Bot-Erkennung: Bots und Menschen in Ihren Formularen unterscheiden

Was ist ein Bot, und wann ist er bösartig?

Ein Programm, das anstelle einer Person Anfragen an eine Website sendet. Manche sind nützlich, wie die Roboter der Suchmaschinen; andere füllen Formulare aus, probieren Passwörter aus oder legen Konten in Serie an.

Ein bösartiger Bot ist ein Roboter, der eine Website gegen die Interessen ihres Betreibers oder ihrer Nutzer verwendet: Er sendet Spam über die Formulare, legt Fake-Accounts an oder probiert Passwörter an der Login-Seite aus.

Siehe: Glossar: Roboter (Bot) · Glossar: bösartiger Bot · Glossar: automatisierter Missbrauch

Was tun bösartige Bots in einem Formular?

Sie kommen dort durch, wo eine Website eine Übermittlung von jedermann annimmt:

• das Kontaktformular, um darüber Spam in Serie zu senden;
• das Registrierungsformular, um darauf Fake-Accounts anzulegen, die sie dann missbrauchen;
• die Login-Seite, um dort Passwörter auszuprobieren: Credential Stuffing, Brute-Force, Password Spraying.

Siehe: Anwendungsfall: Kontaktformular-Spamschutz · Fake-Accounts und Registrierungsbetrug · Anwendungsfall: ein Login vor Credential Stuffing schützen

Bot-Erkennung: Wie unterscheidet Antisy einen Bot von einem Menschen?

Ein Tag in der Seite lädt das Script von Antisy, das dem Besucher nichts anzeigt. Während der Besucher das Formular ausfüllt, zählt das Script die Interaktionen und lässt den Browser eine kurze Berechnung im Hintergrund ausführen; beim Absenden misst es sie und legt selbst ein kurzes Token in das versteckte Feld antisy-token.

Im Browser werden vom Script gemessen: die vom Browser angegebenen Fähigkeiten, die Sprachen und die Zeitzone des Browsers, die Grafikdarstellung und der Fingerabdruck des Geräts, Hinweise auf Automatisierung, das Verhalten der JavaScript-Engine und der Ablauf der Interaktion. Vom Server von Antisy gelesen werden: die Reihenfolge der HTTP-Header, die IP-Adresse, der User-Agent und der Kontext der Anfrage. Nie das gezeichnete Bild, der Name der Grafikkarte oder der Inhalt der Tastenanschläge und Felder.

Ihr Server sendet das Token mit seinem Secret an Antisy. Die Messung des Browsers und die Entscheidung finden bei Antisy statt; die Antwort ist ein Ergebnis, allow oder deny, und Sie entscheiden, wie es weitergeht.

Siehe: Startseite: was das Script misst, und wie lange · Dokumentation: Schnellstart

Was wird immer abgelehnt?

Unabhängig von der Einstellung der Website kommen diese Übermittlungen nicht durch:

• Ein ungültiges, gefälschtes, wiederverwendetes oder abgelaufenes Token, in jedem Modus. Ein Token wird nur einmal geprüft: Das Token einer angenommenen Übermittlung dient keiner zweiten.
• Ein fehlendes Token, solange die Browser-Erfassung für die Website eingeschaltet ist. Eine neue Website beginnt mit ausgeschalteter Erfassung.
• Eine Übermittlung, deren Herstellung nachgewiesen ist: Ein Programm hat sie hergestellt statt des Browsers.
• Ein Token, dessen Berechnung im Hintergrund nicht rechtzeitig abgeschlossen wurde, unabhängig vom Modus: Ein sehr langsames Gerät kann so abgelehnt werden.

Siehe: Dokumentation: was nie durchkommt

Warum sagt das Ergebnis nicht, was einen Bot verraten hat?

Die Antwort enthält weder Score noch Schwelle noch Grund, in keinem Modus: ein Ergebnis, nie das Detail, das es hervorgebracht hat.

Jeder genannte Grund würde demjenigen, der die Prüfung umgehen will, verraten, was ihn aufgehalten hat. Die Fehlercodes sagen nur, was Ihre Einbindung beheben muss.

Aus demselben Grund sagt diese Seite, was Antisy liest und was es immer ablehnt, nicht die Regeln seiner Entscheidung.

Lässt sich die Strenge der Bot-Erkennung einstellen?

Ja, pro Website, im Dashboard (auf Französisch), mit drei Modi: Streng, Ausgewogen (Standard) und Nachsichtig. Streng: Lehnt früher ab, auf die Gefahr hin, einige echte Besucher zu behindern. Nachsichtig: Lehnt nur eindeutige Fälle ab, auf die Gefahr hin, mehr Bots durchzulassen.

Ein Falsch-Positiv ist ein echter Besucher, der zu Unrecht abgelehnt wird. Um die Fehlablehnungen zu messen, kann Ihr Server den Ausgang false_positive an POST /v1/feedback senden; das ist freiwillig, und dieses Signal ändert kein Ergebnis in Echtzeit.

Siehe: Dokumentation: wie streng ablehnen · Glossar: Falsch-Positiv

Was Antisy nicht erkennt

• Bots, die über kein geschütztes Formular gehen: Antisy gibt ein Ergebnis nur für die Übermittlung eines Formulars, das es schützt, und stellt sich nicht in den Weg Ihres Verkehrs. Das Lesen einer Seite, durch eine Person oder durch den Roboter einer Suchmaschine, erhält kein Ergebnis.
• Was kein Bot ist: Eine Person, die ein Formular selbst ausfüllt, auch mit schlechten Absichten, sendet von einem echten Browser.
• Antisy ist weder eine Firewall noch ein Schutz gegen Überlastungsangriffe noch ein Werkzeug gegen Betrug bei Zahlungen noch ein E-Mail-Filter.

Kein Bot-Schutz ist perfekt, und Antisy nennt keine Erkennungsrate: Solche Raten werden an echtem Verkehr gemessen, während eines Pilots, der noch nicht begonnen hat. Er kommt zu den anderen Schutzmassnahmen einer Website hinzu, etwa der Begrenzung der Versuche oder einem zweiten Faktor; er ersetzt sie nicht.

Siehe: Häufige Fragen: Stoppt Antisy jeden Bot?

Wie weit ist Antisy?

Der Zugang erfolgt über eine Warteliste. Die API und das Dashboard sind seit dem 27. Oktober 2026 in Betrieb, gehostet bei Infomaniak in Genf; noch ist kein Kunde in Produktion. Ein Pilot ist geplant; er hat noch nicht begonnen.

Der Schutz eines Logins oder einer Registrierung läuft über ein Node-Server-Kit (Express, Fastify, Next.js), das auf npm veröffentlicht werden wird; es ist noch nicht veröffentlicht.

Siehe: Der Pilot · Der Warteliste beitreten

Häufige Fragen