- Honeypot – een extra veld dat voor mensen onzichtbaar is maar door bots wel wordt ingevuld. Is het gevuld, dan weiger je de inzending. Kosteloos, onzichtbaar en vangt een groot deel van het geautomatiseerde verkeer.
- Tijdcontrole – meet hoe lang iemand over het formulier deed. Een inzending binnen twee seconden is geen mens. Ook dit merkt een echte bezoeker nooit.
- Rate limiting op de server – maximaal een handvol inzendingen per IP-adres per tijdseenheid. Stopt de bots die honderd keer achter elkaar proberen.
- Verplichte serverside validatie – controleer altijd op de server, niet alleen in de browser. Bots slaan je pagina over en posten rechtstreeks naar het verwerkingsadres.
- Verwerp berichten met links boven een drempel – de meeste spam bestaat uit linkbommen. Twee of meer URL's in een contactbericht is een sterk signaal.
Spam op je formulieren tegengaan zonder je klanten weg te jagen
Een formulier dat online staat, wordt gevonden door bots. Niet omdat iemand jouw bedrijf interessant vindt, maar omdat geautomatiseerde scripts het hele web afgaan op zoek naar invulvelden. Het resultaat is een inbox waarin echte aanvragen ondersneeuwen. De reflex is om er een captcha voor te zetten, maar dat is precies de oplossing die je ook je echte bezoekers laat betalen. Er is een betere volgorde.
01
Begin met de maatregelen die niemand merkt
02
Pas daarna een captcha, en dan de onzichtbare
Blijft er na die maatregelen spam doorkomen, dan is een captcha verdedigbaar. Kies er dan een die op gedrag beoordeelt en alleen bij twijfel iets vraagt, in plaats van elke bezoeker plaatjes met stoplichten te laten aanwijzen. Dat scheelt conversie en is voor mensen met een beperking een stuk vriendelijker.
Houd wel rekening met de privacykant: veel captcha-diensten sturen gegevens naar een derde partij en dat hoort in je privacyverklaring te staan, met een geldige grondslag. Er zijn Europese alternatieven die zonder cookies werken en op rekenkracht in plaats van gedrag beoordelen.
03
Wat je vooral niet moet doen
Je e-mailadres verbergen achter een formulier omdat het anders geoogst wordt, en vervolgens dat formulier zo zwaar beveiligen dat contact opnemen een beproeving wordt. Bereikbaarheid is belangrijker dan een schone inbox.
Even schadelijk: spam automatisch laten wegfilteren zonder logboek. Als je filter te streng staat, verlies je echte aanvragen en merk je dat nooit. Bewaar geweigerde inzendingen minimaal een paar weken in een aparte map of logbestand, zodat je kunt controleren of er geen klanten tussen zitten.
04
Hoe iPolo's kan helpen
Ik stapel deze maatregelen in de juiste volgorde, met de onzichtbare eerst en de zichtbare pas als het echt nodig is. Geweigerde inzendingen worden gelogd, zodat we kunnen aantonen dat er geen echte aanvragen sneuvelen. En de verwerking loopt via een server die zelf ook rate limiting kent, zodat een botaanval je site niet plat legt.
Veelgestelde vragen
Is een honeypot echt genoeg?
Voor de meeste kleine websites vangt een honeypot in combinatie met een tijdcontrole het grootste deel van de spam. Gerichte aanvallen op één specifieke site vragen om meer.
Mag ik reCAPTCHA gebruiken onder de AVG?
Het kan, maar je moet de gegevensverwerking vermelden in je privacyverklaring en een geldige grondslag hebben. Cookieloze Europese alternatieven zijn juridisch eenvoudiger.
Waarom krijg ik spam terwijl mijn formulier een captcha heeft?
Dan gaat het vaak niet om bots maar om handmatig ingevulde spam, of de inzending gaat rechtstreeks naar het verwerkingsadres zonder je formulierpagina te gebruiken. Serverside validatie lost dat laatste op.
Verzuipt je inbox in formulierspam?
Ik richt spamfilters in die bots stoppen en klanten doorlaten.