Spam przez formularz kontaktowy – jak go zatrzymać bez irytującej captchy
Codziennie reklamy kryptowalut i usług SEO przez formularz kontaktowy? Jakie metody skutecznie hamują spam, nie zniechęcając prawdziwych klientów obrazkowymi zagadkami.
W skrócie: większość spamu w formularzach pochodzi od automatycznych programów. Dobrze zatrzymują je niewidoczne metody: ukryte pole, które wypełniają tylko boty (honeypot), minimalny czas wypełniania i limit zapytań na minutę. Jeśli to nie wystarcza, pomagają przyjazne dla prywatności sprawdzenia bez obrazkowych zagadek. Google reCAPTCHA jest skuteczne, ale przekazuje dane do Google i zwykle wymaga zgody.
Spam przez formularz to więcej niż uciążliwość. Zasypuje prawdziwe zapytania, obciąża wysyłkę poczty i może sprawić, że Państwa maile będą uznawane za spam, jeśli formularz wysyła automatyczne potwierdzenia na podany adres.
Najpierw metody niewidoczne
Honeypot
Dodatkowe pole formularza, niewidoczne dla ludzi dzięki CSS. Prawdziwi odwiedzający zostawiają je puste, wiele botów wypełnia każde pole. Jeśli pole jest wypełnione, wiadomość jest odrzucana. Nikomu to nie przeszkadza, a zatrzymuje dużą część prostego spamu. W większości wtyczek formularzy ta funkcja jest wbudowana albo dostępna jako dodatek.
Sprawdzanie czasu
Człowiek potrzebuje na formularz kontaktowy co najmniej kilku sekund. Boty często wysyłają go w ułamku sekundy. Kto jest szybszy niż np. trzy sekundy, zostaje odrzucony.
Limit
Więcej niż kilka zapytań z tego samego adresu IP w ciągu paru minut to prawie nigdy człowiek. Limit hamuje masowe ataki, zanim zaleją skrzynkę.
Sprawdzanie treści
Typowe cechy spamu: wiele linków, cyrylica albo chińskie znaki na polskiej czy niemieckiej stronie, określone słowa. WordPress ma w „Ustawienia → Dyskusja” listę niechcianych słów, z której korzystają niektóre wtyczki formularzy.
Gdy to nie wystarcza: sprawdzenia bez zagadek
- Friendly Captcha: dostawca z Niemiec, działa bez obrazkowych zagadek i bez ciasteczek. Przeglądarka rozwiązuje w tle zadanie obliczeniowe.
- Cloudflare Turnstile: także zwykle bez zagadek, bezpłatny, ale to usługa firmy z USA.
- Google reCAPTCHA: bardzo popularne i skuteczne. Przekazuje jednak dane odwiedzających do Google, co trzeba opisać w polityce prywatności i co zwykle wymaga zgody.
Każda usługa zewnętrzna musi być opisana w polityce prywatności. W razie wątpliwości warto ustalić z doradcą ds. ochrony danych, czy potrzebna jest zgoda. Więcej o wymaganiach w artykule Strona firmowa w Niemczech – wymagania prawne.
Czego lepiej nie robić
- Maili z potwierdzeniem na wpisany adres bez zabezpieczeń. Boty wpisują cudze adresy, a Państwa serwer rozsyła wtedy spam w Państwa imieniu.
- Likwidować formularza i pokazywać tylko adres e-mail. To niewiele daje, bo adresy na stronach też są automatycznie zbierane.
- Ręcznie usuwać każdego zapytania. Na dłuższą metę kosztuje to więcej czasu niż jednorazowa konfiguracja.
Spam nadal przechodzi?
Wtedy często wpisują go prawdziwi ludzie, opłacani za wysyłanie. Przeciw temu metody techniczne pomagają tylko częściowo. Filtr treści i osobna skrzynka na zapytania z formularza chronią główną skrzynkę. A jeśli nie ma spamu, ale nie ma też prawdziwych zapytań, problem często leży gdzie indziej, patrz Formularz kontaktowy nie wysyła maili.
Profesjonalna pomoc
Ustawiam ochronę przed spamem tak, żeby boty zostały na zewnątrz, prawdziwi klienci niczego nie zauważyli, a polityka prywatności do tego pasowała. To część usługi naprawa WordPress albo stałej opieki WordPress.
