Spam-Anmeldungen stoppen¶
Ein offenes Anmeldeformular wird gefunden. Was Sie dagegen einschalten, in welcher Reihenfolge — und warum Sie kein Captcha brauchen.
Woran Sie es erkennen¶
| Symptom | |
|---|---|
Abonnenten mit Namen wie asdkjh oder einer Internetadresse im Namensfeld |
Das häufigste Muster: Eingetragen wird nicht, um den Newsletter zu bekommen, sondern damit Sie den Verweis im Backend sehen |
| Viele Einträge auf auf Bestätigung warten, alle in derselben Minute | Ein Programm hat das Formular gefunden |
| Beschwerden über Bestätigungsmails, die niemand angefordert hat | Jemand benutzt Ihr Formular, um ein fremdes Postfach zuzuschütten |
| Anmeldungen von Wegwerfadressen | Wenig schädlich, aber tote Adressen in der Liste |
Der zweite und dritte Fall sind die ernsten. Beide kosten Zustellbarkeit: Wenn Ihr Server Bestätigungsmails an Leute schickt, die sie nicht wollten, leidet der Ruf Ihrer Absenderdomain.
Schritt 1: Den Spamschutz einschalten¶
Newsletter → Konfiguration → Module → Spamschutz → Modul aktiviert: Ja
Mehr nicht. Lassen Sie alle Vorgaben stehen.
Damit laufen drei Schichten:
| Was sie tut | |
|---|---|
| Lockfeld | Ein für Besucher unsichtbares Feld. Wer es ausfüllt, ist keiner |
| Verweildauer | Wer sofort absendet, hat nicht ausgefüllt |
| Inhaltsprüfung | Internetadressen im Namensfeld, gemischte Schriftsysteme in einem Wort und Ähnliches |
| Ratenbegrenzung | Drei Versuche je Adresse und Stunde, 60 insgesamt |
Ihre Besucher merken davon nichts.
Schritt 2: Eine Woche warten und nachsehen¶
Unten auf der Modulseite steht Was der Schutz abgewiesen hat — je Abweisungsgrund eine Zahl.
| Was oben steht | Was es heißt |
|---|---|
| Vor allem Lockfeld ausgefüllt | Einfache Programme. Der Schutz tut, was er soll |
| Vor allem Internetadresse in einem Namensfeld | Jemand will Verweise in Ihrem Backend unterbringen |
| Viel Zu schnell abgeschickt | Programme — oder Ihre Mindestverweildauer ist zu hoch |
| Ratenbegrenzung erreicht in größerer Zahl | Ein gezielter Ansturm. Weiter mit Schritt 3 |
| Überall Null | Es ist ruhig. Lassen Sie alles, wie es ist |
Und sehen Sie in die Abonnentenliste: Kommt noch etwas durch?
Schritt 3: Nur wenn nötig, die Rechenaufgabe¶
Erst wenn trotz Schritt 1 weiter Eintragungen durchkommen.
Rechenaufgabe im Hintergrund: Ja, Schwierigkeit mittel.
Der Browser rechnet, während der Besucher das Formular ausfüllt. Er merkt nichts davon; für ein Programm, das tausend Anmeldungen schicken will, wird es teuer.
Hoch ist auf einem alten Telefon spürbar. Nehmen Sie es nur, wenn mittel nicht reicht.
Schritt 4: Einzelne Domains sperren¶
Wenn die Eintragungen alle von derselben Wegwerf-Domain kommen:
Gesperrte E-Mail-Domains, eine je Zeile. Gesperrt ist die Domain selbst und alles darunter.
Das ist Symptombekämpfung
Es gibt Hunderte solcher Anbieter, und jede Woche kommt einer dazu. Sperren Sie die zwei, drei, die bei Ihnen wirklich auftauchen, und halten Sie sich nicht damit auf.
Schritt 5: Die Ratenbegrenzung nachschärfen¶
Bei einem anhaltenden Ansturm:
| Einstellung | Vorgabe | Enger |
|---|---|---|
| Anmeldeversuche je Adresse und Stunde | 3 | 2 |
| Anmeldungen insgesamt je Stunde | 60 | 20 |
Die zweite Zahl trifft auch echte Besucher
Wenn Ihr Newsletter gerade in einer Zeitung erwähnt wurde und sich hundert Leute in einer Stunde anmelden, weisen Sie ab dem einundzwanzigsten alle ab.
Setzen Sie sie nur im Ernstfall herunter, und stellen Sie sie danach zurück.
Was Sie nicht tun sollten¶
Kein Captcha einschalten¶
Das Captcha-Modul mit Google reCAPTCHA hält ungefähr dasselbe ab und kostet Sie:
| Die IP-Adresse jedes Besuchers geht an Google LLC | |
| Dazu Gerätemerkmale und Verhalten | |
| Sie brauchen eine Einwilligung, bevor etwas geladen wird | |
| Sie brauchen einen eigenen Abschnitt in der Datenschutzerklärung | |
| Ein Teil Ihrer Besucher gibt auf, weil er das Rätsel nicht lösen will |
Der Spamschutz tut dasselbe, ohne davon irgendetwas.
Läuft bei Ihnen das Captcha-Modul: Schalten Sie erst den Spamschutz ein, probieren Sie eine Anmeldung durch, und schalten Sie danach das Captcha ab. Die Schlüssel bleiben gespeichert.
Double-Opt-in nicht abschalten¶
Es ist die zweite Verteidigungslinie: Selbst wenn ein Programm durchkommt, entsteht kein aktiver Abonnent — die Bestätigungsmail bleibt unbeantwortet.
Sehen Sie gelegentlich nach und löschen Sie, was seit Monaten auf die Bestätigung wartet.
Die Anmeldung ohne JavaScript nicht abschalten¶
Die Einstellung Anmeldung ohne JavaScript zulassen auszuschalten hält ein paar Programme mehr ab — und sperrt Vorleseprogramme, alte Geräte und Besucher mit strengen Browsereinstellungen aus.
Aufräumen, was schon drin ist¶
- Newsletter → Abonnenten, Statusfilter auf Bestätigung warten.
- Nach dem Datum sortieren und ansehen, was in den betroffenen Minuten hereinkam.
- Die betroffenen Zeilen ankreuzen, Massenaktion Abonnenten löschen.
Bei Einträgen mit erkennbarem Namen und plausibler Adresse: lieber stehenlassen und die Opt-in-Mail erneut schicken. Es könnte ein echter Mensch sein.
Wenn Sie eine eigene Formularvorlage haben¶
Der Spamschutz hängt an einer Zeile in der Vorlage:
<?php $this->callMods( 'register_form' ); ?>
Fehlt sie in Ihrer eigenen Fassung unter wpng_views oder user_views,
kommen Lockfeld und Zeitnachweis nicht ins Formular. Abgewiesen wird
deswegen niemand — es prüfen dann nur noch Inhalt und Rate, und die halbe
Wirkung ist weg.
Sehen Sie nach, wenn der Schutz nichts abweist, obwohl weiter Spam hereinkommt.