X'jipproteġi tassew formola: CAPTCHA, honeypot, nassa tal-ħin, CSRF

L-ispam permezz tal-formoli tal-kuntatt rari jiġi minn persuna li tittajpja bl-idejn. L-aktar huwa softwer li jsib il-formoli, jimla kull qasam u jibgħat ir-riżultat – eluf ta' drabi. Jeżistu diversi difiżi, u jaħdmu f'punti differenti ħafna. Li tkunu tafu x'jagħmel tassew kull wieħed jgħinkom tevitaw żewġ żbalji: formola mingħajr protezzjoni reali, u formola mgħassa tant b'mod qawwi li n-nies reali jaqtgħu qalbhom.

Honeypot u nassa tal-ħin: filtri inviżibbli

Honeypot huwa qasam żejjed li n-nies qatt ma jaraw, bħal qasam imsejjaħ “website” moħbi bis-CSS. Il-bots sempliċi jimlew kull qasam, għalhekk honeypot mimli jindika awtomatizzazzjoni u s-server jista' jarmi l-messaġġ bil-kwiet. Il-bots miktuba għas-sit tagħkom, jew dawk li jirrendu l-paġna bħal browser, jaqbżuh. Aħbuh sew: qasam sempliċement imċaqlaq barra mill-iskrin jista' jitħabbar mill-screen readers, jintlaħaq bit-tasta Tab jew jimtela mill-autofill. Użaw aria-hidden, tabindex -1 u autocomplete off, flimkien ma' tikketta newtrali li titlob lil kull min jasal hemm iħallih vojt.

Nassa tal-ħin tirreġistra meta ntbagħtet il-formola u tirrifjuta s-sottomissjonijiet li jaslu b'ħeffa mhux plawżibbli. In-nies għandhom bżonn ftit sekondi biex jaqraw u jittajpjaw; ħafna skripts jibagħtu fi frazzjoni ta' sekonda. It-timbru tal-ħin għandu jiġi ċċekkjat fuq is-server u protett kontra t-tbagħbis, pereżempju ffirmat jew miżmum fis-sessjoni – qasam tal-ħin moħbi sempliċi jinkiteb mill-ġdid mill-bot mingħajr diffikultà. Żommu l-limitu baxx, peress li l-autofill jagħmel lin-nies reali mgħaġġla wkoll. Il-bots li sempliċement jistennew jgħaddu: nassa tal-ħin hija filtru, mhux ħajt.

CAPTCHA: effettiva, iżda mhux b'xejn

CAPTCHA titlob prova li m'hemm l-ebda bot fuq ix-xogħol – minn puzzles tal-immaġni sa kontrolli li jsiru fl-isfond; servizzi komuni jinkludu reCAPTCHA, hCaptcha, Cloudflare Turnstile u Friendly Captcha. Twaqqaf il-biċċa l-kbira tal-awtomatizzazzjoni ġenerika, u huwa għalhekk li hija tant popolari. Iżda kull puzzle viżibbli huwa ostaklu li fih xi viżitaturi jaqtgħu qalbhom, u l-biċċa l-kbira tas-servizzi jtellgħu skript ta' parti terza, li jqajjem mistoqsijiet dwar il-privatezza u l-kunsens. CAPTCHA tgħin ukoll biss jekk tkun issettjata b'mod korrett: test site key pubbliku, widget mingħajr l-iskript tiegħu jew token li s-server qatt ma jivverifika jidhru bħala protezzjoni iżda mhumiex. Verifika b'xejn fuq formexposed.com tindika żbalji bħal dawn minn barra.

L-aċċessibbiltà hija parti minn dik l-ispiża. Il-puzzles tal-immaġni jeskludu lin-nies għomja u lil ħafna nies b'vista baxxa, l-alternattivi awdjo ma jgħinux lin-nies torox u għomja, u kompiti loġiċi diffiċli jgħabbu lin-nies b'diżabbiltajiet konjittivi. Il-kriterju ta' suċċess 1.1.1 tal-WCAG 2.2 jeħtieġ alternattiva testwali li tiddeskrivi l-iskop tas-CAPTCHA u forom alternattivi għal sensi differenti. Il-kontrolli fl-isfond jevitaw il-biċċa l-kbira ta' dan, iżda meta jsiru suspettużi, l-alternattiva ta' riżerva spiss terġa' tkun puzzle viżwali – ittestjaw dik it-triq b'tastiera u b'screen reader.

Token CSRF: protezzjoni kontra l-falsifikazzjoni, mhux kontra l-ispam

Token CSRF huwa valur każwali li s-server ipoġġi fil-formola u jistenna lura. Tfassal kontra l-falsifikazzjoni ta' talbiet bejn is-siti (cross-site request forgery), fejn websajt oħra ġġiegħel lill-browser ta' viżitatur jibgħat talba li l-viżitatur qatt ma kellu l-intenzjoni jibgħat. F'formola tal-kuntatt pubblika għandu effett sekondarju: il-bots li jibagħtu dritt lill-indirizz tal-formola mingħajr ma jtellgħu l-paġna jiġu rrifjutati. Kull bot li jġib il-paġna u jibgħat lura t-token jgħaddi. Il-biċċa l-kbira tal-frameworks u tal-plugins tal-formoli jinkludu tokens CSRF xorta waħda – żommuhom attivati, iżda tgħodduhomx bħala protezzjoni kontra l-ispam.

X'għandu jiġri fuq is-server

• Ivvalidaw kull qasam mill-ġdid fuq is-server: oqsma obbligatorji, tul, format tal-email, u l-ebda qsim tal-linji f'oqsma li jispiċċaw fil-headers tal-posta.
• Ivverifikaw it-tokens tas-CAPTCHA u tal-proof-of-work f'kull sottomissjoni, mas-servizz li joħroġhom jew fil-kodiċi tagħkom stess, u irrifjutaw it-tokens li jerġgħu jintużaw.
• Illimitaw is-sottomissjonijiet għal kull indirizz IP u perjodu ta' żmien. Dan iwaqqaf l-għargħar minn sors wieħed; l-ispam mifrux fuq ħafna indirizzi jeħtieġ saffi oħra.
• Ikkunsidraw il-proof-of-work: qabel il-bgħit, il-browser isolvi kompitu komputazzjonali żgħir. Il-viżitaturi ma jaraw l-ebda puzzle u xejn ma jiġi ttraċċat, iżda s-sottomissjoni bil-massa ssir għalja.

Kombinazzjoni sensibbli: żewġ jew tliet saffi

1. 1Ibdew bis-saffi inviżibbli: honeypot aċċessibbli u nassa tal-ħin iffirmata, it-tnejn iċċekkjati fuq is-server.
2. 2Żidu limitu tar-rata għal kull indirizz IP sabiex sors wieħed ma jkunx jista' jgħarraq il-formola.
3. 3Jekk l-ispam immirat xorta jgħaddi, żidu proof-of-work jew CAPTCHA – preferibbilment waħda mingħajr puzzle viżibbli u b'alternattiva aċċessibbli.
4. 4Żommu t-token CSRF li jipprovdi l-framework tagħkom – bħala bonus, mhux bħala difiża.
5. 5Ittestjaw ir-riżultat bħala viżitatur – bit-tastiera biss, b'screen reader, fuq mowbajl – u ċċekkjaw li l-messaġġi reali għadhom jaslu.

F'ħafna siti, il-honeypot, in-nassa tal-ħin u l-limitu tar-rata flimkien diġà jneħħu l-biċċa l-kbira tal-ispam ġeneriku mingħajr ebda ostaklu viżibbli; CAPTCHA hija r-riżerva għal meta dan ma jkunx biżżejjed. Fuq WordPress, il-plugin b'xejn ta' formexposed jgħaqqad honeypot, kontroll tal-ħin u proof-of-work mingħajr bżonn ta' Google. Biex taraw x'turi l-formola tagħkom minn barra – liema saffi huma preżenti, jekk CAPTCHA hijiex ikkonfigurata b'mod effettiv – verifika b'xejn fuq formexposed.com teħtieġ biss dominju, l-ebda kont. Ma tistax tara l-kodiċi tas-server tagħkom, għalhekk il-parti fuq in-naħa tas-server tibqa' x-xogħol tagħkom.