Google reCAPTCHA soll Menschen von Bots unterscheiden. Dazu lädt die Website ein Skript von www.google.com/recaptcha und weitere Dateien von www.gstatic.com. Nach Angaben von Google sammelt reCAPTCHA Angaben zu Hard- und Software des Geräts und sendet sie zur Auswertung an Google. Viele Themes und Plugins laden reCAPTCHA auf jeder Seite, nicht nur dort, wo ein Formular steht.
Vier Verfahren ohne fremden Server
Honeypot
Ein Feld, das Menschen nicht sehen. Bots füllen es aus, Menschen nicht. Steht etwas darin, verwirft der Server die Nachricht. Für Besucher ändert sich nichts.
Zeitprüfung
Der Server merkt sich, wann er das Formular ausgeliefert hat. Kommt die Antwort schon nach zwei Sekunden, hat sie kein Mensch geschrieben.
Proof of Work
Der Browser löst im Hintergrund eine kleine Rechenaufgabe, bevor das Formular abgeschickt wird. Für einen Besucher ist das kaum spürbar, für einen Bot mit Tausenden Nachrichten kostet es viel Rechenzeit. Bekannt ist die quelloffene Bibliothek ALTCHA.
Inhaltsprüfung
Der Server prüft die Nachricht selbst, etwa auf viele Links oder typische Spam-Wörter. Gut als Ergänzung.
Oft hilft schon die Kombination aus Honeypot und Zeitprüfung. Reicht das nicht, kommt Proof of Work dazu.
Joomla
Joomla bringt seit Version 6.1 das Plugin „CAPTCHA - Proof of Work“ mit. Es arbeitet mit ALTCHA und braucht keinen fremden Server.
- Suchen Sie unter System → Plugins nach „Proof of Work“ und aktivieren Sie das Plugin.
- Wählen Sie in der Konfiguration (System → Konfiguration, Reiter „Website“) unter „Standard Captcha“ den Eintrag „CAPTCHA - Proof of Work“.
- Prüfen Sie Formular-Erweiterungen einzeln: Viele haben eine eigene Captcha-Einstellung, die die Vorgabe von Joomla übergeht.
WordPress
WordPress hat für Formulare keinen eingebauten Spam-Schutz. Viele Formular-Plugins bieten reCAPTCHA an. Wählen Sie stattdessen einen Schutz, der auf Ihrem Server läuft: Honeypot, Zeitprüfung oder Proof of Work, eingebaut oder als Erweiterung des Formular-Plugins.
Auch andere bekannte Dienste prüfen auf fremden Servern: Cloudflare Turnstile und hCaptcha laden Dateien von ihren Anbietern, Akismet prüft Kommentare und Nachrichten auf den Servern von Automattic.
So prüfen Sie es
Öffnen Sie mehrere Seiten, nicht nur die Kontaktseite, in einem privaten Fenster und filtern Sie im Netzwerk-Tab (F12) nach recaptcha, gstatic, hcaptcha und challenges.cloudflare.com.
Was sonst zu einem datensparsamen Formular gehört: Kontaktformular datensparsam gestalten.