ALTCHA: Datenschutz
ALTCHA Spam-Schutz für Shopware 6.7 - welche Daten gespeichert werden, wie lange, was ins Log gelangt, welche Anfragen der Server stellt und was beim Deinstallieren entfernt wird
ALTCHA Spam-Schutz: Datenschutz
Diese Dokumentation bezieht sich immer auf die aktuellste veröffentlichte Version.
Live Demo: Teste dieses und weitere Plugins live — ohne Installation, ohne Risiko: demo.markus-michalski.net
Diese Seite beschreibt, was das Plugin technisch verarbeitet. Die rechtliche Bewertung für deinen Shop, etwa Datenschutzerklärung oder Cookie-Banner, liegt bei dir.
Im Browser des Besuchers
- Das Widget kommt aus dem Plugin (
bundles/mmdaltchaintegration/altcha/), es wird nichts von einem CDN oder einem Drittanbieter geladen. - Die einzige Anfrage des Widgets geht an den eigenen Shop:
GET /altcha/challenge. - Das Plugin setzt keine Cookies und nutzt kein Local Storage. Das Widget bringt eine optionale Cookie-Funktion mit, die das Plugin nicht einschaltet.
- Das Widget zeigt in seiner Fußzeile einen Link zu altcha.org. Der Link löst keine Anfrage aus, solange ihn niemand anklickt.
Was in der Datenbank landet
| Tabelle | Inhalt | Aufbewahrung |
|---|---|---|
mmd_altcha_rate_limit_log |
HMAC-SHA256-Hash der IP-Adresse (ip_hash), Aktion (contact_form, newsletter, registration, challenge), Verkaufskanal, Zeitstempel |
Der Task mmd_altcha.rate_limit_cleanup löscht Einträge, die älter als 24 Stunden sind |
mmd_altcha_used_challenge |
Nonce der benutzten Challenge, Ablaufzeitpunkt | Wird nach Ablauf der Challenge gelöscht, ebenfalls durch den Cleanup-Task |
Die IP-Adresse selbst speichert das Plugin nicht. Der Hash entsteht mit dem APP_SECRET des Shops als Schlüssel. Ändert sich dieser Wert, passen neue Hashes nicht mehr zu alten Einträgen. Läuft der Cleanup-Task nicht (kein Message Worker), bleiben die Einträge bestehen.
Den signierten Zeitstempel der Mindest-Ausfüllzeit speichert der Shop nicht, er steckt nur im Formularfeld.
Was ins Log gelangt
| Eintrag | Inhalt |
|---|---|
| "Spam attempt blocked", "Newsletter spam attempt blocked", "Registration spam attempt blocked" | Ablehnungsgrund (reason), IP-Hash, Verkaufskanal |
| "ALTCHA gibberish check ..." | Aktion, Verkaufskanal, Score und Gründe wie pattern_words=60%, nie der eingegebene Text |
| "ALTCHA disposable domain list refreshed" und "ALTCHA disposable domain refresh failed" | Anzahl der Domains bzw. die Fehlermeldung |
Ausgehende Anfragen des Servers
Bei einer Formularprüfung stellt der Shop keine Anfrage an Dritte. Eine Ausnahme gibt es nur für die Wegwerf-Domain-Liste: Der wöchentliche Task (nur bei global aktiver Prüfung) und der Befehl mmd:altcha:update-disposable-domains laden die Liste per GET von raw.githubusercontent.com (Repository disposable-email-domains/disposable-email-domains). Dabei werden keine Besucher- oder Formulardaten übertragen. Willst du das ausschließen, lässt du die Wegwerf-E-Mail-Prüfung aus oder führst den Befehl nie aus, dann nutzt der Shop den mitgelieferten Snapshot.
Deinstallation
Ohne die Option "Daten behalten" entfernt das Plugin beide Tabellen und alle Konfigurationswerte, siehe Installation.