Ловушка (honeypot)
Поле формы, невидимое человеку, но заметное автоматике. Заполнено — значит, форму отправила программа.
Приём простой и почти бесплатный. В форму добавляется поле, спрятанное стилями. Человек его не видит и заполнить не может. Скрипт, который заполняет всё подряд, впишет туда значение и на этом выдаст себя.
Три детали, от которых зависит, сработает ли.
Прятать стилями, а не через type="hidden". Авторы ботов давно знают про ловушки и обходят поля со скрытым типом стороной.
Название должно выглядеть настоящим. website, fax, company2 —
да. honeypot — нет.
Добавить aria-hidden и tabindex="-1". Иначе поле увидит
скринридер, и человек со слабым зрением его заполнит. Заблокировать
именно его — худший из возможных исходов.
Ловушка снимает основную массу автоматического спама, но не спасает от целевой атаки на конкретный сайт: там форму изучают руками.
Что с этим делать
Страницы о защите от того, что описано выше: как это выглядит на сайте и что делает BotBan.
Смежные термины
Подробнее в блоге
- Сколько ботов приходит на сайты: данные 14 сайтов за 30 дней Месяц журнала 14 сайтов, 20,3 млн запросов к страницам: больше половины движок счёл подозрительными. Объясняем, откуда такая цифра, почему людей при этом не задевают и почему в рекламе ботов почти нет, а в формах — треть.
- Проверка сайта на ботов: бесплатные инструменты и что они на самом деле показывают Метрика не видит тех, кто не выполняет скрипт, лог не отличает Chrome от программы, назвавшейся Chrome, а проверка адреса ничего не знает о запросе. Разбираем пять бесплатных способов проверить сайт на ботов и слепое пятно каждого.
- Защита интернет-магазина от ботов: что настроить в первую очередь У магазина больше уязвимых мест, чем у обычного сайта, и больше того, что нельзя ломать. Порядок настройки — шаг за шагом.