Kontaktformular-Spamschutz: ein Kontaktformular ohne Rätsel vor Spam schützen

Warum erhält ein Kontaktformular Spam?

Ein Kontaktformular ist eine offene Tür für das ganze Internet: Programme finden es und senden darüber Nachrichten in Serie. Sie nachträglich auszusortieren kostet Zeit, und ein zu lösendes Rätsel lädt die Mühe Ihren echten Besuchern auf.

Wie blockiert man Spam im Kontaktformular?

1. Ein Tag im <head> der Seite mit dem Formular, mit dem öffentlichen Site-Key Ihrer Website.
2. Beim Absenden legt das Script ein kurzes Token in das versteckte Feld antisy-token des Formulars: Sie schreiben kein JavaScript.
3. Ihr Server sendet dieses Token mit Ihrem Secret an POST /v1/siteverify und liest die Antwort: allow oder deny.

Die Messung des Browsers und die Entscheidung finden bei Antisy statt. Der Aufruf lässt sich aus jeder Programmiersprache machen: Es ist eine HTTP-Anfrage.

Siehe: Dokumentation: Schnellstart · Dokumentation: ein Token prüfen

Was tun mit dem Ergebnis?

allow: Speichern oder senden Sie die Nachricht. deny: Lehnen Sie sie ab, ohne zu sagen, warum. Es gibt nur diese zwei Ausgänge, und die Antwort nennt nie den Grund: Jeder genannte Grund würde demjenigen, der die Prüfung umgehen will, verraten, was ihn aufgehalten hat.

Und wenn das Script blockiert wird oder Antisy nicht antwortet?

Wird das Script blockiert (Werbeblocker, unvollständige CSP-Richtlinie, Besucher ohne JavaScript), geht das Formular trotzdem ab, ohne Token: ohne Feld antisy-token, oder mit leerem Feld, wenn die Seite schon eines trägt, und Ihr Server liest es mit einem leeren Standardwert; ebenso bei einem Formular, das das Script nicht abdeckt (zum Beispiel eine Übermittlung per fetch) und dessen Seite antisy.token() nicht aufruft. Was dann geschieht, hängt von der Einstellung «Browser-Erfassung» Ihrer Website ab («Collecte du navigateur» im Dashboard, auf Französisch): Ist sie eingeschaltet, kommt eine Übermittlung ohne Token nicht durch; ist sie ausgeschaltet, wird das fehlende Token nicht angelastet.

Antwortet Antisy nicht innerhalb von 3 Sekunden, lassen Sie die Übermittlung durch und protokollieren Sie sie: Ein Ausfall bei Antisy darf Ihre Besucher nicht blockieren.

Siehe: Dokumentation: wenn das Script nicht läuft

Welche Daten werden bearbeitet?

Im Browser werden vom Script gemessen: die vom Browser angegebenen Fähigkeiten, die Sprachen und die Zeitzone des Browsers, die Grafikdarstellung und der Fingerabdruck des Geräts, Hinweise auf Automatisierung, das Verhalten der JavaScript-Engine und der Ablauf der Interaktion; der Fingerabdruck als pro Website gesalzene Hashwerte, die Interaktion als Zähler und Aggregate. Vom Server von Antisy gelesen werden: die Reihenfolge der HTTP-Header, die IP-Adresse, der User-Agent und der Kontext der Anfrage. Das Script liest nie den Inhalt der Tastenanschläge oder der Felder. Die Startseite nennt jede aufbewahrte Angabe und ihre Aufbewahrungsdauer, im Voraus festgelegt.

Siehe: Startseite: Daten und Aufbewahrungsdauer

Was dieser Weg nicht abdeckt

Dieser Aufruf eignet sich für Formulare mit geringem Risiko: Kontakt, Newsletter. Er bindet das Token nicht an ein Konto: Ein Login oder eine Registrierung läuft über einen anderen Aufruf.

Antisy ist ein Spamschutz für Formulare, kein E-Mail-Filter: Es sortiert nicht die Post, die in Ihrem Postfach ankommt.

Siehe: Anwendungsfall: ein Login schützen · Anwendungsfall: eine Registrierung schützen

Ist das heute verfügbar?

Noch nicht. Der Zugang erfolgt über eine Warteliste. Die API und das Dashboard sind seit dem 27. Oktober 2026 in Betrieb, gehostet bei Infomaniak in Genf; noch ist kein Kunde in Produktion.

Siehe: Der Warteliste beitreten