Skip to main content
replaced http://stackoverflow.com/ with https://stackoverflow.com/
Fonte Link

Uma resposta do SOresposta do SO deu a ideia de criar um campo oculto no formulário. Um programinha "robô" que envia mensagens automaticamente irá tentar preencher esse campo com alguma informação aleatória. Então seu código saberá que se o campo oculto está preenchido alguém andou mexendo no que não devia.

Uma resposta do SO deu a ideia de criar um campo oculto no formulário. Um programinha "robô" que envia mensagens automaticamente irá tentar preencher esse campo com alguma informação aleatória. Então seu código saberá que se o campo oculto está preenchido alguém andou mexendo no que não devia.

Uma resposta do SO deu a ideia de criar um campo oculto no formulário. Um programinha "robô" que envia mensagens automaticamente irá tentar preencher esse campo com alguma informação aleatória. Então seu código saberá que se o campo oculto está preenchido alguém andou mexendo no que não devia.

Fim da Recompensa com 50 pontos de reputação concedidos por Paulo
Post restaurado por utluiz
ajuste
Fonte Link
utluiz
  • 74,6mil
  • 8
  • 162
  • 254

Um alerta

Não exigir validação no servidor significa fazer o controle no navegador do usuário.

Isso implica que qualquer solução será facilmente burlada com o mínimo de conhecimento de Javascript. Outro possível ataque consiste em simplesmente replicar a requisição HTTP sem usar realmente um navegador. Resumo da ópera: sem validação no servidor qualquer solução será extremamente vulnerável.

Solução que não exige validação no servidor

Para impedir apenas ataques mais ingênuos, uma solução é usar um evento na página que habilite a submissão do formulário se identificado que um usuário real está acessando a página.

O desafio é identificar o padrão de um usuário real. Eu imagino que um usuário ou vai clicar no botão ou usar a tecla TAB até chegar lá, certo? Então poderíamos ativar a submissão apenas se houver um evento mouseover ou focus no botão.

Além disso, para impedir um script automático de identificar o action e os campos do formulário eu usaria uma solução com Ajax.

Veja o seguinte exemplo de dois campos com um botão:

Field 1: <input id="f1"/><br/>
Field 2: <input id="f2"/><br/>
<button type="button">Enviar</button>

E então um script que monitora os eventos mouseover e blur, adicionando o evento click que fará o Ajax somente quando um dos dois primeiros eventos forem executados:

//monitora por focus e mouse over
$('button').bind('focus mouseover', function() {

    $(this)
        //eventos não são mais necessários
        .off('mouseover focus') 
        //adiciona o evento que executará a requisição final
        .click(function() {
           console.log('implementar ajax aqui');
        });

});

Demo no JSFiddle

Enfim, acredito que seja possível ajudar isso também para um submit convencional se for o caso.

Soluções que exigem validação no servidor

Aqui vou deixar registrada a resposta que eu havia escrito usando validação no servidor.

Existem várias soluções para não usar captcha, algumas mais profissionais outras baseadas na criatividade.

Campo oculto para "humanos"

Campo oculto para "humanos"

Alguns serviços fazem o trabalho de identificação de spamsspam. Por exemplo, no meu blog eu uso o Akismet.

Enfim, emEm minha opinião, a criatividade é quem manda nesse ponto. Quanto mais diferente e criativa sua solução, mais dificilmente os spammers irão detectá-la.

Isso só vai mudar se sua solução for largamente adotada e chamar a atenção de alguma forma, por um bom método deve permitir variar aNão esqueça que qualquer validação do cliente pode ser facilmente burlada por qualquer usuário que saiba usar a ferramenta do desenvolvedor e tenha um conhecimento intermediário de Javascript.

Existem várias soluções, algumas mais profissionais outras baseadas na criatividade.

Campo oculto para "humanos"

Alguns serviços fazem o trabalho de identificação de spams. Por exemplo, no meu blog eu uso o Akismet.

Enfim, em minha opinião, a criatividade é quem manda nesse ponto. Quanto mais diferente e criativa sua solução, mais dificilmente os spammers irão detectá-la.

Isso só vai mudar se sua solução for largamente adotada e chamar a atenção de alguma forma, por um bom método deve permitir variar a validação facilmente.

Um alerta

Não exigir validação no servidor significa fazer o controle no navegador do usuário.

Isso implica que qualquer solução será facilmente burlada com o mínimo de conhecimento de Javascript. Outro possível ataque consiste em simplesmente replicar a requisição HTTP sem usar realmente um navegador. Resumo da ópera: sem validação no servidor qualquer solução será extremamente vulnerável.

Solução que não exige validação no servidor

Para impedir apenas ataques mais ingênuos, uma solução é usar um evento na página que habilite a submissão do formulário se identificado que um usuário real está acessando a página.

O desafio é identificar o padrão de um usuário real. Eu imagino que um usuário ou vai clicar no botão ou usar a tecla TAB até chegar lá, certo? Então poderíamos ativar a submissão apenas se houver um evento mouseover ou focus no botão.

Além disso, para impedir um script automático de identificar o action e os campos do formulário eu usaria uma solução com Ajax.

Veja o seguinte exemplo de dois campos com um botão:

Field 1: <input id="f1"/><br/>
Field 2: <input id="f2"/><br/>
<button type="button">Enviar</button>

E então um script que monitora os eventos mouseover e blur, adicionando o evento click que fará o Ajax somente quando um dos dois primeiros eventos forem executados:

//monitora por focus e mouse over
$('button').bind('focus mouseover', function() {

    $(this)
        //eventos não são mais necessários
        .off('mouseover focus') 
        //adiciona o evento que executará a requisição final
        .click(function() {
           console.log('implementar ajax aqui');
        });

});

Demo no JSFiddle

Enfim, acredito que seja possível ajudar isso também para um submit convencional se for o caso.

Soluções que exigem validação no servidor

Aqui vou deixar registrada a resposta que eu havia escrito usando validação no servidor.

Existem várias soluções para não usar captcha, algumas mais profissionais outras baseadas na criatividade.

Campo oculto para "humanos"

Alguns serviços fazem o trabalho de identificação de spam. Por exemplo, no meu blog eu uso o Akismet.

Em minha opinião, a criatividade é quem manda nesse ponto. Quanto mais diferente e criativa sua solução, mais dificilmente os spammers irão detectá-la.

Não esqueça que qualquer validação do cliente pode ser facilmente burlada por qualquer usuário que saiba usar a ferramenta do desenvolvedor e tenha um conhecimento intermediário de Javascript.

Post removido por utluiz
Fonte Link
utluiz
  • 74,6mil
  • 8
  • 162
  • 254

Existem várias soluções, algumas mais profissionais outras baseadas na criatividade.

Campo oculto para "humanos"

Uma resposta do SO deu a ideia de criar um campo oculto no formulário. Um programinha "robô" que envia mensagens automaticamente irá tentar preencher esse campo com alguma informação aleatória. Então seu código saberá que se o campo oculto está preenchido alguém andou mexendo no que não devia.

Exemplo:

<!-- este campo não deverá ser preenchido, mas provavelmente os bots tentarão fazê-lo -->
<input type="text" id="nao_humano" name="nome" />

<!-- este campo é o que realmente o usuário deve preencher -->
<input type="text" name="nome_real" />

<!-- o estilo inibe o campo que o usuário não deve preencher -->
<style>
   #nao_humano { display: none }
</style>

Serviço com "inteligência" artificial

Alguns serviços fazem o trabalho de identificação de spams. Por exemplo, no meu blog eu uso o Akismet.

O Akismet funciona mais ou menos assim:

  1. O usuário submete um comentário no formulário
  2. Um código no meu site recebe a mensagem e a envia para o serviço do Akismet
  3. O serviço do Akismet verifica o comentário contra uma base de informações sobre Spams
  4. O Akismet retorna dizendo se a mensagem é um spam em potencial ou não

Obviamente, há uma certa preocupação sobre a segurança desse processo. Num blog público não há dificuldades, mas para uma empresa que recebe informações de clientes o tráfego da informação para um servidor de terceiros pode ser um impeditivo.

Detectando comportamento humano

Outra ideia que vi há algum tempo por aí é detectar eventos no site para validar se alguém está realmente digitando a mensagem.

Fazer isso é relativamente simples. Primeiro, gere um código aleatório e coloque na sessão do usuário. Imprima esse mesmo código em um bloco Javascript dentro da página:

var codigo = 'CODIGO_GERADO';

Depois acrescente um campo oculto e inicialmente vazio no formulário:

<input type="hidden" name="validacao"/>

Agora crie um código em algum evento como mouse over ou key up na página que preencha o campo validacao com o valor codigo.

Finalmente, o servidor deverá validar de o campo validacao veio com o código. Para driblar alguns spammers mais espertos, o nome desse campo também pode ser aleatório.

Conclusão

Enfim, em minha opinião, a criatividade é quem manda nesse ponto. Quanto mais diferente e criativa sua solução, mais dificilmente os spammers irão detectá-la.

Isso só vai mudar se sua solução for largamente adotada e chamar a atenção de alguma forma, por um bom método deve permitir variar a validação facilmente.