Ein Formular Honeypot ist ein verstecktes Eingabefeld, das Menschen nicht sehen und das Skripte oft fälschlich ausfüllen.
Auf dieser Seite meint das Wort dieses versteckte Feld und nicht einen Köderserver, der in einem Netz Eindringlinge beobachten soll.
So funktioniert es
Das Feld kann außerhalb des sichtbaren Bereichs liegen oder so gestaltet sein, dass eine Person im Formular nichts hineinschreibt, und der Server erwartet es leer.
Skripte, die jedes gefundene Feld füllen, schreiben oft Text in das versteckte Feld, und die Seite kann diese Sendung dann ablehnen.
Der Kniff scheitert, wenn ein vorsichtiges Skript unbekannte Felder leer lässt, deshalb ist ein verstecktes Feld nur ein billiges Signal neben anderen.
Betreiber sollten den Feldnamen nicht in öffentlichen Kommentaren ankündigen und teure Aktionen weiterhin begrenzen und authentisieren.
Konkrete Beispiele
- Ein Kontaktformular enthält ein außerhalb des Bildschirms liegendes Faxfeld, und Sendungen mit einer Faxnummer werden als automatischer Müll verworfen.
- Eine Registrierungsseite verbirgt ein Website Feld vor dem Blick, und eine Welle von Anmeldungen, die es füllen, erzeugt nie Konten.
- Ein Kommentarfeld hält eine unsichtbare Eingabe für Leser leer, während ein Skript, das jede Eingabe spiegelt, die Prüfung auslöst.
Schutzmaßnahmen
- Halten Sie das versteckte Feld aus dem sichtbaren Layout und aus dem Beschriftungstext, den ein normaler Besuch liest.
- Lehnen Sie Sendungen ab oder sondern Sie sie ab, die irgendeinen Wert in das Feld setzen, und protokollieren Sie nur so viel, wie die Kontrolle braucht.
- Kombinieren Sie das Feld mit Grenzen für wiederholte Sendungen, damit ein Skript, das unbekannte Felder überspringt, trotzdem Kosten hat.
- Nennen Sie den Feldnamen nicht in Hinweisen auf der Clientseite, die automatische Werkzeuge wahrscheinlich kopieren.
Wie CDPCaptcha hilft
Eine Proof of Work Prüfung erhöht die Kosten automatischer Formularsendungen, weil jedes Skript vor der Annahme neue Rechenarbeit leisten muss.
CDPCaptcha ist eine selbst gehostete Proof-of-Work-Prüfung im Browser, ohne Cookies, ohne Tracking und ohne Bilderrätsel.
Entwickelt und gehostet in der EU, in Deutschland, wird der Dienst unter https://cdpcaptcha.com/ beschrieben.