personalizzata di Keycloak con il JAR incorporato, quindi fare riferimento ad essa nel manifest di distribuzione. In questo modo si evita la complessità del montaggio del volume e si mantiene la riproducibilità della distribuzione.

Red Hat Build of Keycloak (RHBK) e Red Hat SSO: RHBK segue lo stesso approccio di directory provider di Keycloak, ma i numeri di versione differiscono. RHBK 24 corrisponde all'incirca alla versione 24 di Keycloak. Se si utilizza Red Hat SSO 7.x, il prodotto più vecchio basato su una versione diversa di Keycloak, verificare attentamente la compatibilità del plugin prima di distribuirlo in produzione. La pagina del plugin CAPTCHA.eu documenta l'attuale compatibilità; in caso di dubbio, eseguire prima il test su un realm di staging.

---

Lista di controllo GDPR dopo il passaggio al digitale

La migrazione tecnica riguarda il livello CAPTCHA. Questi passaggi completano il quadro della conformità.

Confermare con i team di sicurezza e DPO. Per le implementazioni di aziende e settori regolamentati, confermate le modifiche al flusso di autenticazione con il vostro architetto della sicurezza e il DPO prima del go-live. Si tratta di una prassi standard per qualsiasi modifica del sistema di autenticazione.

Aggiornare l'informativa sulla privacy. Rimuovere la voce reCAPTCHA e sostituirla con una breve voce CAPTCHA.eu che indichi l'Austria come luogo di elaborazione e la protezione dei bot sui flussi di autenticazione come scopo.

Rivedere la configurazione della gestione del consenso. Se l'implementazione di Keycloak includeva un'informativa sui cookie per reCAPTCHA, rimuovere o modificare tale voce. Per CAPTCHA.eu, non è necessario alcun meccanismo di consenso basato sui cookie per il livello CAPTCHA stesso. I cookie di sessione e i token OIDC sono separati e non sono interessati.

Aggiornare i registri di elaborazione. Sostituite Google come responsabile del trattamento dei CAPTCHA nei vostri registri ex articolo 30. A tale scopo, è disponibile un DPA standard su CAPTCHA.eu.

---

Domande frequenti

---

Lettura correlata

---