Google sadece client tabanlı olarak recaptcha kullanımına bildiğim kadarıyla izin veriyor ama kötü niyetli bir kullanıcı tarayıcı'dan javascript'i kapatarak bu doğrulama sistemini direk bypass edebilir. bu yüzden önce client tarafında çalışacak (ki her isteği sunucuya göndermesin), sonra da bir kontrol de sunucu tarrafında kontrol yapacak şekilde olmalı. Dolayısıyla sadece client olması yeterli değil.