Spam via je contactformulier, en waarom een captcha niet je eerste keus is

Wat een captcha je kost

Een captcha is een drempel voor iedereen, ook voor de klant die haast heeft. Hij kost een paar seconden, hij faalt vaker voor mensen met een schermlezer of een trage verbinding, en hij stuurt gegevens van je bezoeker naar de partij die de captcha levert. Bij een zoekveld is dat helemaal onnodig: daar hoort geen enkele drempel te staan.

Wat wij eerst doen

Bots vullen formulieren anders in dan mensen. Ze vullen alles in wat ze tegenkomen, ook velden die een mens niet ziet, en ze doen dat in een halve seconde. Op die twee verschillen kun je zeven van de tien pogingen tegenhouden zonder dat een bezoeker er iets van merkt.

• Een veld dat wel in de code staat maar niet op het scherm: wordt het ingevuld, dan is het geen mens.
• De tijd tussen het openen en het versturen: onder een paar seconden is het geen mens.
• Een grens op het aantal inzendingen per bezoeker per kwartier, zodat één bron je niet kan overspoelen.
• Een grens op de omvang van het bericht, zodat een formulier geen manier wordt om je server te belasten.

Die eerste twee samen zijn de zeef. Ze staan in het formulier zelf, kosten niets aan laadtijd en sturen niets naar derden. Pas als blijkt dat ze onvoldoende zijn, is een captcha een verdedigbare volgende stap, en dan nog alleen op het formulier dat het probleem heeft.

Waarom een goed formulier ook meldt dat er iets misging

Spam tegenhouden is één ding, een aanvraag kwijtraken is erger. Een inzending hoort eerst te worden opgeslagen en dan pas gemaild. Gaat de mail niet weg, dan staat de aanvraag er nog en hoort er een melding te komen dat er iemand ligt te wachten waar niemand van weet. Een formulier dat alleen mailt, verliest bij de eerste hapering een klant zonder dat iemand het merkt.