Um alerta
Não exigir validação no servidor significa fazer o controle no navegador do usuário.
Isso implica que qualquer solução será facilmente burlada com o mínimo de conhecimento de Javascript. Outro possível ataque consiste em simplesmente replicar a requisição HTTP sem usar realmente um navegador. Resumo da ópera: sem validação no servidor qualquer solução será extremamente vulnerável.
Solução que não exige validação no servidor
Para impedir apenas ataques mais ingênuos, uma solução é usar um evento na página que habilite a submissão do formulário se identificado que um usuário real está acessando a página.
O desafio é identificar o padrão de um usuário real. Eu imagino que um usuário ou vai clicar no botão ou usar a tecla TAB até chegar lá, certo? Então poderíamos ativar a submissão apenas se houver um evento mouseover
ou focus
no botão.
Além disso, para impedir um script automático de identificar o action
e os campos do formulário eu usaria uma solução com Ajax.
Veja o seguinte exemplo de dois campos com um botão:
Field 1: <input id="f1"/><br/>
Field 2: <input id="f2"/><br/>
<button type="button">Enviar</button>
E então um script que monitora os eventos mouseover
e blur
, adicionando o evento click
que fará o Ajax somente quando um dos dois primeiros eventos forem executados:
//monitora por focus e mouse over
$('button').bind('focus mouseover', function() {
$(this)
//eventos não são mais necessários
.off('mouseover focus')
//adiciona o evento que executará a requisição final
.click(function() {
console.log('implementar ajax aqui');
});
});
Enfim, acredito que seja possível ajudar isso também para um submit
convencional se for o caso.
Soluções que exigem validação no servidor
Aqui vou deixar registrada a resposta que eu havia escrito usando validação no servidor.
Existem várias soluções para não usar captcha, algumas mais profissionais outras baseadas na criatividade.
Campo oculto para "humanos"
Uma resposta do SO deu a ideia de criar um campo oculto no formulário. Um programinha "robô" que envia mensagens automaticamente irá tentar preencher esse campo com alguma informação aleatória. Então seu código saberá que se o campo oculto está preenchido alguém andou mexendo no que não devia.
Exemplo:
<!-- este campo não deverá ser preenchido, mas provavelmente os bots tentarão fazê-lo -->
<input type="text" id="nao_humano" name="nome" />
<!-- este campo é o que realmente o usuário deve preencher -->
<input type="text" name="nome_real" />
<!-- o estilo inibe o campo que o usuário não deve preencher -->
<style>
#nao_humano { display: none }
</style>
Serviço com "inteligência" artificial
Alguns serviços fazem o trabalho de identificação de spam. Por exemplo, no meu blog eu uso o Akismet.
O Akismet funciona mais ou menos assim:
- O usuário submete um comentário no formulário
- Um código no meu site recebe a mensagem e a envia para o serviço do Akismet
- O serviço do Akismet verifica o comentário contra uma base de informações sobre Spams
- O Akismet retorna dizendo se a mensagem é um spam em potencial ou não
Obviamente, há uma certa preocupação sobre a segurança desse processo. Num blog público não há dificuldades, mas para uma empresa que recebe informações de clientes o tráfego da informação para um servidor de terceiros pode ser um impeditivo.
Detectando comportamento humano
Outra ideia que vi há algum tempo por aí é detectar eventos no site para validar se alguém está realmente digitando a mensagem.
Fazer isso é relativamente simples. Primeiro, gere um código aleatório e coloque na sessão do usuário. Imprima esse mesmo código em um bloco Javascript dentro da página:
var codigo = 'CODIGO_GERADO';
Depois acrescente um campo oculto e inicialmente vazio no formulário:
<input type="hidden" name="validacao"/>
Agora crie um código em algum evento como mouse over ou key up na página que preencha o campo validacao
com o valor codigo
.
Finalmente, o servidor deverá validar de o campo validacao
veio com o código. Para driblar alguns spammers mais espertos, o nome desse campo também pode ser aleatório.
Conclusão
Em minha opinião, a criatividade é quem manda nesse ponto. Quanto mais diferente e criativa sua solução, mais dificilmente os spammers irão detectá-la.
Não esqueça que qualquer validação do cliente pode ser facilmente burlada por qualquer usuário que saiba usar a ferramenta do desenvolvedor e tenha um conhecimento intermediário de Javascript.
action
doform
para enviar mensagens se o bot não realizou ações humanas. Acho que existem várias possibilidades de evitar que um bot envie um formulário, principalmente quando exige ações humanas para que esteform
apareça ou funcione.