Điều gì thực sự bảo vệ biểu mẫu: CAPTCHA, honeypot, bẫy thời gian, CSRF

Thư rác qua biểu mẫu liên hệ hiếm khi do người gõ bằng tay. Chủ yếu là phần mềm tìm biểu mẫu, điền mọi trường rồi gửi kết quả hàng nghìn lần. Có nhiều biện pháp phòng vệ, tác động ở những điểm rất khác nhau. Biết từng biện pháp thực sự làm gì giúp bạn tránh hai lỗi: biểu mẫu không có bảo vệ thật và biểu mẫu bị canh giữ quá chặt khiến người thật bỏ cuộc.

Honeypot và bẫy thời gian: bộ lọc vô hình

Honeypot là trường bổ sung mà con người không bao giờ nhìn thấy, chẳng hạn trường tên “website” được ẩn bằng CSS. Bot đơn giản điền mọi trường, nên honeypot có nội dung là dấu hiệu tự động hóa và máy chủ có thể âm thầm bỏ tin nhắn. Bot được viết riêng cho website của bạn hoặc bot kết xuất trang như trình duyệt sẽ bỏ qua. Hãy ẩn cho đúng: trường chỉ được đẩy ra ngoài màn hình vẫn có thể bị trình đọc màn hình thông báo, được truy cập bằng phím Tab hoặc được tự động điền. Dùng aria-hidden, tabindex -1 và autocomplete off, cùng nhãn trung tính yêu cầu ai đến trường đó hãy để trống.

Bẫy thời gian ghi lại lúc biểu mẫu được cung cấp và từ chối lần gửi đến nhanh một cách khó tin. Con người cần vài giây để đọc và gõ; nhiều tập lệnh gửi chỉ trong một phần giây. Dấu thời gian phải được kiểm tra trên máy chủ và chống sửa đổi, chẳng hạn bằng chữ ký hoặc lưu trong phiên — trường thời gian ẩn đơn thuần sẽ bị bot viết lại. Hãy giữ ngưỡng thấp vì tính năng tự động điền cũng khiến người thật thao tác nhanh. Bot chỉ cần chờ vẫn đi qua: bẫy thời gian là bộ lọc, không phải bức tường.

CAPTCHA: hiệu quả nhưng có cái giá phải trả

CAPTCHA yêu cầu bằng chứng rằng không có bot đang hoạt động — từ câu đố hình ảnh tới kiểm tra chạy nền; dịch vụ phổ biến gồm reCAPTCHA, hCaptcha, Cloudflare Turnstile và Friendly Captcha. Nó ngăn phần lớn hoạt động tự động hóa thông thường, nên rất phổ biến. Nhưng mỗi câu đố hiển thị đều là rào cản khiến một số khách bỏ cuộc, và phần lớn dịch vụ tải tập lệnh bên thứ ba, đặt ra câu hỏi về quyền riêng tư và sự đồng ý. CAPTCHA cũng chỉ hữu ích khi được cấu hình đúng: khóa website thử nghiệm công khai, widget không có tập lệnh hoặc token không bao giờ được máy chủ xác minh trông giống bảo vệ nhưng thực ra không phải. Kiểm tra miễn phí trên formexposed.com chỉ ra các lỗi đó từ bên ngoài.

Khả năng tiếp cận là một phần của cái giá này. Câu đố hình ảnh loại trừ người mù và nhiều người có thị lực kém; phương án âm thanh không giúp người vừa khiếm thính vừa khiếm thị, còn nhiệm vụ logic khó gây gánh nặng cho người suy giảm nhận thức. Tiêu chí thành công 1.1.1 của WCAG 2.2 yêu cầu nội dung thay thế bằng văn bản mô tả mục đích CAPTCHA và các hình thức thay thế cho những giác quan khác nhau. Kiểm tra chạy nền tránh được phần lớn vấn đề này, nhưng khi nghi ngờ, phương án dự phòng thường lại là câu đố hình ảnh — hãy thử cả đường đi đó bằng bàn phím và trình đọc màn hình.

Token CSRF: chống giả mạo, không phải chống thư rác

Token CSRF là giá trị ngẫu nhiên mà máy chủ đặt vào biểu mẫu và chờ nhận lại. Nó được thiết kế để chống giả mạo yêu cầu liên trang, khi một website khác khiến trình duyệt của khách gửi yêu cầu mà người đó không hề định gửi. Trên biểu mẫu liên hệ công khai, nó có tác dụng phụ: bot gửi thẳng tới địa chỉ biểu mẫu mà không tải trang sẽ bị từ chối. Bot nào lấy trang rồi gửi lại token đều đi qua. Phần lớn framework và tiện ích biểu mẫu vốn đã có token CSRF — hãy giữ chúng bật, nhưng đừng tính chúng là biện pháp chống thư rác.

Những việc phải diễn ra trên máy chủ

• Kiểm tra lại mọi trường trên máy chủ: trường bắt buộc, độ dài, định dạng e-mail và không cho phép xuống dòng trong các trường được đưa vào phần đầu e-mail.
• Xác minh token CAPTCHA và bằng chứng công việc trong mỗi lần gửi, qua dịch vụ phát hành hoặc trong mã của bạn, và từ chối token bị dùng lại.
• Giới hạn số lần gửi theo địa chỉ IP và khoảng thời gian. Điều này ngăn gửi dồn dập từ một nguồn; thư rác phân tán qua nhiều địa chỉ cần những lớp khác.
• Cân nhắc bằng chứng công việc: trước khi gửi, trình duyệt giải một tác vụ tính toán nhỏ. Khách không thấy câu đố và không có theo dõi, nhưng gửi hàng loạt sẽ trở nên tốn kém.

Kết hợp hợp lý: hai hoặc ba lớp

1. 1Bắt đầu bằng các lớp vô hình: honeypot có khả năng tiếp cận và bẫy thời gian có chữ ký, cả hai đều được kiểm tra trên máy chủ.
2. 2Thêm giới hạn tần suất theo địa chỉ IP để một nguồn duy nhất không thể gửi ồ ạt vào biểu mẫu.
3. 3Nếu thư rác có chủ đích vẫn lọt qua, thêm bằng chứng công việc hoặc CAPTCHA — ưu tiên loại không có câu đố hiển thị và có phương án thay thế dễ tiếp cận.
4. 4Giữ token CSRF do framework cung cấp — như phần bổ sung, không phải biện pháp phòng vệ.
5. 5Thử kết quả như khách truy cập — chỉ dùng bàn phím, dùng trình đọc màn hình, trên điện thoại — và kiểm tra rằng tin nhắn thật vẫn đến.

Trên nhiều website, honeypot, bẫy thời gian và giới hạn tần suất kết hợp đã loại bỏ phần lớn thư rác thông thường mà không tạo rào cản nhìn thấy được; CAPTCHA là phương án dự trữ khi như vậy chưa đủ. Trên WordPress, tiện ích formexposed miễn phí kết hợp honeypot, kiểm tra thời gian và bằng chứng công việc mà không cần Google. Để biết biểu mẫu thể hiện gì từ bên ngoài — có những lớp nào, CAPTCHA có được cấu hình hiệu quả không — kiểm tra miễn phí trên formexposed.com chỉ cần tên miền, không cần tài khoản. Nó không nhìn thấy mã máy chủ, nên phần phía máy chủ vẫn là trách nhiệm của bạn.