Captchas: Es muss nicht immer reCAPTCHA sein

Ich arbeite seit einiger Zeit mit keinen klassischen Captchas mehr sondern verwende CleanTalk.
Kann ich wirklich nur weiterempfehlen, ist zwar nicht kostenlos, aber filtert auch bei über 20’000 Einträgen sehr gut.

Ein Captcha ist immer eine problematische Lösung. Wir haben uns dafür entschieden, dass wir mit dem Formular ein Bild ausliefern. Dieses Bild wird dynamisch von einem PHP Script erzeugt. Es setzt auf der Session ein Flag. Wird das Formular nun abgeschickt, überprüfen wir beim Verarbeiten, ob dieses Flag auf der Session da ist. Wenn nicht, hat der betreffende die Formularseite nicht vollständig geladen. Wir akzeptieren in diesem Falle das Formular nicht. Dieses Verfahren hilft uns ca. 99% aller Spam Einträge zu erkennen, OHNE dass der Besucher mit Captchas generft wird. Nachteil: Die Methode ist für Blinde nicht bullet-proof. Es macht für einen Screenreader wenig Sinn, Bilder zu laden. Dann wird das Formular auch nicht aktzeptiert. Wir hatten in den letzten 10 Jahren aber noch NIE eine Reklamation in diese Richtung…

Insbesondere für kleinere Websites und zur schnellen Einbindung ist Antispam Bee eine gute Lösung, finde ich. In Bezug auf eine universell einsetzbare, etwas umfassendere Lösung stellt meines Erachtens Friendly Captcha (https://friendlycaptcha.com) eine sinnvolle Option dar. Wir setzen das System seit einiger Zeit zum Schutz unserer Web Apps ein und bietet einen verlässlichen Schutz. Uns gefallen hier neben dem Datenschutz besonders die anpassbaren Sicherheitsstufen und die Barrierefreiheit der Lösung. Allerdings ist dieser Service kostenpflichtig und daher nach meiner Meinung primär für sicherheitskritischere Bereiche einer Website oder Applikation wie Registrierungen, Logins oder Checkouts interessant.

Recaptcha ist ein ladezeit Killer, die unperformanten JS dateein und die Server request gehen mir völlig auf die nerven. Wenn ich meine Seiten mit Lighthouse oder gtmetrix oder pindom teste bremst mir dieses Google Ding alles aus.
Es ist für mich unverständlich wieso das in alle Seiten eingreift anstatt nur auf den Formularseiten.

hat jemand einen Trick wie das gbegrenzt werden kann, ausserdem finde ich den Datenklau von google durch seine Tools skandalös, sie missbrauchen Ihre Monopol Stellung.
Warum greifen hier nicht nicht die Behörden ein?

Wir haben früher kaum Captchas benutzt und mussten dann in den letzten Jahren auf Recaptcha umsteigen. Bisher kamen kaum SPAM Nachrichten auf unseren Shop auf dem wir Bitcoin Masken vertreiben, dies hat sich jedoch in den letzten Tagen geändert. Offenbar ist das Recaptcha von Google via AI/ML geknackt worden und es kommen vermehrt Spamnachrichten auf via Formular durch.Wir sind nun gezwungen das Kontaktformular gänzlich zu entfernen.

Was ich auf jeden Fall mache ist folgendes:

1. Ein Zufallstoken in einer Session-Variable ablegen
2. Das Zufallstoken in ein verstecktes Formularfeld ablegen
3. Bei der Auswertung Formularfeld mit Sessionvariable vergleichen

Sind Session- und POST-Variable unterschiedlich, wird zurück aufs Formular geleitet.

Damit zieht man schon mal die hässigsten Spambots aus dem Verkehr, ohne den User zu nerven. Bei vielen Kundenwebsites, die nicht hyperprominent sind, reicht diese Massnahme bereits völlig aus. No Spam, ausser jemand sitzt wirklich an einem Browser davor und füllt das Formular aus. Kommt aber recht selten vor, die meisten Spammer nutzen wohl Scripts und natürlich könnten die clever genug gemacht werden, dass die obige Methode nicht mehr funktioniert, aber warum sollte man, wenn es noch so viele ungeschützte Formulare gibt, die einfacher zu überlisten sind. Auch Spammer gehen auf die Low Hanging Fruit los.

Jetzt müsst ihr das nur noch auf eurer eigener WAF so umsetzten ;)

Ich benutze sehr oft ein Frage / Antwort Feld, welche die Benutzer eingeben müssen. z.B: wie ist die Farbe von Gras? Die Antwort wird niemals ein Bot beantworten können ;)
Problem mit Spam gelöst…..oder was meint ihr?

Früher hatten wir die Zeit gemessen, welche zwischen der Anzeige des Formulars und dem Abschicken vergangen ist. Alles was unter 5 Sekunden lag, haben wir als SPAM abgelehnt. Das hat leider nicht zuverlässig funktioniert. Was immer noch sehr gut funktioniert, ist ein Bild abzurufen, welches wir über ein PHP generieren. Wird das Bild geladen, setzen wir einen OK-Wert auf der Session. Die meisten Formularspamer laden die Bilder nicht. Der Schutz funktioniert sehr gut. Allerdings ist zu beachten, dass dieses Verfahren für Screenreader ein NO-GO sein kann.