Ist Ihr Formular geschützt? Was ein Formular-Check sieht und was nicht

Ein Formular ohne Schutz sammelt Spam, und ein Formular mit einem Schutz, der nichts tut, sammelt denselben Spam und wiegt Sie dabei in Sicherheit. Der kostenlose Formular-Check beantwortet die erste Hälfte dieser Frage: Welchen Bot-Schutz liefert die Seite aus? Dieser Beitrag erklärt, wie Sie das Ergebnis lesen und wo seine Antwort endet.

Was der Check tut

Sie geben die Adresse einer Seite mit Formular ein. Der Check liest zuerst die robots.txt der Seite; verbietet sie den Abruf oder ist sie nicht lesbar, hört er dort auf. Sonst ruft er die eine Seite ab, mit klarem Namen (SilentShieldFormCheck), ohne Cookies, mit höchstens drei Weiterleitungen und höchstens 1 MB. Dann sucht er im HTML nach den Kennzeichen bekannter Anbieter: Skriptadressen, Elementklassen und Feldnamen. Er kennt Google reCAPTCHA, hCaptcha, Cloudflare Turnstile, Friendly Captcha und SilentShield. Gespeichert wird nichts, weder die Adresse noch das Ergebnis.

Die fünf Ergebnisse

• Jedes Formular trägt ein Kennzeichen. In jedem gefundenen Formular steht im HTML das Kennzeichen eines bekannten Anbieters. Der Schutz ist im Formular platziert.
• Nur manche Formulare tragen ein Kennzeichen. Die Liste zeigt, welchen es fehlt.
• Ein Anbieter-Skript wird geladen, aber kein Formular trägt ein Kennzeichen. Die Seite lädt das Skript eines Anbieters, doch keines ihrer Formulare enthält ein Kennzeichen. Ob und welches Formular das Skript schützt, ist ohne JavaScript nicht zu sehen.
• Im ausgelieferten HTML wurde nichts erkannt. Die Seite hat Formulare, aber weder ein Kennzeichen noch ein Skript eines bekannten Anbieters.
• Kein Formular im ausgelieferten HTML. Die Formulare entstehen womöglich erst durch ein Skript im Browser, und das sieht der Check nicht.

Was der Check nicht sieht

Der Check liest das HTML, das Ihr Server ausliefert. JavaScript führt er nicht aus. Daraus folgen vier Dinge, die Sie im Kopf behalten sollten.

• Ein Formular oder Widget, das ein Skript im Browser erzeugt, gibt es für den Check nicht. „Nichts erkannt“ heißt deshalb „nichts im ausgelieferten HTML“, nie „ungeschützt“.
• Er kann nicht sehen, ob Ihr Server die Antwort prüft. Ein Widget im Formular ohne Prüfung auf dem Server hält niemanden auf.
• Schutz, der vor der Seite sitzt, etwa eine Firewall oder ein Ratenlimit, hinterlässt im HTML keine Spur.
• Seiten hinter einer Anmeldung sind außer Reichweite, denn der Check ruft nur öffentliche Seiten ab, ohne Cookies.

Ein echtes Beispiel: unsere eigene Anmeldeseite

Als wir den Check gegen unsere eigene Anmeldeseite laufen ließen, meldete die erste Fassung zwei Anbieter, deren Skript „geladen“ werde. Die Seite lädt keinen von beiden. Die Ursache lag in den Daten der Seite selbst: Ein Menüeintrag „Alternative zu hCaptcha.“ stand in einem Inline-Skript, und der Check hielt das Wort für den Code eines Anbieters. Wir haben die Regel geändert: Ein Inline-Skript zählt nur noch, wenn es einen Anbieter aufruft (ein Render- oder Execute-Aufruf), und dieselbe Seite meldet jetzt, dass im ausgelieferten HTML nichts erkannt wurde. Die Lehre ist der Grund, warum der Check nur Tatsachen nennt: Ein Wort auf einer Seite ist kein Anbieter.

Was Sie mit dem Ergebnis tun

1. Steht ein Kennzeichen da, prüfen Sie die andere Hälfte: Senden Sie das Formular von außen mit fehlender oder falscher Antwort ab und sehen Sie, ob Ihr Server es abweist. Ein Kennzeichen zeigt nur, dass ein Widget platziert ist.
2. Wird ein Anbieter-Skript ohne Kennzeichen im Formular geladen, sehen Sie nach, wie das Widget angehängt wird. Viele Aufbauten fügen es erst im Browser hinzu, nachdem die Seite geladen ist.
3. Wurde nichts erkannt, schließen Sie nicht daraus, dass das Formular offen ist. Sehen Sie in die Protokolle Ihres Servers und darauf, was tatsächlich ankommt, und prüfen Sie, ob der Schutz auf dem Server oder vor der Seite läuft.
4. Wenn Sie eine sichtbare Aufgabe ersetzen wollen, vergleichen Sie die Möglichkeiten auf der Seite CAPTCHA-Vergleich und sehen Sie mit dem Verlustrechner, was eine sichtbare Aufgabe Sie kostet.

Der Check ist ein erster Blick auf das ausgelieferte HTML, keine Prüfung im Sinne eines Audits. Nutzen Sie ihn, um zu sehen, was Ihre Seite über sich selbst sagt, und prüfen Sie den Rest durch Absenden.