une façon très simple est de fournir certains champs comme <textarea style="display:none;" name="input"></textarea> et de rejeter toutes les réponses qui ont ceci rempli.

une autre approche consiste à générer le formulaire entier (ou seulement les noms des champs) en utilisant Javascript; peu de bots peuvent l'exécuter.

de toute façon, vous ne ferez pas beaucoup contre les" bots " en direct de Taiwan ou de L'Inde, qui sont payés 0,03 $Par lien posté, et de faire leur vie de cette façon.

j'ai une approche simple pour arrêter les spammeurs qui est 100% efficace, au moins dans mon expérience, et évite l'utilisation de reCAPTCHA et des approches similaires. Je suis passé de près de 100 spams par jour sur l'un des formulaires html de mes sites à zéro pour les 5 dernières années une fois que j'ai mis en œuvre cette approche.

cela fonctionne en profitant des capacités D'ALIAS d'e-mail de la plupart des scripts de gestion de formulaires html (j'utilise FormMail.pl), ainsi qu'un "code" de soumission graphique, qui est facilement créés dans le plus simple des programmes graphiques. Un tel graphique inclut le code M19P17nH et l'invite ", Veuillez saisir le code à gauche".

cet exemple particulier utilise une séquence aléatoire de lettres et de chiffres, mais j'ai tendance à utiliser des versions non anglaises de mots familiers à mes visiteurs (par exemple"pnofrtay"). Notez que l'invite pour le champ de formulaire est intégré dans le graphique, plutôt que figurant sur le formulaire. Ainsi, pour un robot, ce champ de forme ne présente aucun indice quant à son objet.

la seule vraie astuce ici est de s'assurer que votre html de forme attribue ce code à la variable" destinataire". Ensuite, dans votre programme de messagerie, assurez-vous que chaque code que vous utilisez est défini comme un pseudonyme d'e-mail, qui pointe vers n'importe quelle adresse e-mail que vous voulez utiliser. Comme il n'y a pas d'invite de quelque nature que ce soit sur le formulaire pour qu'un robot puisse lire et aucune adresse e-mail, il n'a aucune idée de ce qu'il faut mettre dans le champ de formulaire vide. S'il ne met rien dans le champ de forme ou quoi que ce soit à l'exception des codes acceptables, la présentation du formulaire échoue avec une erreur de "mauvais destinataire". Vous pouvez utiliser un graphique différent sur différentes formes, bien que ce ne soit pas vraiment nécessaire dans mon expérience.

bien sûr, un être humain peut résoudre ce problème en un éclair, Sans tous les problèmes associés à reCAPTCHA et similaires, plus élégants, schémas. Si un spammer humain répond à l'échec du destinataire et programme le code image dans le robot, vous pouvez le changer facilement, une fois que vous réalisez que le robot a été dur-codé pour répondre. En cinq ans d'utilisation de cette approche, je n'ai jamais eu de spam à partir de l'un des formulaires sur que je l'utilise et je n'ai jamais eu une plainte de la part des utilisateurs humains des formes. Je suis certain que cela pourrait être battu avec la capacité OCR dans le robot, mais je n'ai jamais eu cela se produire sur aucun de mes sites qui utilisent des formes html. J'ai également utilisé des "spam traps" (code html caché "come hither" qui pointe vers mes politiques anti-spam) à bon effet, mais ils étaient seulement efficace à 90%.

je pense à beaucoup de choses ici:

1. en utilisant JS (bien que vous ne le vouliez pas) pour suivre le déplacement de la souris, appuyez sur la touche, cliquez sur
2. obtenir l'url de référence (qui dans ce cas devrait être un du même domaine) ... l'utilisateur normal doit naviguer sur le site avant d'atteindre le formulaire de contact: PHP: comment obtenir L'URL de referrer?
3. utilisant une variable $_SESSION pour acquérir la PI et vérifier le formulaire soumettre contre cette liste D'IPs
4. remplissez un champ de texte avec du texte fictif que vous pouvez vérifier du côté du serveur s'il a été écrasé
5. vérifier la version du navigateur: http://chrisschuld.com/projects/browser-php-detecting-a-users-browser-from-php.html ... Il est clair qu'un bot n'utilise pas un navigateur mais juste un script.
6. utilisez AJAX pour envoyer les champs un par un et vérifier la différence dans le temps entre les observations
7. utilisez une fausse page avant/ après le formulaire, juste pour envoyer une autre entrée

une autre option au lieu de faire des lettres et des nombres aléatoires comme le font de nombreux sites web, est de faire des images aléatoires d'objets reconnaissables. Demandez ensuite à l'utilisateur de taper soit quelle couleur est quelque chose dans l'image, ou ce que l'objet lui-même est.

en somme, chaque solution aura ses avantages et ses inconvénients. Vous allez devoir trouver une médiane heureuse entre trop difficile pour les utilisateurs de passer le mécanisme antispam et le nombre de robots spam qui peuvent passer à travers.

la meilleure solution que j'ai trouvé pour éviter d'être débordé par les bots est d'utiliser une question ou un champ très trivial sur votre formulaire.

Essayez d'ajouter un champ comme celui-ci :

• Copie "bonjour" dans la boîte de côté
• 1+1 = ?
• Copiez le nom du site Web dans la case

ces astuces demandent à l'utilisateur de comprendre ce qui doit être entré sur le formulaire, ce qui rend beaucoup plus difficile pour être la cible de remplissage de bot massive.

MODIFIER

à L'arrière de cette méthode, comme vous l'avez indiqué dans votre question, c'est l'étape supplémentaire pour l'utilisateur de valider son formulaire. Mais, à mon avis, il est beaucoup plus simple qu'un captcha et le overhead lors du remplissage du formulaire n'est pas plus de 5 secondes, ce qui semble acceptable du point de vue de l'utilisateur.

il y a un tutorial à ce sujet sur le site de JQuery. Bien Qu'il soit JQuery l'idée est cadre indépendant.

si JavaScript N'est pas disponible, alors vous pourriez avoir besoin de revenir à L'approche de type CAPTCHA.

la manière simple que j'ai trouvé pour faire ceci est de mettre un champ avec une valeur et demander à l'utilisateur de supprimer le texte dans ce champ. les robots ne font que les remplir. si le champ n'est pas vide, cela signifie que l'utilisateur n'est pas humain et il ne sera pas affiché. c'est le même but d'un code captcha.

c'est juste une idée, id utilisé que dans mon application et fonctionne bien

vous pouvez créer un cookie sur le mouvement de la souris avec javascript ou jquery et dans la vérification côté serveur si le cookie existe, parce que seuls les humains ont la souris, le cookie peut être créé seulement par eux le cookie peut être un timestamp ou un token qui peut être validé

Use 1) formulaire avec des jetons 2) Vérifier la forme à la forme retard avec adresse IP 3) Bloc IP (facultatif)

d'après mon expérience, si le formulaire n'est qu'un formulaire de" contact", vous n'avez pas besoin de mesures spéciales. Spam obtenir décemment filtré par les services de courriel Web (vous pouvez suivre les demandes de formulaire Web via des scripts de serveur pour voir ce qui atteignent effectivement votre courriel, bien sûr je suppose que vous avez un bon service de courriel Web: d)

Btw j'essaie de ne pas compter sur les sessions pour cela (comme, compter comment plusieurs fois un bouton est cliqué pour prévenir les surcharges).

Je ne pense pas que ce soit bon, en effet ce que je veux réaliser est de recevoir des e-mails des utilisateurs qui font une action particulière parce que ce sont les utilisateurs qui m'intéressent (par exemple, les utilisateurs qui ont regardé la page" CV " et utilisé le bon formulaire de contact). Donc si l'utilisateur fait quelque chose que je veux, je commence à suivre sa session et à configurer un cookie (j'ai toujours configuré le cookie de session, mais quand je ne démarre pas une session c'est juste un faux cookie fait pour croire que l'Utilisateur a une session). Si l'utilisateur fait quelque chose indésirable Je ne prends pas la peine de garder une session pour lui donc pas de surcharge, etc.

aussi, il serait agréable pour moi que les services de publicité offrent une sorte d'api(peut-être que cela existe déjà) pour voir si l'utilisateur" regardé l'annonce", il est probable que les utilisateurs regardant des annonces sont de véritables utilisateurs, mais si elles ne sont pas vraiment bien au moins vous obtenez 1 Vue de toute façon donc rien de perte. (et croyez-moi, les annonces, les contrôles sont plus sophistiqués que ce que vous pouvez faire seul)

en fait le piège avec affichage: Aucun fonctionne comme un charme. Il est utile de déplacer la déclaration CSS vers un fichier contenant des feuilles de style globales, ce qui forcerait les robots spam à les charger eux aussi (une déclaration directe style="display:none;" pourrait probablement être interprétée par un bot spam, tout comme une déclaration de style local dans le document lui-même).

ceci combiné avec d'autres contre-mesures devrait le rendre sans objet pour tous les robots de spam pour décharger leurs déchets (j'ai un livre d'or sécurisé avec une variété de mesures, et jusqu'à présent ils sont tombés dans mes pièges primaires - cependant, si un bot les contourner, Il ya d'autres prêts à déclencher).

ce que j'utilise est une combinaison de faux champs de formulaire (également décrit comme des champs invalides dans le cas où un navigateur est utilisé qui ne gère pas CSS en général ou affichage: Aucun en particulier), des contrôles de santé (I. E. est le format de l'entrée est-il valide?), horodatage (soumissions trop rapides et trop lentes), MySQL (pour la mise en œuvre des listes noires basées sur les adresses e-mail et IP ainsi que sur les filtres d'inondation), DN-BLS (E. G. the SBL+XBL from Spamhaus), text analysis( E. G. mots qui sont une indication forte pour le spam) et e-mails de vérification (pour déterminer si l'adresse e-mail fournie est valide ou non).

une note sur les courriers de vérification: cette étape est entièrement facultative, mais quand on choisit de l'implémenter, cette processus doit être aussi facile à l'utilisation que possible (c'est-à-dire, il doit se limiter à cliquer sur un lien contenu dans l'e-mail) et de faire l'adresse e-mail en question d'être whitelisted pour une certaine période de temps afin que les vérifications ultérieures sont évitées au cas où l'utilisateur veut faire des messages supplémentaires.

1. j'utilise une méthode où il y a une boîte de texte cachée. Depuis que les bots parcourent le site ils le remplissent probablement. Puis je vérifie si elle est vide si elle n'est pas des retours de site web.

2. ajouter vérification par courriel. L'utilisateur reçoit un e-mail et doit cliquer sur un lien. Autrement jeter le post dans un certain temps.

j'ai ajouté une vérification de l'heure à mes formulaires. Les formulaires ne seront pas soumis s'ils sont remplis en moins de 3 secondes et cela a bien fonctionné pour moi surtout pour les formulaires longs. Voici la fonction de vérification de formulaire que j'appelle sur le bouton Soumettre

function formCheck(){
var timeStart; 
var timediff;

$("input").bind('click keyup', function () {
    timeStart = new Date().getTime();          
}); 
 timediff= Math.round((new Date().getTime() - timeStart)/1000);

  if(timediff < 3) { 
    //throw a warning or don't submit the form 
  } 
  else submit(); // some submit function

}

vous pouvez essayer de tricher spam-robots ajoutant l'action correcte atribute après validation Javascript. donc si le robot bloque javascript ils ne soumettent jamais correctement le formulaire.

HTML

<form id="form01" action="false-action.php">
    //your inputs
    <button>SUBMIT</button>
</form>

JAVASCRIPT

$('#form01 button').click(function(){

   //your Validations and if everything is ok: 

    $('#form01').attr('action', 'correct-action.php').on("load",function(){
        document.getElementById('form01').submit()
    });
})

j'ajoute un "rappel" après .attr() pour éviter les erreurs

avec des robots de spam de plus en plus sophistiqués et des techniques comme les navigateurs automatisés, il deviendra plus difficile de déterminer la source du spam. Mais que ce soit publié par un logiciel, un humain, ou les deux, le spam est le spam en raison de son contenu. Je pense que la meilleure solution est d'exécuter le contenu posté à travers une API anti-spam comme Cleantalk ou Akismet. Il est relativement bon marché et efficace et ne tracasse pas l'utilisateur. Vous pouvez vérifier les délais de soumission des formulaires et les autres contrôles traditionnels pour moins bots sophistiqués avant de frapper L'API.

les Robots ne peuvent pas exécuter JavaScript donc vous faites quelque chose comme l'injection d'une sorte d'élément caché dans la page avec JavaScript, puis la détection de sa présence avant la soumission du formulaire, mais attention car certains de vos utilisateurs auront aussi Javascript désactivé

sinon je pense que vous serez forcé d'utiliser une forme de client preuve de "l'humanité "

juste mes cinq cents. Si le but est d'arrêter 99% des robots ce qui sonne plutôt bien, et si 99% des robots ne peuvent pas exécuter Java-script la meilleure solution qui bat tout est simplement de ne pas utiliser un formulaire qui a une action de soumettre avec une URL de post.

si le formulaire est contrôlé via java-script et que java-script collecte les données du formulaire et les envoie ensuite via une demande HTTP, aucun robot ne peut soumettre le formulaire. Puisque le bouton Soumettre utiliserait Java-script pour lancer le code qui envoie le formulaire.