Keycloak reCAPTCHA alternatief voor Europese teams (2026)

Keycloak wordt geleverd met reCAPTCHA ingebouwd in de registratiestroom. Voor Europese organisaties zorgt die standaard voor cookies, gegevensoverdracht naar de VS en een last voor de privacydocumentatie op de drie stromen die er het meest toe doen: aanmelding, registratie en wachtwoordreset. Deze handleiding legt uit hoe u reCAPTCHA in Keycloak kunt vervangen door een cookieloos, EU-hosted alternatief en doorloopt de exacte configuratie voor elke authenticatiestroom.

Geschatte leestijd: 12 minuten

---

In een oogopslag

---

---

Waarom reCAPTCHA specifieke problemen veroorzaakt in Keycloak

De meeste discussies over reCAPTCHA gaan over contactformulieren. Keycloak is een heel andere situatie. Het is een identiteits- en toegangsbeheersysteem: de laag die controleert wie kan inloggen, een account kan aanmaken of een wachtwoord kan herstellen in uw applicaties. Dat betekent dat reCAPTCHA hier wordt gebruikt voor authenticatiestromen, niet voor marketingpagina's.

Voor Europese organisaties die Keycloak in productie hebben, levert dit drie problemen op die ernstiger zijn dan op een typisch websiteformulier.

Keycloak implementaties in het bedrijfsleven en de publieke sector krijgen de strengste beoordelingen. DPO's, inkoopcommissies en beveiligingsarchitecten stellen moeilijkere vragen over scripts van derden op verificatiepagina's dan op enig ander deel van een website. Een CAPTCHA die geen cookies, geen Amerikaanse gegevensroutering en een veel eenvoudiger controleprofiel voor derden introduceert, is structureel eenvoudiger te verdedigen en sneller goed te keuren.

De _grecaptcha-cookie wordt uitgevoerd op verificatiepagina's. Google heeft bevestigd dat deze cookie blijft bestaan na de wijziging van het processormodel in april 2026. Op een inlogpagina die werknemers of klanten moeten invullen voordat ze toegang krijgen tot een service, kunnen ze zich niet zinvol afmelden voor een cookie die juist de stroom beschermt die ze moeten gebruiken. Dit is moeilijker op te lossen dan dezelfde cookie op een contactformulier.

Verificatieroutes via de infrastructuur van Google. Voor organisaties in gereguleerde sectoren, zoals de gezondheidszorg, de financiële sector of de publieke sector, vereist de verwerking van persoonsgegevens via Amerikaanse infrastructuur actieve overdrachtsdocumentatie onder GDPR. Op een authenticatiesysteem dat referenties verwerkt, voegt dit governance-overhead toe die beveiligings- en compliance-teams liever helemaal vermijden.

---

Keycloak CAPTCHA alternatieven vergeleken

Verschillende CAPTCHA aanbieders bieden Keycloak plugins aan, maar de markt is hier veel beperkter dan voor WordPress of TYPO3. De meeste gemeenschapsextensies gaan kapot bij grote versie-upgrades van Keycloak en krijgen beperkt onderhoud. Het Keycloak CAPTCHA ecosysteem is veel kleiner dan het WordPress of TYPO3 ecosysteem. In de praktijk kijken de meeste teams die een moderne Keycloak CAPTCHA-laag evalueren naar CAPTCHA.eu, Friendly Captcha, het oude reCAPTCHA en een klein aantal door de gemeenschap onderhouden opties zoals ALTCHA- of hCaptcha-integraties.

OPLOSSING	COOKIES	GEGEVENS LOCATIE	GEDEKTE STROMEN	PLUGIN TYPE	VERSIEVEREISTE
CAPTCHA.eu	Geen	Oostenrijk (EU)	Inloggen, registreren, wachtwoord opnieuw instellen	Officiële JAR	Sleutelklok 22.0.3+
Vriendelijke Captcha	Geen	Dedicated EU-only eindpunt van Advanced plan. Lagere niveaus kunnen wereldwijde infrastructuur gebruiken.	Inloggen, registreren, wachtwoord opnieuw instellen	Officiële plugin	Keycloak 26.1.0+ en Java 17+ vereist
hCaptcha	Ja	in de VS	Alleen registratie	Gemeenschap JAR	Beperkt onderhoud
ALTCHA	Geen	Uw eigen infrastructuur	Alleen registratie	Gemeenschap JAR	Zelf gehoste backend vereist
reCAPTCHA v2	Ja (_grecaptcha)	in de VS	Registratie (alleen ingebouwd)	Ingebouwd	Inloggen en opnieuw instellen vereisen aangepaste extensies

---

De drie stromen om te beschermen

Keycloak organiseert authenticatie als configureerbare flows, dit zijn onafhankelijke reeksen die je afzonderlijk aanpast in de beheerconsole. Door te begrijpen wat elke flow doet, kunt u beslissen welke flows u het eerst wilt beschermen en waarom.

De browser (inloggen) stroom is de standaard inlogpagina die gebruikers te zien krijgen wanneer ze toegang krijgen tot een applicatie die beveiligd is met Keycloak. Deze pagina heeft het grootste verkeersvolume en is het primaire doelwit voor credential stuffing en brute-force aanvallen: geautomatiseerde pogingen om toegang te krijgen tot accounts met behulp van gestolen of geraden referenties op grote schaal.

De registratiestroom heeft betrekking op het aanmaken van accounts. Zonder CAPTCHA-bescherming kunnen bots massaal valse accounts aanmaken, wat de kwaliteit van de service vermindert, gebruikersanalyses verstoort en misbruik van proefperioden, verwijzingsprogramma's of gratis niveaus mogelijk maakt.

De credentials stroom resetten handelt wachtwoordherstel af. Aanvallers richten zich hierop om op grote schaal herstelmails te triggeren, de mailinfrastructuur te overbelasten, op te sommen welke gebruikersnamen er in het systeem bestaan of te peilen naar mogelijkheden om accounts over te nemen. Het is de minst besproken van de drie en vaak de laatste die teams denken te beschermen. Door het open te laten terwijl de andere twee worden beschermd, ontstaat er een gat.

Eén belangrijke beperking om vooraf te weten: Keycloak's ingebouwde reCAPTCHA beschermt alleen de registratiestroom. Om aanmeldingen en het resetten van wachtwoorden te beschermen met reCAPTCHA, heb je aangepaste extensies nodig. CAPTCHA.eu dekt alle drie met dezelfde JAR en volgt hetzelfde configuratiepatroon voor elk, wat een van de redenen is dat teams de migratie eenvoudig vinden.

---

Welke versie van Keycloak gebruik je?

Controleer je Keycloak-versie voordat je iets installeert. Dit heeft invloed op de alternatieven die beschikbaar zijn.

Als je Keycloak 26.1.0 of hoger draait met Java 17 of hoger, zijn zowel CAPTCHA.eu als Friendly Captcha beschikbaar. Beide bieden officieel onderhouden plugins voor alle drie de stromen. CAPTCHA.eu ondersteunt ook 22.0.3 of later voor het geval je op een eerdere versie draait.

Als je een oudere versie van Keycloak gebruikt (Keycloak 24.x, 25.x, of iets lager dan 26.1.0), dan is Friendly Captcha's Keycloak plugin niet compatibel. Hun plugin vereist expliciet Keycloak 26.1.0+ en Java 17+. CAPTCHA.eu ondersteunt een breder versiebereik.

Als je Red Hat Build of Keycloak (RHBK) of het oudere Red Hat SSO product gebruikt, dan verschilt de versie mapping van upstream Keycloak. RHBK 24 komt ongeveer overeen met upstream Keycloak 24. Controleer de gedocumenteerde compatibiliteit van de plugin voordat u deze uitrolt naar productie.

---

Installatie: de CAPTCHA.eu plugin toevoegen aan Keycloak

Als u uw thema liever niet handmatig bewerkt, gebruik dan het kant-en-klare thema dat is opgenomen in de bron van de CAPTCHA.eu-extensie op /theme/captcha.

---

De registratiestroom configureren

---

Implementatie-opmerkingen: Docker, Kubernetes en Red Hat SSO

Hoe je de JAR installeert hangt af van hoe je Keycloak uitvoert. De configuratiestappen voor de beheerconsole zijn in alle gevallen identiek. Alleen de plaatsing van het bestand verschilt.

Standaardinstallatie (bare-metal of VM): Kopieer keycloak-captcha.jar direct in de aanbieders/ map van je Keycloak-installatie en start opnieuw op. Keycloak pikt de nieuwe provider automatisch op bij het opstarten.

Docker: Voeg de JAR toe tijdens het bouwen met een COPY instructie in je Dockerfile, of mount het tijdens runtime via een volume. De providers directory in de container is meestal /opt/keycloak/providers/. Een minimale Dockerfile aanpak ziet er als volgt uit:

FROM quay.io/keycloak/keycloak:latest
KOPIE keycloak-captcha.jar /opt/keycloak/providers/
RUN /opt/keycloak/bin/kc.sh build

Kubernetes: Mount de JAR met behulp van een initContainer die het kopieert naar een gedeeld volume, of gebruik een ConfigMap als je cluster binaire gegevens ondersteunt. De meest betrouwbare productiebenadering is het bouwen van een aangepaste Keycloak image met de JAR ingebakken en er dan naar te verwijzen in je Deployment manifest. Dit vermijdt de complexiteit van het mounten van volumes en houdt je implementatie reproduceerbaar.

Red Hat Build of Keycloak (RHBK) en Red Hat SSO: RHBK volgt dezelfde provider directory aanpak als upstream Keycloak, maar de versienummers verschillen. RHBK 24 komt ongeveer overeen met upstream Keycloak 24. Als u Red Hat SSO 7.x gebruikt, het oudere product dat gebaseerd is op een andere Keycloak versie, controleer dan zorgvuldig de plugin compatibiliteit voordat u het product in productie neemt. De CAPTCHA.eu plugin pagina documenteert de huidige compatibiliteit; test bij twijfel eerst op een staging realm.

---

GDPR-checklist na overstap

De technische migratie omvat de CAPTCHA-laag. Deze stappen maken het complianceplaatje compleet.

Bevestig dit met je beveiligings- en DPO-teams. Bevestig bij implementaties in ondernemingen en gereguleerde sectoren de wijzigingen in de authenticatiestroom met je beveiligingsarchitect en DPO voordat je aan de slag gaat. Dit is standaardprocedure voor elke wijziging aan het authenticatiesysteem.

Werk je privacyverklaring bij. Verwijder de reCAPTCHA-invoer en vervang deze door een korte CAPTCHA.eu-invoer met Oostenrijk als verwerkingslocatie en botbeveiliging op verificatiestromen als doel.

Controleer uw instellingen voor toestemmingsbeheer. Als uw Keycloak-implementatie een cookievermelding voor reCAPTCHA bevatte, verwijder of wijzig die vermelding dan. Voor CAPTCHA.eu is geen op cookies gebaseerd toestemmingsmechanisme nodig voor de CAPTCHA-laag zelf. Sessiecookies en OIDC-tokens zijn apart en worden niet beïnvloed.

Werk je verwerkingsgegevens bij. Vervang Google als de CAPTCHA-gerelateerde verwerker in uw Artikel 30-gegevens. Hiervoor is een standaard DPA beschikbaar op CAPTCHA.eu.

---

Veelgestelde vragen

---

Gerelateerde lezen

---