SPAM Abwehr bei Contact Form 7

Contact Form 7 ist bei WordPress Webseitenbetreibern ein beliebtes Plugin, um Kontaktformulare zu erstellen und auf verschiedenen Seiten einzubinden. Es ist kostenlos, bietet einen hohen Funktionsumfang und funktioniert (in den meisten Fällen). Gefühlt seit Urzeiten auf dem Markt wurden zahlreiche Erweiterungen dafür veröffentlicht.
Auch wenn ich mittlerweile hauptsächlich Gravity Forms auf meinen Webseiten und Projekten einsetze (die Lizenzkosten müssen sich halt auch rechnen), bleibt Contact Form 7 weiterhin auf meinem Radar.

Ich will euch hier kurz ein paar Tips geben, wie man Contact Form 7 gegen Formular-SPAM absichern kann.

Eines der besten Anti SPAM Plugins – antispam bee (ehemals von Sergej Müller) – filtert leider nur Kommentar-SPAM heraus und kann in die Contact Form 7 Formulare nicht integriert werden. Akismet arbeitet nicht nur hervorragend, sondern kann auch mit Contact Form 7 gekoppelt werden. Datenschutzrechtlich ist der Einsatz dieses Plugins in Deutschland leider äußerst problematisch. Fällt also auch weg.

Bleiben nur noch ein paar Erweiterungen für Contact Form 7 selbst.

Lange Zeit habe ich auf die Einbindung eines Captcha gesetzt. Das funktioniert technisch gesehen ganz gut, aber bildet dann doch eine gewisse Hemmschwelle beim Ausfüllen des Formulars. Und auch optisch ist es nicht so der Bringer. Ergo, wieder deaktiviert.

Contact Form 7 bietet von Haus aus ein Quiz Feld an, das konzeptionell wie ein Captcha arbeitet. Es ist textbasiert und der Nutzer muss die richtige Antwort auf die Frage eingeben. Frage und Antwort können individuell festgelegt werden. Auch mehrere Fragen sind möglich, die dann durchrotieren. Vorteil: die Methode ist relativ effektiv und nicht so kryptisch wie manch verzerrtes Captcha-Bild. Nachteil: die Nutzer müssen dennoch ein zusätzliches Feld ausfüllen, was die Hemmschwelle heraufsetzen kann.

In Foren und Artikeln zu WordPress Formularen bin ich dann auf das Contact Form 7 Honeypot Plugin aufmerksam geworden. Nach dem Installieren und Aktivieren des Plugins steht in der Tag-Liste von CF7 ein neuer Tag „Honeypot“ zur Verfügung. Der dort generierte Shortcode wird einfach in das Formular eingefügt (Position usw. egal). Im Frontend wird das Element optisch durch visibility:hidden und display:none versteckt, nur die SPAM-Bots registrieren das Feld und füllen es aus; was ihr großer Fehler ist – weil sie dadurch als Spammer erkannt und gebannt werden.

Das Ganze funktioniert natürlich nur mit der Annahme, des SPAM-Bots dumm bleiben und wahllos alle Felder eines Formulars ausfüllen.
Vorteil: bei dummen SPAM-Bots effektiv, Hemmschwelle bei Anwendern wird gesenkt durch Wegfall einer Sicherheitsabfrage. Nachteil: manueller SPAM geht trotzdem durch und intelligente SPAM-Bots erkennen unter Umständen die Falle.

Momentan setze ich weitestgehend auf die Quiz-Lösung. Bilder-Captcha kommen gar nicht mehr zum Einsatz. Die sind einfach zu nervig. Ich sage nur: klicken sie alle Bilder mit Boot an … boah, entwickelt sich da Hass bei mir.
Googles re-Captcha ist ja eine schöne Sache, aber heutzutage wie alles aus dem Haus Google bzw. mit Sitz in den USA datenschutzrechtlich nicht mehr zu machen.

2023 erfolgte dann der Urknall. Mit ChatGPT kam das Thema künstliche Intelligenzen erst so richtig in der Webwelt an. Je nachdem, wer Zugriff auf diese Technologien haben wird, kann diese Mechanismen zur Spam-Abwehr mit Leichtigkeit umgehen.