Как защитить от спама формы landing page без капчи?

Question

[neytan]

Есть обычный лендинг-пейдж без cms (на html / css +обработчик формы на php). На него начал идти спам. Как избавится от него? Ставил скрытое поле для спам ботов, но оно не помогает. Какие еще есть способы защиты без капчи?

Comments

[ArgosX]

Да и капча не спасет.
Посмотрите по ип адресам откуда идет спам. Заблокируйте на веб сервере или фаерволе все страны кроме тех с которыми необходимо работать.

[Антон]

Подгружайте форму аяксом в свой блок.

[SagePtr]

ArgosX, и отвалятся россияне, которые вынуждены пользоваться VPN вследствие агрессивных действий Роскомнадзора)

[ArgosX]

SagePtr, смотря какая целевая аудитория. если это подпольное казино, то конечно же отвалятся и сам помог бы отвалить)))

Answer 1

[xmoonlight]

Проще простого:
1. Изначально - img-кнопка "Заполнить форму".
2. Активация формы - по клику (динамическая, на JS).

Т.е. не давайте простым парсерам возможности определения, что страница содержит форму.

Ещё вариант:
Чекбокс спрятать за overflow:hidden и там написать: "I confirm" или "Подтверждаю" или "Даю согласие" и подобное...
С поставленной галкой, после отправки, пишем точно так же, как и обычно: "Спасибо! Ваша форма отправлена.".
На сервере - с этой галкой, сразу в бан.

И 99.9% - сразу попадутся..

Comments

[catanfa]

этот метод называется honey pot

[xmoonlight]

catanfa, да, я забыл просто... обычно его только в ИБ часто используют...

Answer 2

[Programmir]

Есть же невидимая капча от гугл

Comments

[xmoonlight]

Есть пару моментов, по которым я бы не советовал гугл-капчу (и любые подобные).

Вар.1: Если у пользователя вашего сайта токен гуглокапчи пуст или устарел - при отправке формы он должен будет обязательно пройти капчу.
А это - снижает конверсию лидов на 45-50%, т.к. не все готовы кликать картинки гугл-капчи, которой ещё и не было изначально на форме.
Т.е., это будет расценено так: "А! Обманули?! Ну и пошли вы со своим сайтом: проходите её сами...", закроет вкладку с непройденной капчей и больше никогда не вернётся.

Вар.2: сервис гугл-капчи отвалился (тех.работы, сбой, проблемы с dns, firewall на стороне гугла/посетителя) - форму никак не отправить...

Answer 3

[Виталий]

Как сказал FanatPHP , можно сделать поля-ловушки. У меня немного другой метод, но тоже довольно эффективный:
- создать НЕСКОЛЬКО полей, таких как "phone", "homepage", "skype" и др (на что фантазии хватит). Они должны быть полноценными полями, не `type=hidden`!
- сделать их на уровне CSS скрытыми (сделать класс, который их будет скрывать, либо скрывать их по каждому ID-тэгу). По коду эти поля должны выглядеть максимально естественно и не отличаться от остальных. (чтобы человек их не видел, но чтобы их видел бот и думал, что это естественные поля на форме).
- под капотом, следить за тем, чтобы эти поля были пустыми.
- если это был бот, он обязательно заполнит эти поля. И если они заполнены, то сделать вид, что всё было успешно, НО, при этом под капотом ничего не делать. Пусть бот тратит время на пустые надежды!

Comments

[Артур]

А В таком сценарии браузерный автофилл, если им воспользуются, не заполнит эти невидимые поля?

[Виталий]

Артур, не думаю, автозаполняльщик не должен вообще трогать невидимые поля, либо смотря какой. Обычно они такие, что надо ткнуть поле, лапками, и тогда подсказки чтобы всплывали под них. Можно для подстраховки на уровне жаваскриптов чистить эти поля раз в интервал. Хотя, это не нужно, надо лишь знать, что вообще эти автозаполняльщики делают, и какие именно они бывают?

Answer 4

[Павел Диденко]

А каким образом использовали скрытое поле? Я поставил скрытое поле и скрытый чек-бокс. Если что-то одно заполнено или отмечено - шлю на 3 буквы. Вроде не спамит

Comments

[San Taganeiro]

Это спам бот тупой, обычно в скрытые не пишут

[Павел Диденко]

Как раз обычно пишут. Боты грузят страницу без скрипта и заполняют все поля формы. Я возможно не правильно выразился, я делаю поле скрытым благодаря обертке с display: none, а не type hidden.

Answer 5

[Артур]

Можно сделать скрытое поле, значение в которое аяксом подгружается по событию нажатия клавиш в поле ввода текста (один раз). Конечно, на 100% не спасает, но большой процент простых ботов отсечь можно

Answer 6

[Тимур Худиев]

Можно, как говорили добавить поле-ловушку и еще реальные поля, которые будут отправляться не называй стандартными именами, типа name, phone. Называй, например field_3, field_432. Для себя в обработчике можно пометку сделать какое поле чему соответствует. От серьезной атаки не защитит конечно, но от дурачков, коих большинство, в самый раз

Comments

[xmoonlight]

Чекбокс спрятать за overflow:hidden и там написать: "I confirm" или "Подтверждаю" или "Даю согласие" и подобное...
С поставленной галкой, после отправки, пишем точно так же, как и обычно: "Спасибо! Ваша форма отправлена.".
На сервере - с этой галкой, сразу в бан.

И 99.9% - сразу попадутся..

[Тимур Худиев]

xmoonlight, Такое не пробовал) Возьму на заметку)

Answer 7

[Михаил Лялин]

платные антиспам решения

Comments

[neytan]

Можно пару примеров что бы без капчи?

Answer 8

[FanatPHP]

Сделай простую ловушку.
К примеру, поле для имени назови email, а для емейла - name.
Ну и проверяй наличие собаки в емейле и отсутствие в имени .

Comments

[Programmir]

а потом пользователь валидацию не пройдет - неверный email) надо следовать семантике

[FanatPHP]

Ну так он и не должен проходить, с неверным емейлом.

[Mr Crabbz]

И автозаполнение из браузера или хранилки паролей скажет "спасибо, братан".

[xmoonlight]

FanatPHP, Слишком сложно и, действительно (как сказал Краб Анархист), можно словить от автозаполнялщиков невозможность работы с сайтом.
Тогда уж (следуя этой стратегии), лучше давать одни нормальные имена полям изначально, а при клике на кнопку "Отправить" - отправлять эти поля через AJAX, добавив к их именам вначале или в конце prefix или suffix, соответственно.

Answer 9

[Валерий Тихомиров]

Подгрузить аяксом форму с помощью jquery .load() (если подключена эта библиотека)