Top Man Digital: антибот и защита форм от спама, ver. 1.2.5

Капча режет спам, но заставляет проходить проверку каждого посетителя. Для коммерческого сайта это не всегда лучший вариант: часть людей не проходит проверку, закрывает форму и уходит.

Основную часть спама модуль пытается определить без участия посетителя. Формы проверяются в фоне, а видимую капчу можно включить только там, где она действительно нужна.

В результате обычный клиент заполняет форму как обычно, а защита работает за сценой.

Девять бесшумных проверок

Модуль проверяет отправку по девяти независимым признакам.

Он анализирует поля-ловушки, скорость заполнения, количество ссылок, признаки внедрения кода, стоп-слова, HTML и BBCode, признаки отправки не из браузера, частоту обращений и длинные сообщения без кириллицы.

Каждую проверку можно включить или отключить отдельно.

Это позволяет не строить всю защиту вокруг одной технологии вроде honeypot или ограничения времени заполнения.

Если нужна капча — можно выбрать подходящий вариант

Видимая проверка подключается отдельно.

Доступны собственный слайдер-пазл, арифметический пример, логический вопрос, Yandex SmartCaptcha и Google reCAPTCHA v2/v3.

Пройденная проверка запоминается на заданный срок, поэтому человеку не обязательно проходить её перед каждой следующей отправкой формы.

Можно включить проверку только для отдельных форм. Модуль сам запоминает формы, найденные на страницах сайта, и показывает их в административной панели. Для подключения достаточно выбрать форму по id, name или data-tab-form — править шаблон компонента не обязательно.

Спам блокируется не только в почте

На сайтах 1С-Битрикс заявка часто сначала сохраняется в инфоблок, а уже потом отправляется на почту.

Если антиспам блокирует только почтовое событие, письмо действительно не приходит — но мусорная заявка остаётся в CRM-подобном списке обращений или инфоблоке.

Модуль проверяет и создание элемента инфоблока, поэтому спам можно остановить ещё до сохранения заявки.

Кроме инфоблоков контролируются почтовые события старого и нового API, штатные веб-формы, подписка и регистрация пользователей. Всего предусмотрено шесть точек перехвата отправки.

Любая антиспам-система вызывает понятный вопрос:

Поэтому в модуле есть отдельный журнал.

Можно видеть причину отклонения, действие, IP-адрес и дату, фильтровать записи, смотреть наиболее частые причины и выгружать данные в CSV. Журнал можно вести только для отклонённых обращений или вообще для всех проверок.

При этом содержимое клиентской заявки в журнал не записывается. Хранится техническая причина срабатывания. IP-адреса можно маскировать, поэтому журнал проще передавать разработчику или подрядчику для анализа.

Если внутри модуля произошла ошибка, он не блокирует форму - заявка пропускается дальше.

Такое поведение выбрано специально: для коммерческого сайта одна потерянная заявка может стоить дороже нескольких пропущенных спам-сообщений. Есть и аварийное отключение модуля одной константой без удаления настроек, списков и журнала.

Сразу после установки модуль тоже ничего не начинает блокировать автоматически. Можно сначала включить журнал и посмотреть, как защита оценивает реальный трафик, а уже затем включить нужные проверки.

Это особенно полезно на действующем сайте, где нельзя рисковать обращениями клиентов.

Для более точной настройки есть списки IP-адресов, диапазонов и CIDR, поддержка IPv4 и IPv6, ASN, User-Agent и стоп-слов.

Все настройки, формы, списки и журнал ведутся отдельно для каждого сайта в многосайтовой установке Битрикс.

Модуль корректно определяет адрес посетителя за доверенными прокси и Cloudflare и учитывает это в счётчиках, списках и ограничениях частоты.

Для базовой защиты внешний сервис не нужен. Собственный пазл создаётся на сервере средствами GD. Внешние запросы появляются только если владелец сайта сам подключает Yandex SmartCaptcha или Google reCAPTCHA. Собственной облачной инфраструктуры и телеметрии у модуля нет.

Не просто капчу перед формой.

Модуль строит защиту так, чтобы сначала отсеивать спам незаметно для посетителя, при необходимости подключать видимую проверку, блокировать мусор не только в почте, но и до сохранения заявки, а затем показывать в журнале, что именно было отклонено.

Для бизнеса это и есть главный результат: