Jak zatrzymać spam w formularzu kontaktowym bez CAPTCHA?

Dlaczego to ważne

Spam w formularzach jest głównie uciążliwy — do czasu. Zasypuje prawdziwe zapytania, uczy Cię pobieżnie przeglądać skrzynkę i może obniżyć reputację nadawczą Twojego serwera poczty, jeśli formularz wysyła automatyczne odpowiedzi. Na ruchliwych witrynach zjada też czas serwera, bo każde zgłoszenie przechodzi pełne przetwarzanie przez wtyczkę formularzy.

Typowe rozwiązanie, CAPTCHA, przerzuca koszt na odwiedzających. Rozwiązują łamigłówki, część rezygnuje, a osoby korzystające z narzędzi chroniących prywatność utykają. Większość usług CAPTCHA ładuje też kod podmiotów trzecich i wysyła dane odwiedzających poza Twój serwer.

Jest cichszy sposób. Boty zachowują się inaczej niż ludzie, a te różnice można sprawdzić po cichu:

• Wypełniają ukryte pola. Pole-pułapka (honeypot) to pole ukryte przed ludźmi, ale widoczne w HTML-u. Człowiek zostawia je puste; bot je wypełnia.
• Są szybkie. Człowiek potrzebuje kilku sekund na wypełnienie formularza. Bot potrzebuje milisekund.
• Powtarzają się. Jeden IP lub jeden adres e-mail wysyłający dziesięć wiadomości na godzinę to nie klient.
• Wklejają linki. Wiadomość z masą linków rzadko jest prawdziwym zapytaniem.

Typowe błędy

• Blokowanie zamiast kwarantanny. Gdy test nie ma pewności, zachowaj wiadomość do przejrzenia. Usunięcie pytania prawdziwego klienta jest gorsze niż przeczytanie jednego spamu.
• Od razu tryb Blokuj. Zacznij od kilku dni w trybie samego zapisywania. Sprawdź, co zostałoby zablokowane, zanim pozwolisz blokować.
• Tokeny, które psują się przez pamięć podręczną. Jeśli token antyspamowy jest częścią strony z pamięci podręcznej, wszyscy odwiedzający dzielą jeden przeterminowany token. Używaj ochrony, która pobiera token przy ładowaniu strony.
• Tylko jeden test. Samo pole-pułapka zatrzymuje proste boty. Dodaj test czasu wypełniania i limity.

Bez wtyczki

Większość wtyczek formularzy ma wbudowaną podstawową wersję takiej ochrony:

• Formularze Elementor Pro: dodaj pole „Honeypot” z listy pól.
• Contact Form 7: dodaj honeypot za pomocą dodatku; CF7 obsługuje też Akismet, jeśli akceptujesz wysyłanie danych do tej usługi.
• WPForms: ma wbudowany token antyspamowy i opcjonalny honeypot w ustawieniach każdego formularza.

Prosty honeypot możesz też dodać ręcznie do dowolnego formularza, nad którym masz kontrolę:

<div style="position:absolute;left:-9999px" aria-hidden="true">
  <label>Leave this empty <input type="text" name="website" tabindex="-1" autocomplete="off"></label>
</div>

<?php
if ( ! empty( $_POST['website'] ) ) {
    wp_die( 'Spam detected.', 403 );
}

Ograniczenia: każda wtyczka formularzy robi to inaczej, zwykle nie ma wspólnego limitu dla wszystkich formularzy, nie ma kwarantanny, która wyłapie pomyłki, ani niczego dla komentarzy czy opinii. W efekcie konfigurujesz ten sam pomysł pięć razy.

Jeśli coś pójdzie nie tak

• Przestały przychodzić prawdziwe wiadomości. Przełącz Tarczę antyspamową w tryb monitorowania, wyślij testową wiadomość i sprawdź w dzienniku, który test ją zatrzymał.
• Formularze nie działają tylko u niektórych odwiedzających. Po włączeniu ochrony raz wyczyść pamięć podręczną stron.
• Spam nadal się przedostaje. Obniż limit linków, dodaj słowa lub domeny do listy blokowanych albo włącz tryb ścisły dla formularzy, które powinny przyjmować tylko znanych dostawców poczty.

Z Hushfort

Tarcza antyspamowa chroni komentarze i opinie WooCommerce już w Hushfort Security, darmowej wtyczce bezpieczeństwa WordPress. Wtyczki formularzy wymagają Hushfort Pro, który dodaje do tego samego ekranu sześć popularnych (Elementor Pro, Contact Form 7, WPForms, Gravity Forms, Fluent Forms, Forminator).

• Niewidoczne pole-pułapka, minimalny czas wypełniania i podpisane tokeny odporne na pamięć podręczną stron. Token pobiera malutki skrypt o wadze około 2 KB, bez plików cookie.
• Pro: domyślne limity: na IP (5 na godzinę) i na e-mail (3 na godzinę); wiadomości z więcej niż 2 linkami trafiają do kwarantanny.
• Pro: lista około 9900 domen jednorazowych adresów e-mail, własne listy blokowanych i filtry słów.
• Pro: kwarantanna z uczeniem się przez „To nie spam”.
• Tryb monitorowania, w którym widzisz, co tarcza by zablokowała, zanim zacznie blokować.

Bez CAPTCHA, bez zewnętrznego API, a dane z formularzy nigdy nie opuszczają Twojego serwera.