Zum Inhalt springen
Antisy
Warteliste

Bot-Schutz für Ihre Formulare, ohne Rätsel zum Lösen.

Ein Tag in der Seite, ein Aufruf von Ihrem Server und ein Ergebnis: allow oder deny. Sie entscheiden, wie es weitergeht.

Der Warteliste beitretenZur Einbindung

Antisy Sàrl, ein Schweizer Unternehmen, eingetragen im Handelsregister des Kantons Genf. Zugang über eine Warteliste; API und Dashboard seit dem 27. Oktober 2026 in Betrieb, gehostet in Genf.

Ein Angriff, abgewehrt

In dieser Darstellung: 19 Versuche, 5 durchgelassen, 14 abgelehnt. Eine Illustration, keine Messung.

  1. Die Ruhe

    Einige Besucher senden ihr Formular ab. Jede Übermittlung geht mit ihrem Token ab, zur einmaligen Verwendung; Ihr Server fragt Antisy, das Ergebnis kommt zurück: allow.

  2. Der Angriff

    Zwei Reihen von Automaten senden in Salven. Die Übermittlungen kommen in dichter Reihe an der Tür Ihrer Website an.

  3. Eine Frage pro Übermittlung

    Für jede macht Ihr Server einen einzigen Aufruf an Antisy, mit dem erhaltenen Token.

  4. Die Ergebnisse fallen

    Eines nach dem anderen. deny für die Übermittlung ohne Token (Browser-Erfassung eingeschaltet), für das bereits verwendete Token, für den Rhythmus eines Automaten; allow für die Besucher, mitten im Angriff.

  5. Dieser Angriff, abgewehrt

    Die abgelehnten Übermittlungen bleiben vor der Tür, der Durchgang bleibt offen. Das Ergebnis geht an Ihren Server zurück, nie an den Browser. Sie entscheiden, wie es weitergeht.

Einbindung

Ein Tag, ein Formular, ein Aufruf.

Für ein gewöhnliches Formular schreiben Sie kein JavaScript: Das Script von Antisy füllt das Token-Feld beim Absenden aus.

  1. 01

    Ein Tag

    Im <head> der Seite, die das Formular enthält. data-site ist Ihr öffentlicher Schlüssel: kein Secret in der Seite.

    HTMLIhre Seite
    <script src="https://api.antisy.com/v1/i/l.js"
        data-site="VOTRE_CLE_DE_SITE" defer></script>
  2. 02

    Ein Formular

    Ihr eigenes, so wie es ist, per POST an Ihre Website gesendet. Beim Absenden fügt das Script ein verborgenes Feld hinzu, antisy-token, mit einem kurzen Token zur einmaligen Verwendung.

    HTMLnichts hinzuzufügen
    <form method="post" action="/contact">
  <input name="email" type="email">
  <button>Envoyer</button>
</form>
  3. 03

    Ein Aufruf

    Von Ihrem Server aus, mit Ihrem geheimen Schlüssel. Die Antwort sagt, ob der Besucher durchkommt, ohne den Grund zu nennen.

    NodeIhr Server
    const res = await fetch(
  "https://api.antisy.com/v1/siteverify",
  {
    method: "POST",
    redirect: "manual",                 // keiner Weiterleitung folgen
    signal: AbortSignal.timeout(3000),  // höchstens 3 s
    body: new URLSearchParams({
      secret: process.env.ANTISY_SECRET,
      response: req.body["antisy-token"] ?? "",
    }),
  },
).catch(() => null);

let verdict;
if (res === null || res.status >= 500 || res.status === 429) {
  verdict = "allow"; // Antisy antwortet nicht, oder 429: Übermittlung durchlassen, protokollieren
} else if (res.status !== 200) {
  verdict = "deny";  // Fehler in Ihrem Aufruf, zu beheben
} else {
  const result = await res.json().catch(() => null);
  verdict = result?.success === true ? "allow" : "deny";
}
// Ergebnis: "allow" | "deny"

    PHP, Python, Go, curl, Timeout und Ausfall: die Dokumentation

Die Regeln, die sich nicht ändern
  • Zwei Ausgänge, allow oder deny, ohne den Grund zu nennen. Ein ungültiges, gefälschtes, wiederverwendetes oder abgelaufenes Token kommt nie durch; ein fehlendes Token ebenfalls nicht, solange die Erfassung der Website aktiv ist. Der Besucher selbst sieht nichts.
  • Wie streng abgelehnt wird, stellen Sie pro Website im Dashboard ein (auf Französisch):
    Streng
    Lehnt früher ab, auf die Gefahr hin, einige echte Besucher zu behindern.
    Ausgewogen
    Die Standardeinstellung: ein Kompromiss zwischen den beiden anderen.
    Nachsichtig
    Lehnt nur eindeutige Fälle ab, auf die Gefahr hin, mehr Bots durchzulassen.
  • Antwortet Antisy nicht innerhalb von 3 Sekunden, lassen Sie die Übermittlung durch und protokollieren Sie sie: Ein Ausfall bei uns darf Ihre Besucher nicht blockieren.
  • Die Seite muss über HTTPS ausgeliefert werden: Ohne sicheren Kontext erzeugt der Browser kein Token.
  • Eine Übermittlung ohne submit-Ereignis (per fetch oder form.submit()) oder in ein anderes Fenster holt das Token über antisy.token(): siehe die Dokumentation des Scripts.
  • Login und Registrierung laufen über einen anderen Aufruf, assess, der das Token an das Konto bindet. Sein Node-Server-Kit wird auf npm veröffentlicht werden; das ist noch nicht geschehen.
  • Die API antwortet auf api.antisy.com, in Betrieb seit dem 27. Oktober 2026; der Zugang erfolgt über eine Warteliste.

Daten

Gemessen, aufbewahrt, gelöscht: im Voraus festgelegt.

Messwerte des Browserseinige Minuten; ein Teil davon 30 Tage, wenn die Aufbewahrung für die Website eingeschaltet ist (standardmässig ausgeschaltet)
Einige Minuten
IP-Adresse, User-Agent, Kontext der Anfrageund der Hashwert der Reihenfolge der HTTP-Header
30 Tage
Login-Kennung, Ausgang des Versuchsverschlüsselt und gehasht
90 Tage
Der Rest des DatensatzesErgebnis und seine Details, Browserfamilie, Zeitstempel; dann wird der Datensatz gelöscht
180 Tage maximal

Proportionaler Massstab, ab dem Versuch. Von Antisy festgelegte Fristen.

Was gemessen wird

Im Browser, durch das Script

  • Die vom Browser angegebenen Fähigkeiten: Arbeitsspeicher, Anzahl Kerne, Bildschirm, Touchpunkte und Zeigertyp, Verbindungstyp, Cookies, PDF-Viewer und WebGL2 verfügbar oder nicht.
  • Die Sprachen und die Zeitzone des Browsers: die Sprachen ohne Region und die Abweichung der Zeitzone.
  • Die Grafikdarstellung und der Fingerabdruck des Geräts: ein kleines Bild, gezeichnet und dann gemessen, die Klasse des Grafikprozessors (Apple, Intel, NVIDIA…) und pro Website gesalzene Hashwerte seiner Merkmale (Canvas, WebGL, Schriften, Audio…), nie das Bild selbst oder der Name der Grafikkarte.
  • Hinweise auf Automatisierung: ein von einem Programm gesteuerter Browser, eine widersprüchliche Umgebung. Kategorien, nie der erfasste Wert.
  • Das Verhalten der JavaScript-Engine: Berechnungen, Layout, Uhren, Ausführungszeiten, Reihenfolge der Aufgaben.
  • Der Ablauf der Interaktion: erste Ereignisse, Tastenanschläge, Klicks, Distanz und Regelmässigkeit des Zeigers, Scrollen, Dauer, Seite sichtbar und im Vordergrund oder nicht. Zähler und Aggregate, nie der Weg des Zeigers oder der Inhalt der Tastenanschläge und Felder.

Beim Empfang, durch den Server von Antisy

  • Die Reihenfolge der HTTP-Header: ein Hashwert ihrer Namen, nie ihre Werte.
  • Die IP-Adresse: die der Anfrage, in der Datenbank verschlüsselt, solange sie aufbewahrt wird.
  • Der User-Agent: der der Anfrage, in der Datenbank verschlüsselt, solange er aufbewahrt wird.
  • Der Kontext der Anfrage: akzeptierte Sprache, Namen der vorhandenen Header, Host des Referrers, Pfad, Methode, Merkmale der Verbindung (TLS- und HTTP-Versionen, ausgehandeltes Protokoll, Client Hints) und, falls Ihr Server sie weitergibt, Ausfülldauer des Formulars und Rang des Versuchs; in der Datenbank verschlüsselt, solange er aufbewahrt wird.
Im Detail: jede Angabe, verschlüsselt oder im Klartext
Aufbewahrung der Besucherdaten, ab dem Versuch
FristWas geschieht
Einige MinutenVom Browser für ein Token gesendete Messwerte: einige Minuten verschlüsselt aufbewahrt, so lange, wie die Prüfung der Übermittlung dauert, dann gelöscht. Ist die Aufbewahrung für die Website eingeschaltet (standardmässig ist sie ausgeschaltet), werden einige davon 30 Tage verschlüsselt aufbewahrt: die gemessene Grafikdarstellung, die Klasse und zwei Hashwerte des Grafikprozessors, das Verhalten der JavaScript-Engine und die Hinweise auf Automatisierung; weder die vom Browser angegebenen Fähigkeiten noch seine Sprachen und seine Zeitzone, noch der Gesamtfingerabdruck des Geräts, noch der Ablauf der Interaktion.
30 TageIP-Adresse, User-Agent, Kontext der Anfrage (akzeptierte Sprache, Namen der vorhandenen Header, Host des Referrers, Pfad, Methode; Merkmale der Verbindung: TLS- und HTTP-Versionen, ausgehandeltes Protokoll, Vorhandensein von Client Hints, Hashwert der Header-Reihenfolge; und, wenn die Website sie weitergibt, Ausfülldauer des Formulars und Rang des Versuchs in der Sitzung) und von der Website gewählte Ereigniskennung, verschlüsselt, solange sie aufbewahrt werden; Hashwert der Reihenfolge der HTTP-Header, im Ruhezustand verschlüsselt (ihre Namen, nie ihre Werte); Ergebnisse der Token-Prüfung: alle aus dem Datensatz gelöscht. Darüber hinaus wird weder ein Präfix noch ein Hashwert der IP-Adresse aufbewahrt. Die Ereigniskennung hat zudem, getrennt davon, einen blinden Index (einen Hashwert mit Schlüssel), der nur dazu dient, die Wiederholung desselben Versuchs zu erkennen: Er wird nach 25 Stunden gelöscht.
90 TageLogin-Kennung (verschlüsselt und gehasht), Ausgang des Versuchs, von der Website gemeldete Ausgänge: gelöscht.
180 Tage maximalWas bleibt (Ergebnis, Score, Gründe, Browserfamilie, Ereignistyp, Zeitstempel): Der Datensatz wird gelöscht.

Diese Fristen wendet Antisy an. IP-Adresse, User-Agent, Kontext der Anfrage und Messwerte des Browsers werden in der Datenbank verschlüsselt, solange sie aufbewahrt werden; auch der Hashwert der Reihenfolge der HTTP-Header ist im Ruhezustand verschlüsselt, höchstens 30 Tage. Der TLS-Fingerabdruck (JA4) wird heute nicht gelesen.

Durch wen, und wo

Ihre Website bleibt Verantwortliche
Antisy handelt als Auftragsbearbeiter (Art. 9 DSG), vertraglich geregelt.
Für die Sicherheit Ihrer Website
Nie für Werbung.
Hosting
Infomaniak, in Genf, Schweiz. In Betrieb seit dem 27. Oktober 2026.

Die Details stehen in der Datenschutzerklärung und im Auftragsbearbeitungsvertrag.

Preise

Vier Stufen: eine gratis, drei auf Anfrage.

Nur die Stufe «Kostenlos» hat einen angezeigten Preis. Der Zugang erfolgt über die Warteliste.

Der Warteliste beitreten

Standard, Pro und Enterprise sind auf Anfrage: Nennen Sie die Stufe, Ihr Volumen und Ihre Websites in Ihrer Nachricht. Nur die Stufe «Kostenlos» hat einen angezeigten Preis.

Online wird nichts bezahlt.

Das Hosting erfolgt bei Infomaniak in Genf, Schweiz, in Betrieb seit dem 27. Oktober 2026 (siehe Datenschutz).

Alle Kriterien vergleichen

Kostenlos

Preis
CHF 0ohne Kreditkarte
Inbegriffene Prüfungen pro Monat
2’500
Websites
1
Über dem Kontingent
Nicht verrechnet, Website nie blockiert
Priorisierter Support
Nein
Vertrag
Allgemeine Geschäftsbedingungen
Prüfungen pro Sekunde (Hypothese)
25
Tokens pro Minute (Hypothese)
120

Standard

Preis
Auf AnfrageSchweizer Hosting
Inbegriffene Prüfungen pro Monat
50’000
Websites
3
Über dem Kontingent
In der Offerte festgelegt
Priorisierter Support
Nein
Vertrag
Allgemeine Geschäftsbedingungen
Prüfungen pro Sekunde (Hypothese)
100
Tokens pro Minute (Hypothese)
600

Pro

Preis
Auf AnfrageSchweizer Hosting
Inbegriffene Prüfungen pro Monat
250’000
Websites
10
Über dem Kontingent
In der Offerte festgelegt
Priorisierter Support
Ja
Vertrag
Allgemeine Geschäftsbedingungen
Prüfungen pro Sekunde (Hypothese)
300
Tokens pro Minute (Hypothese)
1’800

Enterprise

Preis
Auf AnfrageSchweizer Hosting
Inbegriffene Prüfungen pro Monat
Verhandelt
Websites
Verhandelt
Über dem Kontingent
Verhandelt
Priorisierter Support
Ja, persönliche Ansprechperson
Vertrag
Verhandelter Vertrag, Verfügbarkeitszusage, Auftragsbearbeitungsvertrag
Prüfungen pro Sekunde (Hypothese)
800
Tokens pro Minute (Hypothese)
4’800

Kostenlos, über dem Kontingent: Ihre Website wird nie blockiert. Der Score entscheidet nicht mehr, die Website ist also nicht mehr durch das Modell geschützt; ein ungültiges oder gefälschtes Token wird weiterhin abgelehnt, ebenso ein fehlendes Token, solange die Browser-Erfassung für die Website eingeschaltet ist. Der Angriff bleibt im Dashboard sichtbar; die Überschreitung des Kontingents wird Ihnen einmal pro Monat per E-Mail gemeldet, an die Alarmadresse Ihrer Organisation, falls Sie eine eingerichtet haben.

Die Raten sind Hypothesen, im Pilot erneut zu prüfen. Ein Versuch über der Rate Ihrer Stufe wird nie aus diesem Grund abgelehnt: Er wird markiert, gezählt und normal bewertet. Nur technische Grenzen, für alle Stufen gleich und über deren Raten festgelegt, lehnen einen höheren Durchsatz ab (Antwort 429).

Audit Ihres Logins und Ihrer Registrierung: auf Anfrage, angerechnet an das erste Jahresabonnement Pro oder Enterprise.

Häufige Fragen zum Bot-Schutz

Kurze Antworten auf die ersten Fragen von Integratoren und Entscheidungsträgern.

Was ist Antisy?

Antisy ist ein Bot-Schutz für die Formulare und Logins einer Website: Er prüft, ob eine Übermittlung von einem Browser stammt und nicht von einem Programm, ohne dem Besucher etwas anzuzeigen.

Ein Tag in der Seite, ein Aufruf von Ihrem Server und ein Ergebnis: allow oder deny. Sie entscheiden, wie es weitergeht.

Antisy ist das Produkt der Antisy Sàrl, eines Schweizer Unternehmens, eingetragen im Handelsregister des Kantons Genf.

Was unterscheidet Antisy von einem CAPTCHA?

Ein klassisches CAPTCHA verlangt vom Besucher den Beweis, dass er ein Mensch ist: ein Kästchen ankreuzen, Bilder erkennen, ein Rätsel lösen.

Antisy verlangt nichts vom Besucher und zeigt nichts an: kein Kästchen zum Ankreuzen, kein Rätsel. Das Script zählt die Interaktionen, während der Besucher das Formular ausfüllt, lässt den Browser im Hintergrund eine kurze Berechnung ausführen und misst sie beim Absenden; das Ergebnis erhält Ihr Server. Bei dieser Art Prüfung spricht man manchmal von einem «unsichtbaren CAPTCHA».

Wie funktioniert Antisy?

Der Browser lädt das Script von Antisy, das dem Besucher nichts anzeigt. Beim Absenden des Formulars legt das Script selbst ein kurzes Token in ein verborgenes Feld namens antisy-token.

Ihr Server sendet dieses Token mit Ihrem Secret an POST /v1/siteverify. Die Antwort lautet allow oder deny: Der Besucher kommt durch oder nicht. Sie entscheiden, wie es weitergeht.

Was passiert, wenn das Script blockiert wird?

Das Formular wird trotzdem gesendet, ohne Token: ohne Feld antisy-token oder mit leerem Feld, falls die Seite schon eines enthält. Lesen Sie es mit einem leeren Standardwert. Das geschieht bei einem Werbe- oder Tracking-Blocker, einer unvollständigen CSP-Richtlinie, einer Seite über HTTP, einem Besucher ohne JavaScript oder einem Formular, das das Script nicht abdeckt und dessen Seite antisy.token() nicht aufruft. Hat das Script die Übermittlung zurückgehalten und lässt das Token auf sich warten, wird das Formular nach höchstens 6 Sekunden gesendet.

Was danach geschieht, hängt von der Einstellung «Browser-Erfassung» der Website ab («Collecte du navigateur» im Dashboard). Bei eingeschalteter Erfassung kommt eine Übermittlung ohne Token nicht durch: Ergebnis deny. Bei ausgeschalteter Erfassung wird das fehlende Token nicht angelastet. Eine neue Website beginnt mit ausgeschalteter Erfassung.

Welche Daten bearbeitet Antisy?

Im Browser werden vom Script gemessen: die vom Browser angegebenen Fähigkeiten, die Sprachen und die Zeitzone des Browsers, die Grafikdarstellung und der Fingerabdruck des Geräts, Hinweise auf Automatisierung, das Verhalten der JavaScript-Engine und der Ablauf der Interaktion. Vom Server von Antisy gelesen werden: die Reihenfolge der HTTP-Header, die IP-Adresse, der User-Agent und der Kontext der Anfrage. Nie das gezeichnete Bild, der Name der Grafikkarte oder der Inhalt der Tastenanschläge und Felder.

Für ein Login bewahrt Antisy zudem eine Login-Kennung auf, verschlüsselt und gehasht: Die Startseite beschreibt jede Messung und jede Aufbewahrungsdauer im Detail. Diese Daten umfassen Personendaten, die die Datenschutzerklärung beschreibt.

Wo werden die Daten gehostet?

Das Hosting erfolgt bei Infomaniak, in Genf, Schweiz. Es ist seit dem 27. Oktober 2026 in Betrieb.

Was kostet Antisy?

Vier Stufen: Kostenlos (CHF 0, 2’500 Prüfungen pro Monat, 1 Website), Standard (auf Anfrage, 50’000 Prüfungen pro Monat, 3 Websites), Pro (auf Anfrage, 250’000 Prüfungen pro Monat, 10 Websites) und Enterprise (auf Anfrage, Volumen und Websites verhandelt). Nur die Stufe Kostenlos hat einen angezeigten Preis; Standard, Pro und Enterprise sind auf Anfrage, je nach Ihrem Volumen und Ihren Websites.

Für eine Offerte schreiben Sie an support@antisy.com und nennen die Stufe, Ihr Volumen und Ihre Websites. Online wird nichts bezahlt: Der Zugang erfolgt über eine Warteliste.

Lässt sich Antisy heute nutzen?

Noch nicht. Der Zugang erfolgt über eine Warteliste. Die API antwortet auf api.antisy.com und das Dashboard (auf Französisch) auf app.antisy.com seit dem 27. Oktober 2026, bei Infomaniak, in Genf; noch ist kein Kunde in Produktion.

Ein Pilot ist geplant; er hat nicht begonnen, und es ist kein Datum angekündigt. Sie können eine Adresse auf der Warteliste hinterlassen: Antisy schreibt Ihnen, wenn der Zugang öffnet, und für nichts anderes.

Warteliste

Die Zugänge öffnen schrittweise mit dem Start.

Hinterlassen Sie eine Adresse: Wir schreiben Ihnen, wenn der Zugang öffnet, und für nichts anderes.

Mit dem Absenden dieses Formulars sind Sie einverstanden, von Antisy kontaktiert zu werden. Siehe die Datenschutzerklärung.