Formulare und Spam
Hive stoppt automatisierte Formulareinsendungen ohne CAPTCHA: Besucher sehen kein Rätsel, und kein Dienst eines Drittanbieters wird geladen. Dieselbe Prüfung deckt im kostenlosen Plugin das Kommentarformular, die Registrierung, das Zurücksetzen des Passworts und Contact Form 7 ab, mit dem Pro-Add-on weitere Formular-Plugins. Ein bewertender Kommentarfilter, die Sperre von Wegwerf-Adressen und Registrierungsregeln ergänzen sie. Die Einstellungen liegen unter Schutz → Formulare.
Die unsichtbare Formularprüfung
Jedes geschützte Formular trägt ein verstecktes Köderfeld und ein zweites Feld, das ein kleines Skript im Browser ergänzt, unter einem Namen, der pro Installation zufällig ist. Die Seite selbst enthält nichts Anfragespezifisches, Seiten-Caches liefern sie also weiter aus. Eine Einsendung erhält eines von vier Urteilen:
| Urteil | Bedeutung | Folge |
|---|---|---|
| Nachgewiesen | Der Browser hat das Skript ausgeführt, der Köder ist leer. | Geht durch. |
| Köder ausgefüllt | Niemand sieht dieses Feld, wer es ausfüllt, ist also eine Maschine. | Abgewiesen, die Adresse wird beim ersten Versuch gesperrt und gemeldet. |
| Fehlgeschlagen | Das Formular war unseres, aber das Skript lief nie, typisch für ein Skript, das direkt an die Adresse sendet. | Abgewiesen mit einem Satz, der den Absender bittet, JavaScript einzuschalten. Die Adresse wird nicht gesperrt. |
| Fehlt | Die Seite kam aus einem Cache, der älter ist als die Prüfung, und trägt gar kein Feld. | Geht bei Registrierung und Zurücksetzen durch, bei einem Formular-Plugin in den ersten 24 Stunden nach dem Einschalten seines Schalters. Ein Kommentar wird dem Spamfilter überlassen. |
Keine Einsendung verschwindet ohne Meldung an den Absender: Jede Abweisung wird am Formular angezeigt. Wenn Sie
REPORTEDIP_HIVE_DISABLE_FORM_PROOF in der wp-config.php definieren, ist die ganze Schicht
aus. Ihre eigenen Formulare können dieselbe Prüfung über eine kleine API nutzen, siehe
Hooks und Entwickler-API.
Formular-Plugins
| Plugin | Tarif | Hinweise |
|---|---|---|
| Contact Form 7 | Kostenlos | Eine abgewiesene Einsendung erhält die eigene Spam-Meldung des Plugins. |
| WPForms und WPForms Lite | Business, Pro-Add-on | Seitenaufruf und Übermittlung im Hintergrund. |
| Gravity Forms | Business, Pro-Add-on | Abgewiesen als Validierungsfehler über dem Formular, ohne Eintrag. Ein mehrseitiges Formular wird auf seiner letzten Seite beurteilt; Einsendungen über die Gravity-Forms-API werden nicht beurteilt. |
| Forminator | Business, Pro-Add-on | Auch Formulare, die nach der Seite geladen werden. |
| Formidable Forms und Formidable Forms PRO | Business, Pro-Add-on | |
| Elementor Forms (Elementor Pro) | Business, Pro-Add-on | Eine Abweisung hält auch die Formular-Mail an. |
| Ultimate Member | Business, Pro-Add-on | Anmeldung, Registrierung und Zurücksetzen des Passworts. Eine Registrierung durchläuft zusätzlich die Registrierungsregeln. |
Jedes Plugin hat einen eigenen Schalter, der erscheint, sobald das Plugin aktiv ist. In den 24 Stunden nach dem Einschalten geht eine Einsendung ohne das Feld noch durch, eine Seite aus einem älteren Cache sperrt also niemanden aus. Eine abgewiesene Einsendung wird nie stillschweigend in einen Spam-Ordner verschoben. Die Anleitungen für Gravity Forms und für WPForms und Forminator gehen die Einzelheiten durch.
Rechennachweis
Teil des Pro-Add-ons ab dem Tarif Professional. Ein Skript, das ein Formular einmal lädt, könnte das Nachweisfeld zurückkopieren. Mit dem Rechennachweis holt sich der Browser im Hintergrund eine kleine Aufgabe von Ihrer eigenen Website und löst sie, bevor das Formular gesendet wird. Die Aufgabe ist mit dem Salt Ihrer Website signiert, läuft nach zehn Minuten ab, gilt nur einmal und wird schwerer, je schneller ein Netz Aufgaben anfordert, ein Skript, das Hunderte holt, bezahlt also für jede einzelne. Die Seite trägt nur die Adresse dieses Endpunkts, für jeden Besucher gleich, Ganzseiten-Caches, LiteSpeed, WP Rocket und CDNs funktionieren also weiter; die Aufgabe reist in einer Anfrage, die kein Cache speichert. Ohne HTTPS enthält die Aufgabe keine Rechnung, behält aber Signatur, Ablauf und Einmalgebrauch. Während des Härtungsmodus steigt die Schwierigkeit.
Kommentar-Spamfilter
Jeder Kommentar wird nach rund zwanzig Signalen bewertet; die Liste steht unter Sensoren und Sperren. Ein Link zählt, wo immer er steht, im Feld Website oder im Text. Gemessen an 27.796 echten Kommentaren einer Website, die sie seit 2014 sammelt, erkennt der Filter 95 Prozent des Spams ohne einen Fehlalarm. Standardmäßig landet ein bewerteter Kommentar zur Prüfung im Spam; ihn direkt abzuweisen, ist eine Wahl, und der Filter lässt sich abschalten. Ein Kommentarformular, das die Prüfung nie ausgeführt hat, wird abgewiesen wie jedes andere geschützte Formular, und der Kommentar-Honeypot (das Köderfeld) hat seinen eigenen Schalter.
Wegwerf-Mailadressen
Adressen von Wegwerf-Mailanbietern werden bei der Registrierung (WordPress, WooCommerce, Multisite) abgewiesen und, über eine eigene Einstellung, bei Kommentaren und auf den geschützten Formularen, wo der Absender um eine dauerhafte Adresse gebeten wird. Drei Modi: aus, beobachten, sperren. Datenschutz-Weiterleitungen wie Apple Hide My Email und Firefox Relay sind eine eigene Kategorie und gehen standardmäßig durch. Die mitgelieferte Liste ist kostenlos; die Live-Liste mit Tausenden Domains kommt ab dem Tarif Professional mit Priority Sync.
Registrierungsregeln
Jeder Weg zur Registrierung durchläuft ein Regelwerk: die WordPress-Registrierung, WooCommerce, Multisite-Anmeldungen und Konten, die per Code angelegt werden. Die Regeln werden in fester Reihenfolge geprüft, der erste Treffer entscheidet: IP-Freigabeliste, Ratenbegrenzung, verbotener Benutzername, E-Mail-Regeln, Wegwerf-Adresse.
- Verbotene Benutzernamen: einer pro Zeile, zusätzlich zu einer Grundliste von zehn Namen (
admin,administrator,root,sysadmin,superadmin,webmaster,hostmaster,postmaster,support,moderator), die sich abschalten lässt. - E-Mail-Regeln: aus, die gelisteten Adressen sperren oder nur sie erlauben. Ein reiner Hostname bedeutet
*@host. Eine leere Liste im Erlauben-Modus wirkt wie aus, damit sich niemand aussperrt. - Ratenbegrenzung: standardmäßig drei Registrierungen je Adresse in 60 Minuten. Sie weist nur die Registrierung ab, ohne Sperre und ohne Meldung, ein Büro hinter einer Adresse wird also nicht bestraft.
- Unbekannte Benutzernamen: optional und standardmäßig aus. Ein Anmeldeversuch mit einem Benutzernamen, den es nicht gibt, sperrt die Adresse sofort. Die Sperre verrät einem Angreifer, welche Namen existieren, deshalb ist der Schalter aus und das Ereignis wird nie gemeldet.
Ein einfacher Eintrag trifft genau, * ist ein Platzhalter. Das kostenlose Plugin nimmt zehn Einträge
pro Liste. Das Pro-Add-on im Tarif Professional hebt die Grenze auf, akzeptiert reguläre Ausdrücke zwischen
Schrägstrichen (/^shop[0-9]+$/) und ergänzt die Registrierung nur aus freigegebenen Adressbereichen.
Abweisungen werden als prohibited_username, registration_denied und
registration_limit protokolliert.
Zuletzt aktualisiert: · Betreut vom ReportedIP-Team