Spamschutz für Gravity Forms ohne Captcha
Spamschutz für Gravity Forms ohne Captcha heißt: prüfen, dass ein echter Browser das Formular angezeigt und abgeschickt hat, statt den Besucher einen Beweis liefern zu lassen. ReportedIP Hive erledigt das für Gravity Forms mit einem Schalter: Die Eingabe eines Bots wird als Validierungsfehler über dem Formular abgewiesen, es entsteht kein Eintrag und es geht keine Benachrichtigung raus.
Wie Honeypot und Ausführungsnachweis im Kern funktionieren, erklärt die Anleitung zum Formular-Honeypot. Diese Seite behandelt, was bei Gravity Forms besonders ist.
Warum Gravity Forms mehr braucht als den eigenen Honeypot
Gravity Forms bringt ein eigenes Honeypot-Feld mit, und das stoppt Bots, die jedes Eingabefeld ausfüllen. Die zweite Sorte Bot stoppt es nicht: die, die die Seite nie lädt und eine kopierte Nutzlast direkt an die Website schickt. Dieser Bot sieht kein verstecktes Feld und kann deshalb auch keines ausfüllen.
Ein Captcha würde ihn stoppen, legt die Arbeit aber auf die falsche Person: Der Absender, der Sie erreichen will, muss ein Rätsel lösen, während eine entschlossene Spam-Operation einen Lösungsdienst bezahlt. Der Ausführungsnachweis von Hive verlangt vom Absender nichts. Er prüft, dass die Eingabe von einem Browser kam, der das Formular geladen und sein Skript ausgeführt hat.
Was mit einer Gravity-Forms-Eingabe passiert
| Eingabe von | Ergebnis |
|---|---|
| Einem Besucher im normalen Browser | Der Eintrag wird gespeichert, für den Absender ändert sich nichts. |
| Einem Bot, der das versteckte Feld ausfüllt | Abgewiesen. Die Adresse wird beim ersten Versuch gesperrt und im Modus Community Network gemeldet. |
| Einem Skript, das direkt an die Website sendet | Über dem Formular abgewiesen. Die Adresse wird protokolliert, aber nicht auf eine Sperre angerechnet. |
| Einem Browser mit ausgeschaltetem JavaScript | Abgewiesen mit dem Hinweis, JavaScript einzuschalten. |
Die Sperre nach einem ausgefüllten versteckten Feld setzt voraus, dass das automatische Sperren eingeschaltet ist, und Adressen auf der Whitelist werden nie gesperrt. Im Ereignisprotokoll unter ReportedIP Hive > Aktivität erscheint ein abgewiesener Bot als „Formular-Spam (Schwelle erreicht)“ mit der Oberfläche gravity_forms.
Warum eine abgewiesene Eingabe ein Validierungsfehler ist und kein Spam-Eintrag
Gravity Forms hat einen Spam-Ordner, und Hive hätte abgewiesene Eingaben dort ablegen können. Das tut es bewusst nicht. Ein Eintrag im Spam-Ordner ist eine Nachricht, deren Absender sich bedankt fühlt und die der Empfänger nie liest. War das Urteil falsch, glaubt die Person, die Ihnen geschrieben hat, ihre Nachricht sei angekommen.
Hive nutzt stattdessen einen Validierungsfehler auf Formularebene, denselben Mechanismus, den Gravity Forms für seine eigenen Prüfungen verwendet. Der Absender sieht die Meldung über dem Formular, kann den Grund lesen und es erneut versuchen. Es wird kein Eintrag gespeichert, keine Benachrichtigungsmail verschickt und keine Bestätigungsseite gezeigt. Was Hive abweist, wird nie zum Eintrag.
Wie die Prüfung zur Arbeitsweise von Gravity Forms passt
Im Hintergrund gesendete Formulare
Gravity Forms schickt seine Formulare oft selbst im Hintergrund, ohne den normalen Absendeschritt des Browsers. Hive setzt genau an dem Moment an, in dem Gravity Forms die Daten sendet, an derselben Stelle, die auch das unsichtbare Captcha des Plugins nutzt. Formulare im Hintergrund und Formulare mit Neuladen der Seite sind gleich abgedeckt, und der Fehler erscheint in beiden Fällen über dem Formular.
Formulare mit mehreren Seiten
Ein mehrseitiges Formular schickt jede Seite als eigene Anfrage. Nur die letzte Seite ist die eigentliche Einsendung, deshalb wird nur sie geprüft. Das Blättern zwischen den Seiten wird nie gebremst oder abgewiesen.
Formulare, die später erscheinen
Ein Formular, das nach einer fehlgeschlagenen Validierung oder in einem Popup ein zweites Mal erscheint, kommt erst nach dem Laden der Seite. Hive hört auf das Render-Ereignis von Gravity Forms und bereitet das neue Formular erneut vor, ein Besucher, der ein Feld korrigiert, wird also nicht abgewiesen.
Einträge über die Gravity-Forms-API
Importe, Zapier-Feeds und REST-Aufrufe über die API von Gravity Forms kommen nicht aus einem Browser und tragen deshalb keinen Nachweis. Hive erkennt sie und hält sich heraus, Automatisierungen laufen also weiter. Bei älteren Gravity-Forms-Versionen behandelt Hive sie so, wie es auch der Honeypot von Gravity Forms tut.
In vier Schritten einschalten
- Tarif prüfen. Der Gravity-Forms-Adapter gehört zum Tarif Business. In kleineren Tarifen bleibt der Schalter sichtbar und gesperrt, mit dem nötigen Tarif daneben.
- Einschalten. Öffnen Sie ReportedIP Hive > Schutz, Karte Formularschutz, und schalten Sie Gravity-Forms-Formulare schützen ein. Der Formular-Ausführungsnachweis muss ebenfalls an bleiben. Hive leert die gängigen Seiten-Caches und nimmt für eine Übergangszeit noch Eingaben von Seiten an, die vor dem Einschalten im Cache lagen.
- Selbsttest ausführen. Unter Werkzeuge > Diagnose (im Expertenmodus sichtbar) schickt Selbsttest starten drei Testdurchläufe aus Ihrem eigenen Browser: wie ein Besucher, wie derselbe Besucher zweimal und wie ein Bot. Es wird kein echtes Formular abgeschickt und keine Mail verschickt.
- Protokoll beobachten. Prüfen Sie in den ersten Tagen das Ereignisprotokoll auf abgewiesene Eingaben. Wollen Sie erst beobachten und dann abweisen, schalten Sie vorher in der Karte Sperren & Eskalation den Nur-Melden-Modus ein.
Ab dem Tarif Professional ergänzt die Rechenprüfung auf Formularen eine kleine signierte Aufgabe, die der Browser vor dem Absenden lösen muss, und stoppt damit auch Skripte, die die Feldnamen aus der Seite kopieren. Mit der Community-Bedrohungsprüfung bei Formularen im Modus Community Network weist Hive außerdem Eingaben von Adressen ab, die die Community markiert hat. Beides erklärt die Anleitung zum Formular-Honeypot.
Fragen zu Gravity Forms ohne Captcha
Braucht Gravity Forms mit Hive noch ein Captcha?
Gegen Skripte und Bots braucht Gravity Forms kein Captcha mehr, sobald der Hive-Adapter an ist. Der Ausführungsnachweis weist alles ab, was nicht von einem Browser kam, der das Formular angezeigt hat. Einen Menschen von einem Botnetz mit echtem Browser unterscheiden kann die Prüfung nicht; für diesen Fall schaut die Community-Bedrohungsprüfung auf die Adresse dahinter.
Funktioniert Hive neben Akismet und dem Gravity-Forms-Honeypot?
Hive läuft ohne Konflikt neben Akismet und dem Honeypot von Gravity Forms. Es prüft die Eingabe während der Validierung, bevor ein Eintrag existiert, eine von Hive abgewiesene Eingabe wird also nie zu einem Eintrag, den ein anderes Plugin sortieren muss. Eingaben, die Hive durchlässt, behandeln Ihre übrigen Spam-Werkzeuge wie bisher.
Was passiert mit Besuchern ohne JavaScript?
Ein Besucher mit ausgeschaltetem JavaScript kann den Nachweis nicht liefern, das Formular wird deshalb mit dem Hinweis abgewiesen, JavaScript einzuschalten. Seine Adresse wird protokolliert, aber nie auf eine Sperre angerechnet. Surft Ihr Publikum oft ohne JavaScript, nutzen Sie den Nur-Melden-Modus oder lassen den Gravity-Forms-Schalter aus.
Weiterlesen
Die Hive-Dokumentation beschreibt die Bot-Erkennung und Formular-Spam sowie Caching und Kompatibilität im Detail. Die Dokumentation von Gravity Forms beschreibt die eigenen Spam-Einstellungen des Plugins. Alle Tarife vergleicht die Preisseite.