Contact Form 7 CAPTCHA

So sieht Spam über Contact Form 7 aus

Ein Formular, das jede Einsendung in eine E-Mail verwandelt, ist ein leichtes Ziel. Hat ein Bot deins einmal gefunden, folgen die Nachrichten einem Muster: Angebote für SEO und Backlinks, Links zu Casino-, Krypto- oder Phishing-Seiten, Texte in Sprachen, in denen keiner deiner Kunden schreibt, und Namen aus zufälligen Buchstaben. Das meiste schicken Skripte direkt an das Formular, oft von wechselnden IP-Adressen. Eine einzelne Adresse zu sperren bringt deshalb wenig.

Dazu kommt ein zweites Risiko. Wenn dein Formular eine Bestätigung an die eingegebene Adresse schickt (Contact Form 7 nennt das Mail (2)), kann ein Bot die Adresse eines Fremden eintragen und deine Website Mails an ihn senden lassen. Läuft das eine Weile, leidet der Ruf deiner Domain als Absender.

Wortlisten und Akismet fangen einen Teil davon im Nachhinein ab. Ein CAPTCHA greift früher: Eine Einsendung, die die Prüfung nicht besteht, wird gar nicht erst zur E-Mail.

So schützt TrustCaptcha Contact-Form-7-Formulare

Die Unterstützung für Contact Form 7 steckt in unserem WordPress-CAPTCHA-Plugin. Eine Einrichtung gibt deiner ganzen Website denselben Spamschutz für Formulare.

Öffnet ein Besucher eine Seite mit deinem Formular, startet das TrustCaptcha-Widget von selbst. Der Browser löst im Hintergrund eine kleine Proof-of-Work-Aufgabe, und je riskanter eine Anfrage aussieht, desto schwerer wird diese Aufgabe. Spam in großen Mengen zu verschicken wird dadurch langsam und teuer. Ab dem Tarif Solo berechnet TrustCaptcha zusätzlich einen Bot-Score aus technischen Merkmalen und Verhaltenssignalen: 0 heißt wahrscheinlich ein Mensch, 1 wahrscheinlich ein Bot.

Klickt der Besucher auf Senden, prüft das Plugin das Ergebnis auf deinem WordPress-Server, und zwar innerhalb der Spam-Prüfung von Contact Form 7. Besteht die Einsendung, geht die Nachricht wie gewohnt raus. Liegt der Bot-Score über deinem Threshold oder fehlt das Token, markiert Contact Form 7 die Einsendung als Spam, verschickt keine E-Mail und zeigt eine Fehlermeldung. Das Plugin schreibt den Grund in das Spam-Log von Contact Form 7. Danach setzt sich das Widget zurück. Wer sich bei der E-Mail-Adresse vertippt hat, kann sie korrigieren und erneut senden, ohne die Seite neu zu laden.

Weil TrustCaptcha an der Spam-Prüfung von Contact Form 7 ansetzt, laufen andere Anti-Spam-Filter, die dieselbe Prüfung nutzen, etwa Akismet, weiter. Seit Version 3.0 bringt das Plugin das Widget-Skript selbst mit, deine Seiten laden also kein Skript von einem fremden CDN.

reCAPTCHA oder Really Simple CAPTCHA in Contact Form 7 ersetzen

Hat eine Website mit Contact Form 7 schon ein CAPTCHA, ist es meist eines von zwei: Google reCAPTCHA über die eingebaute Integration von Contact Form 7 oder Really Simple CAPTCHA, das Bild-CAPTCHA-Plugin vom Entwickler von Contact Form 7. Beide können weg, sobald TrustCaptcha läuft. Richte zuerst TrustCaptcha ein, sende eine Testnachricht und entferne erst dann das alte CAPTCHA, damit dein Formular nie ungeschützt ist.

Umstieg von reCAPTCHA

Contact Form 7 bindet reCAPTCHA v3 im eigenen Menü unter Integration ein. Auch reCAPTCHA v3 zeigt kein Rätsel, für Besucher ändert der Wechsel also wenig.

Wenn du ein Contact Form 7 CAPTCHA ohne reCAPTCHA willst, entferne die reCAPTCHA-Schlüssel unter Integration, sobald TrustCaptcha live ist. Contact Form 7 lädt dann kein Google-Skript mehr.

Umstieg von Really Simple CAPTCHA

Really Simple CAPTCHA zeichnet auf deinem Server ein paar verzerrte Zeichen, und der Besucher tippt sie in ein Feld. Es braucht keinen externen Dienst, deshalb läuft es noch auf vielen Websites. Den Preis zahlen deine Besucher: Wer dich erreichen will, muss erst lesen und tippen, und genau solche Textbilder lesen OCR-Tools und CAPTCHA-Lösungsdienste seit Jahren.

Für den Wechsel öffnest du jedes Formular im Editor von Contact Form 7, löschst die Tags [captchac] und [captchar] und speicherst. Nutzt kein Formular sie mehr, deaktivierst du Really Simple CAPTCHA.