Captcha, honeypot och andra sätt att stoppa spam

Spam från webbformulär är inte bara irriterande – det kan också skapa belastning på servrar, försämra datakvalitet och i värsta fall bli en säkerhetsrisk. Som tur är finns det lösningar på problemet.

Automatiserade program, eller bots, kan enkelt läsa av formulär på webbsajter och skicka en stor mängd felaktiga och/eller skadliga meddelanden. Spam-mej kan inte bara fylla inboxarna med falska meddelanden och dra ner kvaliteten på datan du samlar in, de kan också användas för phishing och andra attacker.  Att ha effektiva motåtgärder är därför en självklarhet.

Server-side validering

Server-side validering innebär att din egen server kontrollerar data efter att ett formulär har skickats in – men innan det accepteras eller sparas.

Exempel på validering är om e-postadressen är korrekt formaterad, om obligatoriska fält är ifyllda, om texten är orimligt lång, om samma IP har skickat väldigt många formulär eller om formuläret skickades onormalt snabbt.

Ett formulär som brukar fyllas i på under en sekund är misstänkt snabbare än vad en människa normalt hinner fylla i. Om en formulärinlämning sker för snabbt kan det automatiskt blockeras som spam genom tidsbaserad filtrering. Fiffigt, inte sant?

Lösningen påverkar inte användaren alls, och fungerar förvånansvärt bra mot majoriteten av spam.

Captcha – den klassiska lösningen

Captcha står för "Completely Automated Public Turing test to tell Computers and Humans Apart". Captcha används alltså för att avgöra om det är en människa eller en bot som skickar in ett formulär. 

Det finns flera olika typer, och de skiljer sig åt både i hur effektiva de är – och hur mycket de påverkar användaren.

• Klassisk captcha: (bokstäver och siffror i bild) 
  Exempel: “Ange tecknen du ser i bilden”
   
• Checkbox-Captcha (“I’m not a robot” eller reCAPTCHA v2)
  Exempel: En kryssruta, ibland följt av bildval (“välj alla bilder med trafikljus”)
   
• Osynlig captcha (reCAPTCHA v3)
  Systemet analyserar beteende i bakgrunden och är inget som användaren ser.

Lösningarna är tredjepartstjänster som verifierar mänskligt beteende (till skillnad från ett spamfilter som analyserar innehållet).

Här är det viktigt att välja rätt eftersom lösningen helst ska vara både effektiv och användarvänlig och även både mobilvänlig och tillgänglighetsanpassad – annars riskerar du att blockera riktiga användare.

I de flesta fall är captcha inte den bästa förstahandslösningen. Captcha kan vara motiverat när ett formulär är extra utsatt eller om det är stora problem med spam. Det kan också med fördel kombineras med andra skydd.

Honeypot – dold fälla för bots

En honeypot är ett osynligt fält som en mänsklig användare aldrig ser – men som bots ofta fyller i automatiskt. Genom att avvisa svar där detta fält är ifyllt, kan man enkelt automatiskt filtrera bort spam utan att användaren ser något av det. 

Även om det idag finns avancerade bots som är programmerade att ignorera dolda fält så är honeypots bra som första linjens försvar.

E-postverifiering

För prenumerationsformulär kan en extra e-post verifiering (så kallad double opt-in) vara ett sätt att säkerställa att en faktisk användare står bakom adressen som skickats in.

Det ger oftast också bättre kvalitet på insamlad data.

Tredjepartsfilter och blacklists (externa spamfilter)

Detta är tjänster som analyserar själva innehållet eller mönster (IP-rykte, tidigare beteende och kända spam-signaturer) över tid, exempelvis Akismet eller Cloudflare Bot Management.

Best practice

Server-side validering bör alltid finnas och för de flesta webbsajter räcker en kombination av server-side validering och honeypot.

Captcha och tredjepartsfilter används när hotbilden är högre.

Genom att kombinera tekniker kan du få ett robust skydd som både håller spam borta och ger en bra användarupplevelse.

Fler tips från webbyrån: 

• Se till att Captcha-lösningar har tillgängliga alternativ (ljud, ARIA-taggar)
• Undvik att göra formulär svårare än de behöver vara
• Kommunicera tydligt varför användaren ombeds fylla i extra steg

Bra spam-skydd är alltså inte bara tekniskt – det handlar också om att respektera användarens tid och upplevelse.