English Version

Zurück zur Übersicht

ALTCHA Spam-Schutz: Konfiguration

Diese Dokumentation bezieht sich immer auf die aktuellste veröffentlichte Version.

Live Demo: Teste dieses und weitere Plugins live — ohne Installation, ohne Risiko: demo.markus-michalski.net

Die Einstellungen findest du im Shopware Admin unter Erweiterungen > Meine Erweiterungen > ALTCHA Spam-Schutz. Jede Einstellung kannst du pro Verkaufskanal überschreiben. Die folgenden Abschnitte tragen die Titel der Karten, wie sie im Admin erscheinen.

ALTCHA Spam-Schutz

Für das Kontaktformular gibt es keinen eigenen Schalter: Es ist geschützt, sobald der Hauptschalter an ist.

ALTCHA Challenge

Zur Sicherheit begrenzt das Plugin die Kosten intern auf höchstens 100000 und den Zähler auf höchstens 1000000. Ein Wert von 0 oder ein leeres Feld fällt auf den Standard zurück.

Honeypot

Das Feld heißt fax_number, wird mit position:absolute; left:-9999px aus dem sichtbaren Bereich geschoben (nicht per display:none, das manche Bots überspringen) und trägt tabindex="-1" und autocomplete="off". Eine Absendung mit nicht leerem Feld wird abgelehnt. Ein Wert, der nur aus Leerzeichen besteht, gilt als leer und wird akzeptiert.

Mindest-Ausfüllzeit

Das Formular trägt dafür einen signierten Render-Zeitstempel. Fehlt der Token oder ist er nicht echt, überspringt der Shop nur diese Schicht, die ALTCHA-Prüfung bleibt davon unberührt. Auf nicht zwischengespeicherten Seiten (zum Beispiel der Registrierung) greift die Prüfung zuverlässig. Auf HTTP-zwischengespeicherten CMS-Seiten (Kontakt, Newsletter) kann ein Bot, der die gecachte Seite abgreift, einen alten Token mitschicken und diese Schicht passieren, die übrigen Schichten greifen weiterhin.

Gibberish-Erkennung

Bewertet werden die Felder firstName, lastName, subject und comment sowie billingAddress.street und billingAddress.city, jeweils aus dem Formular, das sie mitschickt. Vor- und Nachname werden also bei Registrierung, Kontakt und Newsletter geprüft, Betreff und Nachricht beim Kontaktformular, Straße und Ort bei der Registrierung. Das schlechteste Feld entscheidet. Die Einträge im Log beginnen mit "ALTCHA gibberish check" und enthalten Aktion, Verkaufskanal, Score und Gründe, nie den Text selbst.

Empfehlung für die Einführung: Setze die Ablehnungsschwelle zunächst auf 101, sichte einige Tage die Log-Einträge und senke den Wert erst danach.

Wie der Score entsteht, steht unter Technische Details.

Wegwerf-E-Mail-Adressen

• Abgleich: Die Domain selbst und jede Elterndomain zählen: foo.mailinator.com passt, weil mailinator.com gelistet ist, notmailinator.com passt nicht. IDN-Domains werden in Punycode verglichen, wenn die PHP-Funktion idn_to_ascii (Extension intl) verfügbar ist. Geprüft wird das Feld email.
• Liste: Ein Snapshot der öffentlichen Liste disposable-email-domains (CC0) liegt dem Plugin bei, dazu einige fest eingebaute Zusatzdomains. Bei einer Prüfung ruft der Shop kein Netzwerk auf.
• Aktualisierung: Solange die Prüfung global aktiv ist, lädt ein wöchentlicher Scheduled Task die Liste nach var/mmd_altcha/. Ist sie nur für einen Verkaufskanal aktiv, führst du bin/console mmd:altcha:update-disposable-domains selbst aus. Ein fehlgeschlagener Download behält die bestehende Liste.
• Ansicht "Blockierte Domains": Unter den beiden Textfeldern zeigt die Konfiguration eine schreibgeschützte, durchsuchbare Liste aller aktuell blockierten Domains (Liste plus eigene Einträge des gewählten Verkaufskanals). So siehst du vor dem Eintragen, ob eine Domain schon abgedeckt ist. Eine gelistete Domain, die zusätzlich unter "Immer erlaubte Domains" steht, ist als "Immer erlaubt" markiert. Zum Laden braucht der Admin-Benutzer die Berechtigung, die Systemkonfiguration zu lesen.

Mehrere App-Knoten: Der Task aktualisiert die Liste nur auf dem Knoten, der ihn ausführt. Bei mehreren App-Knoten oder einem Read-Only-Container-Image führst du den Befehl auf jedem Knoten aus oder baust das Image neu, sonst nutzen die übrigen Knoten den mitgelieferten Snapshot.

Inhaltsvalidierung (veraltet)

Diese ältere, gröbere Prüfung ist zugunsten von Gibberish-Erkennung und Wegwerf-E-Mail-Prüfung veraltet. Sie wird übersprungen, sobald eine der beiden aktiv ist, und entfällt in einer künftigen Major-Version. Ohne diese beiden Optionen läuft sie mit den Standardwerten weiter.

Formular Rate Limiting

Das Limit gilt getrennt pro Formular (Kontakt, Newsletter, Registrierung) und pro IP-Adresse. Gezählt werden nur Absendungen, die alle vorherigen Prüfungen bestanden haben: Eine abgelehnte Absendung verbraucht kein Kontingent.

Hinter einem Reverse Proxy oder CDN sieht der Shop nur dann die echte Besucher-IP, wenn die vertrauenswürdigen Proxys in Symfony konfiguriert sind. Andernfalls teilen sich alle Besucher dieselbe Adresse und damit dasselbe Limit.

Challenge-Endpoint DoS-Schutz

Das Limit liegt bewusst höher als beim Formular, weil eine Seite mehrere Formulare mit je einer Challenge laden kann.

Praxisbeispiele

Strenger Schutz für einen öffentlichen Shop mit viel Spam

Spam-Schutz aktivieren: an
ALTCHA-Widget aktivieren: an
Challenge-Kosten: 4000
Gibberish-Erkennung aktivieren: an
Ablehnungsschwelle: 75
Wegwerf-E-Mail-Adressen ablehnen: an
Max. Anfragen: 2

B2B-Shop mit wenigen, aber echten Kontaktanfragen

Mindest-Ausfüllzeit: 5
Gibberish-Erkennung aktivieren: an
Ablehnungsschwelle: 101 (nur beobachten, erst nach Log-Sichtung senken)
Wegwerf-E-Mail-Adressen ablehnen: aus

Internationaler Shop mit vielen nicht-deutschen Namen

Gibberish-Erkennung aktivieren: an
Verdachtsschwelle: 70
Ablehnungsschwelle: 90

Die Trigramm-Tabelle der Gibberish-Erkennung deckt Deutsch, Englisch, Französisch, Spanisch, Italienisch und Niederländisch ab, deshalb setzt du die Schwellen bei vielen anderen Sprachen höher an.