Botschutz umfasst Kontrollen, die unerwünschte Automatisierung von Besuchenden trennen und großes Skriptvolumen teurer im Betrieb machen.
Es ist die Abwehrschicht, getrennt vom Verkehr, der eingeordnet wird, und getrennt vom Gerätepool, der diesen Verkehr erzeugen kann.
So funktioniert es
Guter Schutz beginnt mit der Entscheidung, welche Automatisierung willkommen ist, etwa Werkzeuge für Barrierefreiheit, Erreichbarkeitsprüfungen und bekannte Indexer, und welche Handlungen abgelehnt oder verlangsamt werden.
Anmeldung, Konteneröffnung, Kasse und Passwortrücksetzung verdienen meist mehr Sorgfalt als eine öffentliche Artikelseite.
Zeichen können Tempo, Verhalten, Ruf und ein Nachweis sein, dass der Client Rechenarbeit geleistet hat, und kein einzelnes Zeichen sollte die ganze Richtlinie sein.
Betreibende sollten falsche Herausforderungen beobachten, weil eine Kontrolle, die echte Kunden sperrt, ein Geschäftsfehler ist, auch wenn die Skripte ebenfalls stocken.
Konkrete Beispiele
- Ein Händler setzt während eines Verkaufs stärkere Prüfungen an der Kasse und lässt den Katalog für Menschen und einen bekannten Indexer leicht lesbar.
- Eine Bank verschärft den Anmeldeschutz, wenn viele Sitzungen am ersten Geheimnis scheitern und einen ähnlichen automatisierten Rhythmus teilen.
- Ein Werkzeug für Barrierefreiheit, das eine Kundin braucht, wird zugelassen, damit dieselben Kontrollen, die ein Skript bremsen, diese Person nicht aussperren.
Schutzmaßnahmen
- Legen Sie fest, welche automatisierten Clients willkommen sind, dokumentieren Sie sie und wenden Sie strengere Kontrollen nur auf Handlungen an, die Verlust erzeugen.
- Messen Sie, wie oft echte Kunden an einer Herausforderung scheitern, und justieren Sie die Kontrolle, wenn diese Zahl höher ist, als Sie tragen können.
- Kombinieren Sie Tempo, Verhalten und Rechenkosten, statt einer einzelnen Adressliste die ganze Abwehr anzuvertrauen.
- Prüfen Sie den Schutz nach jeder größeren Kampagne, damit angepasste Angreifende nicht dauerhaft der unveränderten Regel vom Vormonat gegenüberstehen.
Wie CDPCaptcha hilft
Ein Rechennachweis im Browser erhöht die Kosten unerwünschter Automatisierung, weil jeder skriptgesteuerte Client vor dem Fortsetzen der Sitzung Rechenarbeit leisten muss.
CDPCaptcha ist eine selbst gehostete Proof-of-Work-Prüfung im Browser, ohne Cookies, ohne Tracking und ohne Bilderrätsel.
Entwickelt und gehostet in der EU, in Deutschland, wird der Dienst unter https://cdpcaptcha.com/ beschrieben.