Artikel-Hilfsmenü

Kommentare (7)

Dienstag, 19. August 2008 – aktualisiert am Mittwoch, 7. Oktober 2020

Spam

Diese Methode macht sich den Umstand zunutze, dass Kommentarformulare von Automaten sehr viel schneller ausgefüllt werden, als dies je ein Mensch könnte. Kein Mensch wird in weniger als z. B. 10 Sekunden ein komplettes Formular erfassen, mit vernünftigen Eingaben ausfüllen, und abschicken.
Zusätzlich wird noch eine Maximalzeit von z. B. 10 Stunden vorgegeben. Wozu das? Manche Bots verschicken Ihren Spam zeitversetzt, warum auch immer.

In vielen Fällen genügt allein diese Methode, um bis zu 99% Spamschutz zu erzielen.

Die Methode ist verblüffend einfach anzuwenden, und erfordert nicht einmal SESSIONS.

1. Ins Formular selbst wird mit PHP ein zusätzliches, verstecktes Feld eingebaut:

   <?php   echo '<p><input name="date" type="hidden" value="', time(), '" /></p>'; ?> In Zwischenablage kopieren

2. Und jetzt dort, wo die übergebenen Formulardaten überprüft und ausgewertet werden, noch folgende, zusätzliche PHP-Abfrage einfügen:

   if (isset($_POST['date']) && is_numeric($_POST['date'])) {    $posted = intval($_POST['date']);    $sendezeit = (time() - $posted);    if ($sendezeit < 10 || $sendezeit > 36000) {    $text = "Gerade wurde der Kommentar in $sendezeit Sek. zugespammt\n    Absender: $email\n    Text: $comment";    mail('mail@example.com', 'Kommentarspam', $text);    die("no spam here!");  } } In Zwischenablage kopieren

Anmerkungen:
1. Wenn die Variable mit der Zeit als URL-Parameter, also per $_GET übergeben wird, dann muss obiges Snippet natürlich entsprechend angepasst werden.
2. Die Angabe $sendezeit > 36000 sperrt Kommentare aus, die zeitversetzt, unabhängig vom Aufruf des Formulars gesendet werden. Ein ebenfalls typisches Kennzeichen für Spambots.
3. mail@example.com: an diese E-Mail Adresse wird bei jedem abgewehrten Spamversuch eine Nachricht geschickt.

Spambots füllen alle Felder eines Formulars aus. Dabei versuchen sie, die Felder mit jeweils passenden Inhalten zu befüllen. Ein Feld namens E-Mail z. B. wird daher mit großer Wahrscheinlichkeit mit einer - natürlich gefälschten - E-Mail Adresse gefüllt.
Diese Eigenschaft der Spambots kann man sich zunutze machen, indem man zusätzliche Felder ins Formular einfügt, die von Menschen nicht ausgefüllt werden. Zu diesem Zweck werden die Zusatzfelder per CSS vor Menschen versteckt, und für den Fall, dass der Besucher CSS deaktiviert hat, noch ein entsprechender Hinweis angebracht.

1. Das zusätzliche versteckte Feld:

   <span style="display:none"> <label for="email">Das folgende Feld muss leer bleiben:</label> <input type="text" name="email" id="email" title=" dieses Feld muss leer bleiben " /> </span> In Zwischenablage kopieren
   Anmerkung: Besser als die inline-CSS Angabe display:none ist sicher, dem span eine Klasse zuzuweisen, und hierfür display:none in einer externen CSS Datei zu deklarieren.

2. Die entsprechende Abfrage per PHP:

   <?php if ($_POST["email"] != "") { echo "<p>Sie haben ein Feld ausgefüllt, das leer bleiben muss. Bitte gehen Sie mit der Zurück-Funktion Ihres Browsers zurück.</p>"; exit; } ?> In Zwischenablage kopieren

Alleine angewandt, eignet sich diese Methode auch für Formulare, die unter Umständen auch von Menschen sehr schnell ausgefüllt werden, z. B. ein Suchformular. (Ja, selbst Suchformulare sind vor den Spambots nicht sicher.) In Kombination mit der vorgenannten Zeit-Methode dürfte ein sehr guter Spamschutz zu erreichen sein.

Nachteil dieser Methode: Besucher ohne oder mit deaktiviertem CSS (z. B. einige Screen Reader, eventuell auch abhängig von User-Einstellungen) werden durch scheinbar unnötige, zusätzliche Formularfelder und die entsprechenden, notwendigen Erklärungen belästigt.

Eine einfache Rechenaufgabe, oder eine einfache, logische Frage (z. B.: ist ein Mann männlich oder weiblich) muss gelöst, und die richtige Antwort in ein zusätzliches Formularfeld eingegeben werden.

Die Programmierung sollte kein Problem sein. Falls per Zufallsgenerator wechselnde Fragen gestellt werden, kann die Übergabe des richtigen Ergebnisses bequem mit einem hidden field wie bei Methode 1 erfolgen.

Der Nachteil dieser Methode liegt auf der Hand. Sie ist einfach lästig.

Eine Erklärung des Verfahrens erübrigt sich. Jeder kennt diese lästigen verzerrten Codebilder. Und wohl jeder hat sich schon darüber geärgert, dass er das Gekritzel nicht entziffern konnte; und mancher hat vielleicht sogar nach dem dritten oder vierten erfolglosen Versuch entnervt aufgegeben.
Blinden oder stark sehbehinderten Nutzern wird das Absenden des Kommentars mit diesem Verfahren sogar gänzlich unmöglich gemacht.

Es gibt viele Nachweise, dass diese CAPTCHAs von Maschinen leicht, vielleicht sogar zuverlässiger als von Menschen, gelesen werden können.

• access4all.ch
• Vortrag von Peter Purgathofer von der TU-Wien

Es gibt also keinen Grund mehr, Menschen mit CAPTCHAs zu belästigen oder gar auszusperren.

Die Auswertung des Kommentartextes nach bestimmten Kriterien kann zur Erkennung von Spam beitragen. So ist beispielsweise eine große Anzahl von Hyperlinks ein Indiz für Spam. Auch bestimmte Schlüsselwörter - das sprichwörtliche Viagra - können zur Identifizierung von Spam herangezogen werden. Der Aufwand für diese Auswertung ist jedoch relativ hoch, vor allem, um sicher zu stellen, dass nicht irrtümlich Text als Spam klassifiziert wird.

Einige weitere Methoden beschreibt Jared Smith im WebAIM Blog (englischsprachig).