Защита форм от спама

Как устроена защита форм от спама

Спам в формы приходит двумя путями: бот открывает страницу и заполняет форму, как человек, или отправляет заявку прямо на сервер сайта, мимо страницы. Поэтому у ДАРА ЗАЩИТЫ два слоя, и каждый включается отдельно.

• На странице — скрипт и умная капча. Скрипт оценивает посетителя от 0 до 100 и перед отправкой формы показывает капчу-пазл только подозрительным. Люди отправляют форму как обычно.
• На сервере сайта — API антиспама. Сервер отправляет заявку на проверку до того, как отправить её дальше, и получает ответ: deliver — доставить, reject — отклонить. Этот слой ловит и прямые отправки.

Что проверяет API антиспама?

Проверка смотрит и на текст заявки, и на отправителя:

• ссылки и BBCode в тексте — разрешить, считать подозрительными или спамом, решаете вы;
• стоп-слова — встроенные и свои;
• текст без кириллицы, если сайт ждёт заявки на русском;
• одноразовые почтовые домены;
• неправильный формат телефона и номера, которых нет в реестре нумерации Минцифры;
• одинаковый текст, пришедший на разные сайты сети ДАРА, — так выглядят рассылки;
• заполненную ловушку — скрытое поле, которое заполняют только боты;
• отправителя: заявка пришла мимо скрипта страницы, от программы, а не браузера, из сети дата-центра или со слишком частыми визитами с одного IP.

Если в заявке есть токен скрипта (dara_token), к проверке добавляются данные визита: сколько времени посетитель провёл на странице, было ли хоть одно настоящее действие, решил ли он капчу. Такая проверка помечается checked: full; без токена — checked: partial, по содержимому, IP и браузеру.

Вердикт — ok, suspect (заявка доставляется, но подозрительна, её можно пометить) или spam. Ориентироваться нужно на поле action.

Что получает сайт

• Журнал за 30 дней. Заявки, которые Защита посчитала спамом, видны в кабинете. Кнопка «Не спам — отправить дальше» отправляет заявку на email и/или вебхук.
• Запуск без риска. Новый сайт начинает в режиме «Только считать»: API всегда отвечает deliver, а в журнале видно, что было бы отклонено.
• Настоящие заявки не теряются из-за нас. Если Защита не ответила за несколько секунд или вернула ошибку, сервер сайта отправляет заявку как обычно, с пометкой «не проверено».
• Безопасный повтор. Повтор того же токена в течение 30 минут возвращает тот же ответ — проверять одну заявку дважды безопасно.
• Минимум данных. Данные форм хранятся только у заявок с вердиктом «спам» или «подозрительно», в зашифрованном виде, и стираются через 30 дней. Сервера — в России.
• Бесплатно. Для любых сайтов, в том числе коммерческих.

Как подключить защиту форм

1. Войдите в личный кабинет ДАРА ЗАЩИТА, добавьте сайт и вставьте на все страницы одну строку кода со вкладки «Код и ключи». Скрипт сам найдёт формы и добавит в них dara_token и ловушку.
2. На вкладке «Защита форм» выберите, какие формы защищать капчей: все, только по CSS-селектору или все, кроме.
3. На сервере сайта перед отправкой заявки вызовите POST https://captcha.daratech.ru/api/v1/check с секретным ключом dzs_… в заголовке Authorization: Bearer. Если ответ "action": "reject" — заявку не отправляйте, она уже в журнале Защиты.
4. На вкладке «Антиспам» задайте свои стоп-слова, правило для ссылок, ожидаемый язык и куда отправлять возвращённые заявки.
5. Отмечайте ошибки в журнале и, когда Защита не ошибается на ваших заявках, включите боевой режим.

Пример вызова на PHP, все поля запроса и ответа — в разделе API антиспама; как работает капча — в разделе Защита форм и на странице Капча для сайта бесплатно; журнал — в разделе Журнал и возврат заявок.