Spamschutz für WPForms und Forminator ohne Captcha
Spamschutz für WPForms und Forminator ohne Captcha funktioniert, indem geprüft wird, dass ein echter Browser das Formular geladen und abgeschickt hat, statt den Besucher etwas lösen zu lassen. ReportedIP Hive erledigt das für beide Plugins mit je einem Schalter: Ein Bot wird mit einem sichtbaren Fehler am Formular abgewiesen, es wird kein Eintrag gespeichert und keine Mail verschickt.
Honeypot und Ausführungsnachweis dahinter erklärt die Anleitung zum Formular-Honeypot. Diese Seite behandelt, was bei WPForms und Forminator besonders ist.
Warum WPForms und Forminator mehr brauchen als ihre eigenen Spam-Werkzeuge
Beide Plugins bringen eigenen Schutz mit: WPForms ein Anti-Spam-Token, Forminator ein Honeypot-Feld. Das fängt viele Bots, aber ein Skript, das eine echte Einsendung kopiert und erneut abspielt, oder eines, das jedes Feld nach einem Muster ausfüllt, das das Plugin nicht erwartet, kann durchrutschen. Ein Captcha würde es stoppen, auf Kosten jedes echten Absenders, der ein Rätsel lösen muss.
Hive ergänzt eine Prüfung, die vom Absender nichts verlangt. Jedes Formular trägt ein unsichtbares Feld, das Menschen nie berühren, und ein kleines Skript fügt einen Nachweis hinzu, den nur ein Browser liefern kann, der das Formular wirklich angezeigt hat. Ein Bot, der das unsichtbare Feld ausfüllt, oder ein Skript ohne Nachweis wird abgewiesen, bevor ein Eintrag existiert.
Was mit einer Einsendung passiert
| Einsendung von | Ergebnis |
|---|---|
| Einem Besucher im normalen Browser | Der Eintrag wird gespeichert, für den Absender ändert sich nichts. |
| Einem Bot, der das unsichtbare Feld ausfüllt | Abgewiesen. Die Adresse wird beim ersten Versuch gesperrt und im Modus Community Network gemeldet. |
| Einem Skript, das direkt an die Website sendet | Am Formular abgewiesen. Die Adresse wird protokolliert, aber nicht auf eine Sperre angerechnet. |
| Einem Browser mit ausgeschaltetem JavaScript | Abgewiesen mit dem Hinweis, JavaScript einzuschalten. |
Die Sperre nach einem ausgefüllten unsichtbaren Feld setzt voraus, dass das automatische Sperren eingeschaltet ist, und Adressen auf der Whitelist werden nie gesperrt. Die Meldung an die Community nennt das Formular-Plugin, die Community sieht also, dass die Adresse ein Kontaktformular angegriffen hat und keine Anmeldung. Im Ereignisprotokoll unter ReportedIP Hive > Aktivität erscheint ein abgewiesener Bot als „Formular-Spam (Schwelle erreicht)“ mit der Oberfläche wpforms oder forminator.
So arbeitet Hive mit WPForms
Hive setzt sein unsichtbares Feld direkt vor den Absende-Button, sowohl bei Formularen, die die Seite neu laden, als auch bei Formularen, die im Hintergrund gesendet werden. Den Bestätigungstext lässt es in Ruhe, die Dankesnachricht wird also nie verändert.
Die Prüfung läuft, nachdem WPForms die Felder validiert hat, und bevor es einen Eintrag speichert oder eine Benachrichtigung verschickt. Ein Formular mit fehlendem Pflichtfeld gibt WPForms deshalb zuerst selbst zurück, ohne Prüfung durch Hive. Eine abgewiesene Einsendung zeigt einen Fehler über dem Formular, an derselben Stelle, an der WPForms eigene Meldungen auf Formularebene anzeigt. Hives eigener Stil hält das unsichtbare Feld auch dann außerhalb des sichtbaren Bereichs, wenn ein WPForms-Theme die Formular-Stile zurücksetzt.
So arbeitet Hive mit Forminator
In Forminator sitzt das unsichtbare Feld im Absendebereich des Formulars. Die Prüfung läuft über die eigene Fehlerliste von Forminator, bevor ein Eintrag gespeichert, eine Datei abgelegt oder eine Mail verschickt wird. Die Abweisung erscheint am Formular wie jeder andere Forminator-Fehler, und Uploads werden nicht doppelt geprüft.
Forminator lädt Formulare oft erst nach der Seite, etwa in Popups oder Tabs. Hive bemerkt ein Formular, das später erscheint, und bereitet es erneut vor. Ist der Nachweis noch nicht fertig, wenn der Besucher auf Senden klickt, wird die Einsendung kurz angehalten und dann verschickt, ein schneller Besucher wird also nie abgewiesen.
Warum eine Abweisung ein Fehler ist und kein Eintrag im Spam-Ordner
Beide Plugins haben einen Spam-Ordner, und der Spamfilter von Forminator kann dem Absender je nach Formular-Einstellung sogar eine Erfolgsmeldung zeigen. Hive nutzt bewusst keins von beidem. Eine Nachricht im Spam-Ordner ist eine, deren Absender glaubt, sie sei angekommen, und die der Empfänger nie liest. Wäre das Urteil einmal falsch, würde es niemand merken.
Eine Abweisung durch Hive ist stattdessen ein sichtbarer Formularfehler. Der Absender kann den Grund lesen und es erneut versuchen, es wird kein Eintrag gespeichert, keine Benachrichtigung verschickt und keine Bestätigung gezeigt.
So schalten Sie den Schutz ein
- Tarif prüfen. Die Adapter für WPForms und Forminator gehören zum Tarif Business. In kleineren Tarifen bleiben die Schalter sichtbar und gesperrt, mit dem nötigen Tarif daneben.
- Einschalten. Öffnen Sie ReportedIP Hive > Schutz, Karte Formularschutz, und schalten Sie WPForms-Formulare schützen und Forminator-Formulare schützen ein. Der Formular-Ausführungsnachweis muss an bleiben. Hive leert die gängigen Seiten-Caches und nimmt für eine Übergangszeit noch Einsendungen von Seiten an, die vor dem Einschalten im Cache lagen.
- Selbsttest ausführen. Werkzeuge > Diagnose (im Expertenmodus sichtbar) zeigt jeden Formular-Adapter und führt drei Testdurchläufe aus Ihrem Browser aus, ohne ein echtes Formular abzuschicken.
- Protokoll beobachten. Prüfen Sie in den ersten Tagen das Ereignisprotokoll auf abgewiesene Einsendungen. Wollen Sie erst beobachten und dann abweisen, schalten Sie vorher in der Karte Sperren & Eskalation den Nur-Melden-Modus ein.
Ab dem Tarif Professional lässt die Rechenprüfung auf Formularen den Browser vor dem Absenden eine kleine signierte Aufgabe Ihrer eigenen Website lösen, zehn Minuten gültig und nur einmal angenommen. Das stoppt auch Skripte, die die Feldnamen aus der Seite kopieren. Mit der Community-Bedrohungsprüfung bei Formularen im Modus Community Network weist Hive außerdem Adressen ab, die die Community markiert hat. Beides wirkt auf jedem Formular gleich und wird in der Anleitung zum Formular-Honeypot erklärt.
Fragen zu WPForms und Forminator ohne Captcha
Brauchen WPForms und Forminator mit Hive noch ein Captcha?
Gegen Skripte und Bots brauchen WPForms und Forminator kein Captcha mehr, sobald die Hive-Adapter an sind. Der Ausführungsnachweis weist alles ab, was nicht von einem Browser kam, der das Formular angezeigt hat. Einen Menschen von einem Botnetz mit echtem Browser unterscheiden kann er nicht; dafür schaut die Community-Bedrohungsprüfung auf die Adresse hinter der Anfrage.
Funktioniert Hive neben dem WPForms-Token und dem Forminator-Honeypot?
Hive läuft ohne Konflikt neben dem Anti-Spam-Token von WPForms, dem Honeypot von Forminator und Akismet. Es ergänzt seine eigene Prüfung, bevor ein Eintrag gespeichert wird, eine von Hive abgewiesene Einsendung wird also nie zum Eintrag. Den eigenen Schutz der Plugins können Sie eingeschaltet lassen; die Prüfungen ergänzen sich.
Welchen Tarif brauche ich für den Schutz von WPForms und Forminator?
Die Adapter für WPForms und Forminator gehören zum Tarif Business, zusammen mit Gravity Forms, Formidable Forms, Elementor Forms und Ultimate Member. Contact Form 7, Kommentare, Registrierung und Passwort-Reset sind in jedem Tarif geschützt, auch im kostenlosen. Die Rechenprüfung braucht den Tarif Professional oder höher.
Weiterlesen
Die Hive-Dokumentation beschreibt die Bot-Erkennung und Formular-Spam sowie Caching und Kompatibilität im Detail. Die OWASP-Liste der automatisierten Bedrohungen für Webanwendungen beschreibt die Bot-Typen, gegen die diese Prüfungen gebaut sind. Alle Tarife vergleicht die Preisseite.