22

Estou em busca de uma solução simples e eficiente para evitar spam em formulários de contato. A ideia é que o cliente não necessite informar que ele é uma "pessoa" (exemplo CAPTCHA), o formulário apresentado deve ser clean (o cliente não deve ver nada além do formulário).

Regras:

  • Não pode ser usado CAPTCHA;
  • O cliente deve ver apenas o formulário;

Recomendações:

  • Usar apenas HTML, CSS e JS;
  • Menor código possível;
  • Pode haver validação extra por parte do servidor, mas seria interessante se não houvesse.

Formulário:

<form>
    <label for='name'>Nome:</label><input type='text' id='name' name='name'>
    <label for='email'>E-mail:</label><input type='text' id='email' name='email'>
    <label for='message'>Mensagem:</label><textarea id='message' name='message'></textarea>
    <input type='submit' value='enviar'>
</form>

Observação: o principal objetivo é a prevenção de spam que são realizados em sites aleatórios.

18
  • 1
    Cheguei a perder tempo escrevendo uma resposta, mas depois de ler as restrições vi que é impossível. Orion, mesmo o captcha deve ser validado no servidor. Não há como impedir spam no client, do contrário bastaria reproduzir a requisição HTTP sem usar um navegador.
    – utluiz
    Commented 29/05/2014 às 14:17
  • 4
    Dê uma olhada nessa pergunta no SO EN, as duas primeiras respostas são interessantes. Primeiro medir o tempo entre o page load e o submit do form (aliado a construção do form via javascript, pq se o bot não executar javascript, não tem como ele causar spam). E a segunda é criar um honeypot, ter um campo text escondido que o usuário não vê, se alguém preencheu significa que não é usuário comum. Segue o link: stackoverflow.com/questions/2387496/…
    – Wakim
    Commented 1/06/2014 às 21:31
  • 1
    Orion, acabei de "desexcluir" minha resposta da semana passada com mais algumas informações. Espero que ajude!
    – utluiz
    Commented 2/06/2014 às 20:40
  • 1
    @Bacco a questão é como o bot irá descobrir o endereço do action do form para enviar mensagens se o bot não realizou ações humanas. Acho que existem várias possibilidades de evitar que um bot envie um formulário, principalmente quando exige ações humanas para que este form apareça ou funcione.
    – Paulo
    Commented 5/06/2014 às 19:09
  • 1
    @Orion da sua afirmação você já tira parte da solução ;) Eu já prefiro de coisa que não dependa de JS pra funcionar, mas você pode, como mencionou o action, mudar o destino do action via JS depois do form carregado.
    – Largato
    Commented 5/06/2014 às 19:11

5 Respostas 5

27
+50

Um alerta

Não exigir validação no servidor significa fazer o controle no navegador do usuário.

Isso implica que qualquer solução será facilmente burlada com o mínimo de conhecimento de Javascript. Outro possível ataque consiste em simplesmente replicar a requisição HTTP sem usar realmente um navegador. Resumo da ópera: sem validação no servidor qualquer solução será extremamente vulnerável.

Solução que não exige validação no servidor

Para impedir apenas ataques mais ingênuos, uma solução é usar um evento na página que habilite a submissão do formulário se identificado que um usuário real está acessando a página.

O desafio é identificar o padrão de um usuário real. Eu imagino que um usuário ou vai clicar no botão ou usar a tecla TAB até chegar lá, certo? Então poderíamos ativar a submissão apenas se houver um evento mouseover ou focus no botão.

Além disso, para impedir um script automático de identificar o action e os campos do formulário eu usaria uma solução com Ajax.

Veja o seguinte exemplo de dois campos com um botão:

Field 1: <input id="f1"/><br/>
Field 2: <input id="f2"/><br/>
<button type="button">Enviar</button>

E então um script que monitora os eventos mouseover e blur, adicionando o evento click que fará o Ajax somente quando um dos dois primeiros eventos forem executados:

//monitora por focus e mouse over
$('button').bind('focus mouseover', function() {

    $(this)
        //eventos não são mais necessários
        .off('mouseover focus') 
        //adiciona o evento que executará a requisição final
        .click(function() {
           console.log('implementar ajax aqui');
        });

});

Demo no JSFiddle

Enfim, acredito que seja possível ajudar isso também para um submit convencional se for o caso.

Soluções que exigem validação no servidor

Aqui vou deixar registrada a resposta que eu havia escrito usando validação no servidor.

Existem várias soluções para não usar captcha, algumas mais profissionais outras baseadas na criatividade.

Campo oculto para "humanos"

Uma resposta do SO deu a ideia de criar um campo oculto no formulário. Um programinha "robô" que envia mensagens automaticamente irá tentar preencher esse campo com alguma informação aleatória. Então seu código saberá que se o campo oculto está preenchido alguém andou mexendo no que não devia.

Exemplo:

<!-- este campo não deverá ser preenchido, mas provavelmente os bots tentarão fazê-lo -->
<input type="text" id="nao_humano" name="nome" />

<!-- este campo é o que realmente o usuário deve preencher -->
<input type="text" name="nome_real" />

<!-- o estilo inibe o campo que o usuário não deve preencher -->
<style>
   #nao_humano { display: none }
</style>

Serviço com "inteligência" artificial

Alguns serviços fazem o trabalho de identificação de spam. Por exemplo, no meu blog eu uso o Akismet.

O Akismet funciona mais ou menos assim:

  1. O usuário submete um comentário no formulário
  2. Um código no meu site recebe a mensagem e a envia para o serviço do Akismet
  3. O serviço do Akismet verifica o comentário contra uma base de informações sobre Spams
  4. O Akismet retorna dizendo se a mensagem é um spam em potencial ou não

Obviamente, há uma certa preocupação sobre a segurança desse processo. Num blog público não há dificuldades, mas para uma empresa que recebe informações de clientes o tráfego da informação para um servidor de terceiros pode ser um impeditivo.

Detectando comportamento humano

Outra ideia que vi há algum tempo por aí é detectar eventos no site para validar se alguém está realmente digitando a mensagem.

Fazer isso é relativamente simples. Primeiro, gere um código aleatório e coloque na sessão do usuário. Imprima esse mesmo código em um bloco Javascript dentro da página:

var codigo = 'CODIGO_GERADO';

Depois acrescente um campo oculto e inicialmente vazio no formulário:

<input type="hidden" name="validacao"/>

Agora crie um código em algum evento como mouse over ou key up na página que preencha o campo validacao com o valor codigo.

Finalmente, o servidor deverá validar de o campo validacao veio com o código. Para driblar alguns spammers mais espertos, o nome desse campo também pode ser aleatório.

Conclusão

Em minha opinião, a criatividade é quem manda nesse ponto. Quanto mais diferente e criativa sua solução, mais dificilmente os spammers irão detectá-la.

Não esqueça que qualquer validação do cliente pode ser facilmente burlada por qualquer usuário que saiba usar a ferramenta do desenvolvedor e tenha um conhecimento intermediário de Javascript.

12

Uma maneira é utilizar um sistema de prova de trabalho (proof-of-work system), tal como o Hashcash ou o sistema de mineração da moeda virtual Bitcoin (dentre outros). Um exemplo simples seria:

  1. Escolha um número inteiro T para ser seu fator de trabalho; se seu site enfrenta pouco spam, esse número pode ser pequeno, se o problema de spam aumentar, aumente esse número;
  2. Gere no servidor um token aleatório a, uma timestamp e uma data de expiração (curta), assine digitalmente e envie ao cliente (num cookie) - junto com o fator de trabalho corrente;
  3. Coloque um código JavaScript que vai gerar tokens aleatórios b, buscando encontrar um tal que:

    scrypt(a + b) < (2**256 >> T)
    

    Em outras palavras, ache um b tal que o hash resultante tenha T zeros à esquerda [em binário]. Se não quiser mexer com aritmética binária, apenas veja se o hash hexadecimal tem T/16 caracteres 0 à esquerda.

  4. Na hora de enviar o formulário, envie também o token b encontrado;

    • Enquanto esse token não for encontrado, não envie o formulário, pois o mesmo será rejeitado pelo servidor; mostre pro usuário uma mensagem tipo "validando..."
  5. Ao receber o formulário, verifique se a data é válida (i.e. maior que o timestamp, menor que a expiração), e se o parâmetro b satisfaz à restrição acima. Caso contrário, rejeite o formulário.

(Nota: sugeri o scrypt pois ele é mais difícil de ser manipulado, mas pode-se usar outra função de hash que seja mais leve para o servidor.)

Se um único cliente humano estiver preenchendo um formulário uma única vez, ele mal vai notar esse trabalho extra no browser - especialmente se você colocar ele para executar em paralelo com a tarefa de preenchimento, num WebWorker por exemplo. Já um spammer querendo submeter o formulário diversas vezes teria que repetir esse cálculo demorado uma vez para cada submissão, em particular se você invalidar os tokens já usados (pode pesar um pouco no BD*) ou se você incluir campos-chave do formulário (ex.: o email e o message**) na entrada da função de hash.

No fim das contas, o importante é o custo com o poder de processamento*** necessário para enviar o spam ser maior que o lucro esperado por esse spam. E que seja custoso pro client, mas leve pro server.

Esse foi um exemplo simples, e certamente o protocolo pode ser aprimorado de alguma forma, mas é a única solução que eu conheço que não é passível de ser burlada - pois mesmo os métodos descritos nas demais respostas (checar IP, Referrer, usar algoritmos sofisticados para identificar "comportamento humano", etc) podem ser contornados se seu site é de alto valor para os spammers. Mas o ideal, é claro, é usar uma "defesa em profundidade", de modo que se você puder empregar esses métodos também (simultaneamente) as chances de parar um spam aumentam.


* Isso pode ou não ser relevante, dependendo de se o seu site já faz requisições ao BD de qualquer forma ou não. Uma maneira de minimizar isso é colocar o token a como uma coluna na tabela de mensagens, com a restrição UNIQUE - aí evitaria de um spammer reutilizar o mesmo token em várias mensagens, e de quebra você ainda ganha um UUID "grátis" para ela. :)

** A desvantagem é que não dá pra paralelizar, de modo que o usuário sempre verá a mensagem de "validando" e terá que aguardar uns segundos a mais ao enviar cada mensagem. Em comparação com o CAPTCHA, é um net-win, mas do ponto de vista do usuário seu site ainda vai parecer "lento"...

*** Se o spammer está usando uma botnet para enviar o spam, não vai ser ele quem vai pagar esse custo, então essa técnica é menos efetiva. Por outro lado, isso vai tornar o computador do usuário lento, o que pode ajudá-lo a suspeitar que está contaminado por malware.

7

Por que não usar Captcha?

Bem, existem várias técnicas para se enviar spam, então teríamos que tratar todas (o que é impossível, ja que as técnicas são recriadas e inventadas todos os dias).

  • Você pode usar um CSRF TOKEN, ou seja, um hash único gerado pelo server, que estará dentro do request (POST) a ser enviado pelo usuário. Se este hash não vier como você esperava, é porque estão tentando fazer o request por fora do browser.

  • Pode fazer uma verificação no server pelo HTTP REFERRER, que vem do request, e ver se o usuário vem da URL e do domínio esperado (o seu);

  • Nenhum dos itens acima soluciona a possibilidade de um robô que envia formulários através do browser repetidas vezes (aqui entraria o captcha). O que você pode fazer é comparar o timestamp de quando a página foi gerada entre o timestamp de quando o usuário envia o formulário. Geralmente robôs preenchem rapidamente o formulário e envia. Você pode determinar um tempo mínimo em que um humano preenche o formulario (15 segundos, dependendo?) e caso for menor, você rejeita.

  • Robôs costumam preencher todos os campos encontrados dentro de um <form>, ou seja, se você colocar um <input type="text" style="display: none" name="name2" />, provavelmente o robô vai preencher. Este campo não apareceria pro usuário, logo seria enviado vazio. Se ele vier preenchido, você saberá que não foi um humano que preencheu.

Se sua app está segura contra spam? Certamente, não. Não estaria, mesmo com o captcha, mas seria ótimo ter um. =)

Referência: https://stackoverflow.com/questions/2387496/how-to-prevent-robots-from-automatically-filling-up-a-form

5

Eu faria o seguinte:

  1. logo de cara eu pegaria o IP de Origem de quem está escrevendo o formulário e submeteria a uma RBL de confiança (Barracuda, Spamcop, etc) se o IP estiver contido em algum destes lugares a chance de ser SPAM aumenta consideravelmente, e você pode permitir que o formulário seja submetido ou não.
  2. Outro método é submeter o conteúdo do formulário para algum script verificar e classificar o conteúdo, analisando o contexto escrito no formulário ele pode ou não ser considerado spam, você pode interagir com o spamassassim que pode classificar um texto, por meio de aprendizagem você pode ensinar o algoritmo.
  3. Outro método é criar em seu formulário um campo Origem ou From de forma que um email válido neste caso de quem está enviando o formulário seje preenchido, você envia para este email um link de confirmação de modo que a mensagem só saia se o cara clicar no link que vai receber por email.
0
4

Só há uma maneira de evitar spam corretamente, e é filtrando pelo backend. Campos escondidos e outras maneiras "criativas" só servem para impedir bots antigos e/ou simples.

Se voce está tão preocupado com o usuário não ter de digitar um captcha, o "prejuízo" vai ter que cair com você, recebendo mensagens e posteriormente os filtrando com serviços como o da Akismet e Mollom.

É assim que a maior parte dos grandes sites lidam com spam, o filtro se da após o envio da mensagem.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .