Katso minkä tahansa suojaamattoman lomakkeen lähetyksiä, niin löydät aina saman: kymmeniä roskapostimerkintöjä, väärennettyjä liidejä, haitallisia linkkejä ja soopaa. Ne eivät tule ihmisiltä, jotka täyttävät lomakkeesi käsin. Ne ovat hyökkääjien ja roskapostittajien ohjaamia automaattisia skriptejä. Lomakkeen roskapostin ja bottilähetysten estäminen pysäyttää nämä hyökkäykset, ennen kuin ne tuhlaavat aikaasi tai vahingoittavat dataasi.
Roskaposti on enemmän kuin harmi. Se sotkee tietokantasi, vääristää analytiikkaasi, täyttää sähköpostilaatikkosi ja voi peittää todellisia tietoturvauhkia. Tehokas bottien esto suojaa lomakkeesi ja pitää datasi puhtaana.
Tästä oppaasta opit: miten automaattiset botit hyökkäävät lomakkeisiin, miksi yksinkertaiset suojaukset eivät riitä, mitkä bottien estomenetelmät toimivat parhaiten ja miten otat ne käyttöön ärsyttämättä aitoja kävijöitä.
Miten bottihyökkäykset lomakkeisiin toimivat
Botti (lyhenne sanasta robotti) on automaattinen ohjelma, joka suorittaa toistuvia tehtäviä. Lomakkeisiin hyökkäävät botit tekevät esimerkiksi näin:
- Täyttävät automaattisesti jokaisen kentän satunnaisella tekstillä
- Lähettävät lomakkeen tuhansia kertoja päivässä
- Syöttävät linkkejä tai mainoksia lomakekenttiin
- Testaavat tietoturva-aukkoja tutkimalla lomaketta
- Keräävät sähköpostiosoitteita roskapostilistoille
Toisin kuin hakkeri, joka voi kohdistaa hyökkäyksen yhteen tiettyyn lomakkeeseen, botit hyökkäävät tuhansiin lomakkeisiin massana. Ne skannaavat internetiä etsien lomakkeita, ja kun ne löytävät yhden, ne lähettävät roskapostia automaattisesti. Voit herätä siihen, että postilaatikossasi on 10 000 väärennettyä lähetystä.
Miksi lomakkeet ovat alttiita boteille
Lomakkeet ottavat syötteen keneltä tahansa
Lomakkeet ovat suunniteltu avoimiksi internetiin. Kuka tahansa voi löytää lomakkeesi ja lähettää sen. Alussa ei ole varmistusta siitä, että lähettäjä on oikea ihminen.
Lomakkeet ovat ennustettavia
Jos botti näkee lomakkeesi verkkosivun HTML:stä, se voi poimia lomakkeen rakenteen ja ymmärtää, mitkä kentät pitää täyttää. Tämä tekee lomakkeista helppoja automaation kohteita.
Useimmilla lomakkeilla ei ole suojausta
Monet verkkosivustot julkaisevat lomakkeita ilman mitään bottien tunnistusta. Botit oppivat nopeasti hyödyntämään näitä puolustamattomia kohteita.
Miksi perussuojaukset eivät toimi
Lomakekenttien nimien hämärtäminen
Jotkut luulevat, että lomakekenttien nimien piilottaminen hämmentää botteja. Botit voivat kuitenkin päätellä kenttien nimet takaisin HTML:stä tai analysoimalla lomakkeen lähetystä. Tämä ei toimi.
Hunajapurkkikentät (väärät kentät)
Hunajapurkkikenttä (honeypot) on piilotettu lomakekenttä, jota aidot kävijät eivät koskaan näe. Botit, jotka eivät ymmärrä CSS:ää tai piilotettuja määritteitä, täyttävät sen silti. Voit hylätä lähetykset, joissa hunajapurkki on täytetty.
Tämä toimii hyvin yksinkertaisia botteja vastaan, mutta kehittyneet botit ovat oppineet hunajapurkkikentistä ja tietävät olla täyttämättä niitä. Yksin se on nykyään heikko suoja.
Yksinkertaiset laskutehtävät tai kysymykset
"Paljonko on 2 + 2?" vaikuttaa siltä, ettei botti osaa vastata. Nykyaikaiset tekoäly- ja OCR-työkalut (optinen tekstintunnistus) kuitenkin osaavat lukea ja ratkaista yksinkertaisia laskutehtäviä. Tämä suojaus on vanhentunut.
Tehokkaat bottien estomenetelmät
CAPTCHA
CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) on yleisin bottien estomenetelmä. Tyyppejä on useita:
Tekstipohjainen CAPTCHA: Käyttäjät ratkaisevat vääristetyn tekstin pulman. Vanhempi ja nyt vähemmän tehokas, koska tekoäly osaa lukea vääristettyä tekstiä.
Kuvapohjainen CAPTCHA (reCAPTCHA v2): Käyttäjät napsauttavat valintaruutuja tai tunnistavat kohteita kuvista. Luotettavampi kuin tekstipohjainen mutta ei silti täydellinen. Tämän näet monilla verkkosivustoilla.
Näkymätön CAPTCHA (reCAPTCHA v3): Käyttäjä ei näe mitään. Järjestelmä analysoi hänen käyttäytymistään (miten hän liikuttaa hiirtä, kuinka nopeasti hän täyttää lomakkeen) päätelläkseen, onko hän ihminen. Ei kitkaa aidoille käyttäjille, mutta vaatii kehittyneemmän taustajärjestelmän.
Nopeusrajoitus
Nopeusrajoitus (rate limiting) rajoittaa, kuinka monta kertaa sama IP-osoite tai käyttäjätili voi lähettää lomakkeen tietyn ajan sisällä. Jos hyökkääjä yrittää lähettää 1 000 lomaketta 10 minuutissa samasta IP-osoitteesta, nopeusrajoitus estää hänet 5 ensimmäisen lähetyksen jälkeen 10 minuutin aikana.
Nopeusrajoitus on aidoille käyttäjille näkymätön (useimmat eivät lähetä samaa lomaketta 20 kertaa tunnissa) mutta tehokas boteille (jotka lähettävät toistuvasti ja yli-inhimillisellä nopeudella).
Sähköpostin vahvistus
Vaadi kävijöitä vahvistamaan sähköpostiosoitteensa napsauttamalla vahvistussähköpostin linkkiä. Botit eivät yleensä pääse sähköpostilaatikoihin (tai käyttävät väärennettyjä osoitteita, jotka eivät ole oikeita). Tämä poistaa monia bottilähetyksiä.
Haittapuoli: se luo ylimääräistä kitkaa aidoille kävijöille. Käytä tätä arvokkaille lomakkeille (rekisteröityminen, tilin luonti), joissa olet valmis lisäämään ylimääräisen vaiheen.
Käyttäytymisanalyysi
Analysoi, miten kävijät käyttävät lomaketta:
- Täyttikö hän lomakkeen yli-inhimillisellä nopeudella (kaikki kentät 0,5 sekunnissa)? Todennäköisesti botti.
- Eikö hän koskaan kohdistanut yhteenkään kenttään (vain sarkaimella läpi kirjoittamatta)? Todennäköisesti botti.
- Täyttikö hän kentän, poisti sen, täytti sen uudelleen ja poisti uudelleen? Todennäköisesti ihminen.
Tämä vaatii lomakkeelle JavaScriptin, joka seuraa käyttäjän toimia. Se on aidoille käyttäjille näkymätön ja tehokas yksinkertaisia botteja vastaan.
Laitteen sormenjälki
Analysoi lomakkeen lähettävän laitteen ominaisuuksia (selaimen tyyppi, käyttöjärjestelmä, näytön tarkkuus, aikavyöhyke ja niin edelleen). Boteilla on usein epätavallisia tai epäjohdonmukaisia laitteen sormenjälkiä. Aidoilla laitteilla on ihmismäisiä kaavoja.
Tämä on kehittynyt menetelmä ja vaatii kolmannen osapuolen palveluja, mutta se on erittäin tehokas.
Milloin kutakin menetelmää käytetään
Perusyhteydenottolomakkeelle
Käytä nopeusrajoitusta (näkymätön) ja CAPTCHAa, jos saat paljon roskapostia. Sähköpostin vahvistus on valinnainen.
Uutiskirjeen tilauslomakkeelle
Käytä nopeusrajoitusta ja sähköpostin vahvistusta. Tämä varmistaa, että sähköpostiosoite on oikea, ja estää väärennettyjen osoitteiden massatilaukset.
Arvokkaalle lomakkeelle (tilin luonti, maksu ja niin edelleen)
Käytä useita kerroksia: nopeusrajoitus, CAPTCHA, sähköpostin vahvistus. Harkitse käyttäytymisanalyysiä lisävarmuuden vuoksi.
API-päätepisteelle tai ohjelmalliselle käytölle
Käytä API-todennusta (tunnisteita tai API-avaimia) CAPTCHAn sijaan. CAPTCHA ei toimi API:lle. Nopeusrajoitus on välttämätön.
Bottien eston vaikutus käyttökokemukseen
Vahva bottien esto voi luoda kitkaa aidoille käyttäjille. Tasapainota tietoturva ja käytettävyys:
CAPTCHA: Lisää muutaman sekunnin ja yhden ylimääräisen vaiheen. Näkyvä ja hieman ärsyttävä, mutta käyttäjät hyväksyvät sen laajalti. Monet odottavat sitä.
Sähköpostin vahvistus: Vaatii käyttäjää tarkistamaan sähköpostinsa ja napsauttamaan linkkiä. Suurempi kitka, mutta tarpeellinen arvokkaissa toimissa.
Käyttäytymisanalyysi tai nopeusrajoitus: Näkymätön. Ei lainkaan kitkaa aidoille käyttäjille.
Paras käytäntö: Käytä ensin näkymättömiä menetelmiä (nopeusrajoitus, käyttäytymisanalyysi). Näytä CAPTCHA vain, jos lomakkeen lähetys näyttää epäilyttävältä. Näin 95 % aidoista käyttäjistä ei koskaan näe CAPTCHAa, mutta botit näkevät sen lähes aina.
Lomakelähetysten seuranta roskapostin varalta
Vaikka bottien esto olisi käytössä, osa roskapostista voi livahtaa läpi. Seuraa lähetyksiäsi:
- Käy uudet lähetykset säännöllisesti läpi ilmeisten roskapostikuvioiden varalta
- Etsi lähetyksiä, joissa on hölynpölytekstiä tai linkkejä
- Seuraa lähetysmäärää (jos se äkkiä nousee jyrkästi, voit olla hyökkäyksen kohteena)
- Tarkista, mistä maista lähetykset tulevat (jos palvelet vain Yhdysvaltoja, tietyistä maista tulevat lähetykset voivat olla epäilyttäviä)
Useimmissa lomakkeissa voit merkitä lähetyksiä roskapostiksi. Käytä tätä kouluttamaan koneoppimismalleja, jotka voivat auttaa estämään tulevaa roskapostia.
Mitä WEMASY tekee roskapostin estämiseksi
WEMASY-lomakkeissa on bottien esto oletuksena. Jokaisessa lomakkeessa on nopeusrajoitus (saman IP-osoitteen toistuvia lähetyksiä rajoitetaan) ja valinnainen CAPTCHA-suojaus (reCAPTCHA v3). Voit ottaa sähköpostin vahvistuksen käyttöön lomakkeille, jotka sitä vaativat. WEMASY myös seuraa lähetyksiä roskapostikuvioiden varalta ja merkitsee epäilyttävät merkinnät.
Kaikissa lomakkeissa on roskapostisuojaus. Kehittyneempiä suojauksia on saatavilla ylemmissä paketeissa. Katso pakettisi tiedot hinnastosivulta.