Web Formlarında Spam Koruması: CAPTCHA, Honeypot ve Doğrulama

Kısa cevap: Web formlarına gelen spam, çoğunlukla formları otomatik dolduran botlardan kaynaklanır ve katmanlı bir korumayla büyük ölçüde engellenir. İlk katman, kullanıcıya görünmeyen ama botların doldurduğu honeypot alanıdır; ikinci katman görünmez ya da skor tabanlı CAPTCHA gibi bot tespit hizmetleridir; üçüncü katman ise sunucu tarafında alan doğrulaması, gönderim hızı sınırı ve içerik filtresidir. Amaç gerçek ziyaretçiyi zorlamadan botları durdurmaktır; bu yüzden zor bulmacalar yerine önce görünmez yöntemler tercih edilmeli, form gönderimleri de mümkünse site veritabanında yedeklenmelidir.

Koruma yöntemleri

• Honeypot alanı: Ziyaretçiye gizlenen bir alan eklenir; bu alan dolu gelirse gönderim bot kabul edilip reddedilir. Kullanıcıya hiçbir ek adım yüklemez.
• Zaman kontrolü: Sayfa açıldıktan sonra insanın formu dolduramayacağı kadar kısa sürede gelen gönderimler şüpheli sayılır.
• Görünmez CAPTCHA: Ziyaretçinin davranışına göre risk değerlendiren hizmetler çoğu kullanıcıya soru sormadan çalışır; yalnızca şüpheli durumda doğrulama ister.
• Sunucu tarafı doğrulama: E-posta ve telefon biçimi, alan uzunlukları ve zorunlu alanlar tarayıcıda değil sunucuda da kontrol edilir.
• Hız sınırı: Aynı kaynaktan kısa sürede gelen çok sayıda gönderim sınırlandırılır.
• İçerik filtresi: Çok sayıda bağlantı içeren ya da bilinen spam kalıplarına uyan mesajlar ayrılır.

Uygulama sırası

1. Form eklentisinin ya da altyapının yerleşik spam özellikleri etkinleştirilir.
2. Honeypot ve zaman kontrolü eklenir.
3. Spam devam ediyorsa görünmez CAPTCHA ya da bot tespit hizmeti devreye alınır.
4. Gönderimler site veritabanında saklanır, e-posta bildirimi kaybolsa bile talepler görülebilir.
5. Bir süre spam klasörü izlenir; gerçek talepler engelleniyorsa kurallar gevşetilir.

Dikkat edilmesi gerekenler

• Üçüncü taraf CAPTCHA hizmetleri ziyaretçi verisi işleyebilir; aydınlatma metni ve çerez düzeninde belirtilmelidir.
• Zor okunur resimli doğrulamalar erişilebilirliği bozar ve dönüşümü düşürür.
• Form bildirim e-postaları kimlik doğrulaması yapılmış bir e-posta adresinden gönderilmelidir; aksi halde gerçek talepler de spama düşebilir.
• Formdan gelen içerik, e-postaya ya da panele aktarılırken zararlı kodlara karşı temizlenir.

Form düzenini kurumsal teklif formu ve talep toplama, kişisel veri gerekliliklerini KVKK uyumlu çerez ve form düzeni, bildirim e-postalarının teslimini SPF, DKIM ve DMARC yazımızda anlattık.

Sık sorulan sorular

Honeypot tek başına yeterli mi?

Basit botların önemli bir bölümünü durdurur; ancak formları hedef alan gelişmiş botlar ve elle gönderilen spam için görünmez CAPTCHA, hız sınırı ve içerik filtresiyle birlikte kullanılması daha etkilidir.

CAPTCHA site hızını ve SEO’yu etkiler mi?

Harici betik yüklediği için sayfa hızını bir miktar etkileyebilir. Betiği yalnızca form bulunan sayfalarda yüklemek bu etkiyi azaltır. Hız ölçümünü Core Web Vitals yazımızda ele aldık.

Formdan gelen talepler e-postaya ulaşmıyorsa ne yapılmalı?

Önce form gönderimlerinin site panelinde kaydedilip kaydedilmediği kontrol edilir. Kayıt varsa sorun e-posta gönderimindedir; site e-postaları doğrulanmış bir SMTP hesabı üzerinden gönderilmelidir. Ayrıntılar iletişim sayfası nasıl olmalı yazımızda.