Das Browser-Script

Das Script-Tag

<script src="https://api.antisy.com/v1/i/l.js"
        data-site="VOTRE_CLE_DE_SITE" defer></script>

• data-site ist der Site-Key, öffentlich. Nie ein Secret. Die Schlüssel haben kein Präfix: Nichts in der Zeichenkette sagt, was sie ist. Zählen Sie die Zeichen vor dem Einfügen (32 für den Site-Key, 64 für ein Secret).
• Klassisches Script: kein type="module". defer oder async passen beide. Setzen Sie es so früh wie möglich in den <head>, ein einziges Mal pro Seite.
• Laden Sie es von api.antisy.com, ohne es bei sich zu kopieren: Sein Inhalt ändert sich mit jeder Auslieferung.
• Kein Attribut integrity. Ein fester Hash würde das Script bei der nächsten Auslieferung blockieren, und damit alle Ihre Besucher.
• Das Script setzt selbst einen Hash auf das Tag des Messscripts, das es erzeugt: Ihr Browser führt es nur aus, wenn er genau die Bytes erhält, die Antisy ausliefert. Dafür ist in Ihrer CSP-Richtlinie nichts hinzuzufügen.

Was das Script tut

Beim Laden installiert das Script window.antisy und einen submit-Listener auf dem Fenster, dann bereitet es seine Ressourcen vor, während der Besucher das Formular ausfüllt. Es zählt auch die Interaktionen mit der Seite (Seite zu den Daten). Sobald der Besucher ein Formular betritt (ein Klick oder eine Eingabe in ein Feld, der Fokus per Tastatur), fordert es von sich aus ein Versuchs-Token an und startet im Hintergrund eine kurze Berechnung auf dem Gerät, ohne etwas anzuzeigen. Seine Vorbereitungs-Listener sind passiv: Sie ändern weder den Fokus noch das Verhalten der Seite.

Beim Absenden eines abgedeckten Formulars (nächster Abschnitt) tut das Script Folgendes:

1. Es hält die Übermittlung zurück, bis es das Token hat: Ihre Handler sehen das Ereignis noch nicht;
2. es misst den Browser und hinterlegt die Messung bei Antisy;
3. es legt das Token in das versteckte Feld antisy-token: Es legt das Feld an, wenn es nicht existiert, und füllt alle aus, die existieren;
4. es setzt die Übermittlung per requestSubmit fort: Ihre Handler sehen ein einziges submit-Ereignis, mit schon ausgefülltem Feld.

Das Warten dauert höchstens 6 Sekunden. Antwortet Antisy nicht oder ist die Frist überschritten, wird das Formular trotzdem gesendet, ohne Token: Das Feld antisy-token fehlt, oder es ist leer, wenn es im Formular schon existierte. Die nächste Seite sagt, was dann geschieht. Formulare, die nach dem Laden zur Seite hinzukommen, sind auf dieselbe Weise abgedeckt. Ihr Server liest das Feld antisy-token nach dem Parsen des Bodys, mit einem leeren Standardwert, und lässt es prüfen (Seite zur Prüfung).

Welche Formulare abgedeckt sind

Standardmässig ein Formular, dessen Methode POST ist und dessen Zieladresse die der Seite ist: dieselbe Origin, also dasselbe Schema, derselbe Hostname und derselbe Port. Die Methode ist die der Absende-Schaltfläche, wenn sie eine trägt (formmethod), sonst die des Formulars. Die Adresse ist das formaction der Schaltfläche, wenn es existiert, sonst die action des Formulars; leer ist es die Seite selbst.

• Eine Subdomain ist eine andere Origin: Ein Formular von www.exemple.ch, das an api.exemple.ch sendet, ist nicht abgedeckt, solange es nicht data-antisy trägt. Kein Token geht versehentlich an einen Dritten.
• Ein Suchformular (role="search", Feld type="search") per POST an Ihre Website ist wie die anderen abgedeckt, aber das Script bereitet das Token nicht im Voraus vor: Es fordert es beim Absenden an. Per GET ist es nicht abgedeckt, ohne dass etwas zu schreiben ist.
• Ein Formular method="dialog" ist es nie.

Vier Attribute, alle optional, werden auf das <form> gesetzt:

data-antisy="off"

Schliesst das Formular aus: Der Browser sendet es, wie es ist, ohne Warten, ohne Feld, ohne Token. Der Wert wird ohne Rücksicht auf Gross- und Kleinschreibung und auf Leerzeichen gelesen. Er geht jedem anderen Attribut vor.

data-antisy

Deckt ein Formular ab, das das Script sonst durchlässt: ein GET, oder ein POST an eine andere Origin.

Bei einem GET geht das Token in die Adresse: Protokolle des Servers und der Zwischenstationen, Verlauf des Browsers, Header Referer. Es ist für die einmalige Verwendung und läuft schnell ab, aber ein Neuladen wiederholt es, und die Prüfung lehnt es ab. Nur für ein GET, das etwas schützt, nie für eine Suche.

data-antisy-action="contact"

Benennt die Aktion, die mit dem Token hinterlegt wird, und die die Prüfung unverändert zurückgibt: 1 bis 32 Zeichen aus a-z, 0-9, _ und -, in Kleinbuchstaben. Nie Personendaten. Ohne dieses Attribut geht die Hinterlegung ohne Aktion; ein ungültiger Name wird ignoriert.

data-antisy-ignore

Der alte Name des Ausschlusses, mit derselben Wirkung wie data-antisy="off": Seine Anwesenheit genügt, welcher Wert auch immer.

Was das Script nicht abdeckt

Im Zweifel hält das Script die Übermittlung nicht zurück: Ein Formular ohne Token ist besser als ein kaputtes Formular. Diese Übermittlungen gehen, wie sie sind, ohne Token; die Seite, die sie schützen will, ruft antisy.token() auf (nächster Abschnitt).

• Ein Formular, dessen Ziel ein anderes Fenster oder einen benannten Frame öffnet (target, formtarget oder <base target> anders als leer oder _self; _top und _parent gelten in einer Seite der obersten Ebene als _self). Die Übermittlung mehrere Sekunden zurückzuhalten, würde die Aktivierung des Besuchers ablaufen lassen: Der Browser würde sich weigern, das Fenster zu öffnen, ohne eine Meldung.
• Eine Übermittlung per form.submit(), die kein submit-Ereignis auslöst (ebenso $(form).submit() von jQuery). form.requestSubmit() löst eines aus und ist abgedeckt.
• Eine Übermittlung, die über kein submit-Ereignis läuft: eine Schaltfläche type="button", deren Handler die Felder liest, ein fetch oder ein XHR, das von einem anderen Ereignis ausgelöst wird.
• Ein GET oder ein POST an eine andere Origin, nicht mit data-antisy markiert.
• Die Formulare einer Web-Komponente, die ihr DOM isoliert (das submit-Ereignis tritt nicht heraus), und die eines <iframe>: ein Script-Tag pro Dokument.
• Ein Browser ohne requestSubmit (nicht geprüft: Safari vor 16).

Was verloren gehen kann, wenn das Script die Übermittlung zurückhält

• Ein Formular, das Ihre Seite im Bruchteil einer Sekunde nach dem Klick aus dem DOM entfernt, wird nicht mehr gesendet: Die Übermittlung geht verloren, ohne Meldung. Setzen Sie data-antisy="off" und rufen Sie antisy.token() selbst auf.
• Ein submit-Listener, den Ihre Seite in der Capture-Phase vor dem Script-Tag auf das Fenster setzt, sieht das zurückgehaltene Ereignis und dann das fortgesetzte: Ein Zähler von Übermittlungen zählt zwei, und ein Schutz gegen doppeltes Absenden, der die zweite abbricht, würde die fortgesetzte Übermittlung abbrechen. Setzen Sie ihn auf document oder auf das Formular.
• Wenn Ihr Code event.submitter mit seiner Schaltfläche vergleicht: Wurde die Schaltfläche während des Wartens entfernt oder von einem <fieldset> deaktiviert, setzt das Script die Übermittlung über eine versteckte temporäre Schaltfläche fort, und diese sehen Sie.
• Ein Token dient nur einmal. Nach einer Übermittlung, die die Seite nicht verlässt (Ihre Validierung bricht ab, ein fetch übernimmt die Übermittlung), erhält die nächste Übermittlung durch eine Geste des Besuchers ein frisches Token. Ein erneuter Versuch, den Ihr Script von sich aus startet, ohne Geste, geht mit einem schon geprüften Token los und wird abgelehnt: Fordern Sie ein frisches Token bei antisy.token() an.
• Antwortet die API von Antisy nicht, wird jede Übermittlung bis zu 6 Sekunden zurückgehalten, bevor sie ohne Token geht. Für einen anderen Kompromiss schliessen Sie das Formular aus und rufen antisy.token() mit Ihrer eigenen Frist auf (totalTimeoutMs). Eine kurze Frist lässt der Berechnung im Hintergrund weniger Zeit: Ein Gerät, das sie nicht abschliesst, erhält dann ein Token, das die Prüfung ablehnt, und nicht null.

Ein Token selbst anfordern: antisy.token()

Für eine Übermittlung, die das Script nicht abdeckt: fetch oder XHR, Single-Page-Anwendung, form.submit(), nicht abgedecktes Formular. Die Seite ruft window.antisy.token(options) auf, das ein Promise zurückgibt: das Token, oder null. Es wirft nie einen Fehler und endet standardmässig spätestens nach 5 Sekunden.

action

Eine Bezeichnung für die Aktion: contact, newsletter … 1 bis 32 Zeichen aus a-z, 0-9, _ und -. Antisy gibt sie in der Antwort der Prüfung unverändert zurück. Nie Personendaten. Eine Bezeichnung, die dieses Format nicht einhält, lässt die Hinterlegung scheitern: token() gibt null zurück.

totalTimeoutMs

Frist des ganzen Aufrufs, in Millisekunden. Standardmässig 5000. Bei Ablauf null.

Die Hinterlegung behält sich 1 Sekunde dieser Frist vor: Die Berechnung im Hintergrund hört spätestens 1 Sekunde vor Ablauf auf. Ist sie nicht fertig, geht das Token ohne ihre Lösung, und die Prüfung lehnt es ab, unabhängig vom Modus. Je kürzer die Frist, desto eher erhält ein langsames Gerät so ein abgelehntes Token statt null.

Das Token kommt in den Header x-antisy-token Ihrer Anfrage oder in das Feld antisy-token des Formulars. Der Name des Feldes und der des Headers gehören zum Vertrag.

async function sendContact(fields) {
  // Expliziter Modus, für eine Übermittlung per fetch, die das Script nicht abdeckt: Ihre Seite fordert das Token an.
  // Antwortet spätestens nach 5 s und wirft nie einen Fehler.
  const token = window.antisy ? await window.antisy.token({ action: "contact" }) : null;
  return fetch("/api/contact", {
    method: "POST",
    headers: {
      "content-type": "application/json",
      ...(token ? { "x-antisy-token": token } : {}),
    },
    body: JSON.stringify(fields),
  });
}

Ruft die Seite eine andere Origin als ihre eigene auf (www. an api.), muss die Antwort Ihres Servers auf die CORS-Vorabprüfung den Header erlauben: Access-Control-Allow-Headers: content-type, x-antisy-token. Sonst verweigert der Browser den Aufruf selbst.

Ein Formular ausschliessen (optional)

Das Script bereitet das Token vor, sobald der Besucher ein Formular der Seite betritt, und hält die Übermittlung jedes abgedeckten Formulars zurück. Ein Formular, das Sie nicht schützen (ein Newsletter auf allen Seiten, ein Logout, eine Suche per POST), würde das bei jedem Besucher auslösen, der dort verweilt, und jedes vorbereitete Token zählt in der Ausgabekadenz Ihrer Stufe. Setzen Sie data-antisy="off" auf dieses <form>:

<form action="/newsletter" method="post" data-antisy="off">
  <input name="email" type="email">
  <button>S'abonner</button>
</form>

• Das Attribut schliesst das Formular von der Vorbereitung wie vom Fortsetzen aus: weder Warten noch Feld noch Token. Die Felder und Schaltflächen, die von aussen per form="id" an dieses Formular gebunden sind, sind ebenfalls ausgeschlossen.
• Nachträglich von einem Script auf ein Formular gesetzt, das das Script schon ausgefüllt hat, lässt es im Formular das Feld antisy-token mit seinem letzten, schon verwendeten Token: Die nächste Übermittlung würde es tragen und abgelehnt. Entfernen Sie dieses Feld gleichzeitig.
• Es verhindert nicht, antisy.token() aus diesem Formular aufzurufen: Das Token wird dann beim Aufruf angefordert.
• Ein nicht markiertes Formular an eine andere Origin wird nicht zurückgehalten und erhält kein Feld. Aber die Vorbereitung (ein Versuchs-Token, eine Runde Berechnung) kann beim Kontakt mit einem seiner Felder starten: Sie dient der Seite, die antisy.token() für dieses Formular aufruft, und das Script kann nicht wissen, ob das Ihr Fall ist. Setzen Sie das Attribut, wenn Sie es nicht verwenden.

CSP-Richtlinie

Sendet Ihre Website eine Richtlinie Content-Security-Policy, fügen Sie diese Quellen zu denen hinzu, die sie schon enthält ('self' steht für Ihre eigenen):

Content-Security-Policy: script-src 'self' https://api.antisy.com 'wasm-unsafe-eval'; connect-src 'self' https://api.antisy.com; worker-src 'self' blob:

script-src https://api.antisy.com

Das Script-Tag und das Tag des Messscripts, das das Script danach erzeugt: derselbe Host. Dieses zweite Tag trägt einen Hash, den das Script selbst setzt: Für diesen Hash ist keine Direktive hinzuzufügen.

Fehlt sie: kein window.antisy, oder keine Messung, also kein Token.

script-src 'wasm-unsafe-eval'

Das Kompilieren eines WebAssembly-Moduls.

Fehlt sie: token() gibt null zurück. Der Browser meldet den Verstoss (wasm-eval); die Seite wirft keine Ausnahme.

connect-src https://api.antisy.com

Die Aufrufe, die das Script an die API macht: seine Beschreibung, sein Modul, das Versuchs-Token und die Hinterlegung. Das Messscript gehört nicht mehr dazu: Ein Tag fällt unter script-src.

Fehlt sie: token() gibt null zurück.

worker-src blob: (optional)

Die Berechnung im Hintergrund läuft in einem Worker, der aus einem blob: erzeugt wird. Sie können worker-src 'self' blob: zu Ihrer Richtlinie hinzufügen.

Fehlt sie, geht nichts kaputt: Die Berechnung läuft dann im Hauptthread der Seite, in kleinen Stücken, mit derselben Schwierigkeit und demselben Ergebnis. Eine Richtlinie, die blob: nicht nennt, ergibt diesen Rückfall, keinen Ausfall.

Richtlinien mit einem Nonce pro Antwort

Drei Varianten funktionieren, ohne 'unsafe-inline' (<n> ist der Nonce der Antwort). In allen drei Fällen bleiben connect-src und worker-src die des Blocks oben.

Host-Liste und Nonce

script-src 'self' https://api.antisy.com 'nonce-<n>' 'wasm-unsafe-eval'

Nonce und 'strict-dynamic'

script-src 'nonce-<n>' 'strict-dynamic' 'wasm-unsafe-eval'

Ohne Host-Liste: Der Nonce des Script-Tags entscheidet. Das Tag trägt ihn, und das Messscript, das es erzeugt, wird von 'strict-dynamic' zugelassen.

<script nonce="<n>" src="https://api.antisy.com/v1/i/l.js"
        data-site="VOTRE_CLE_DE_SITE" defer></script>

Nur Nonce

script-src 'nonce-<n>' 'wasm-unsafe-eval'

Ohne Host-Liste und ohne 'strict-dynamic': Das Script kopiert den Nonce seines eigenen Tags auf das des Messscripts, das damit zugelassen ist.

Eine Richtlinie mit Nonce, die 'strict-dynamic' enthält, ignoriert die Host-Liste von script-src (CSP Level 3): Der Nonce des Script-Tags entscheidet.

• Probieren Sie die Richtlinie zuerst als Content-Security-Policy-Report-Only aus: Die gemeldeten Verstösse nennen die Direktive, die zu ergänzen ist.
• Eine Richtlinie, die nur default-src hat: Fügen Sie die Direktiven oben ausdrücklich hinzu, statt default-src zu erweitern.
• Trusted Types. Das Script erzeugt eine Richtlinie namens antisy, die die Seite erlauben muss, wenn sie require-trusted-types-for 'script' verlangt: Fügen Sie antisy zu Ihrer Direktive trusted-types hinzu, neben Ihren eigenen Richtlinien. Sie dient nur dazu, die Adressen zu genehmigen, die das Script ihr vorlegt, und Ihre Scripts können sie nicht verwenden. Lädt die Seite das Script-Tag zweimal, fügen Sie 'allow-duplicates' hinzu.

  Content-Security-Policy: script-src 'self' https://api.antisy.com 'wasm-unsafe-eval'; connect-src 'self' https://api.antisy.com; worker-src 'self' blob:; require-trusted-types-for 'script'; trusted-types antisy

  In Chrome geprüft; in Firefox und Safari nicht geprüft. Ohne antisy in Ihrer Liste verweigert der Browser das Tag des Messscripts, token() gibt null zurück, und der Verstoss wird gemeldet; eine Richtlinie default Ihrer Seite, die die Adresse zulässt, fängt diesen Fall auf. Eine Seite, die nichts verlangt, deren Richtlinie aber schon Namen ohne antisy auflistet, sieht das Script funktionieren, mit einem gemeldeten Verstoss bei jedem Seitenaufruf.

Deklarierte Hostnamen

Antisy gibt nur den Seiten ein gültiges Token, deren Hostname genau unter denen der Website steht. Sie werden im Tab « Paramètres » (Einstellungen) der Website deklariert: bis zu 20 Namen, nur der Name, ohne https://, ohne Port, ohne Pfad, ohne Platzhalter. Deklarieren Sie sie bevor Sie das Script-Tag setzen, nicht erst bevor Sie die Erfassung einschalten.

• www.exemple.ch und exemple.ch sind zwei Namen. Deklarieren Sie jeden, der ein Formular trägt.
• Von einem nicht deklarierten Namen gibt token() trotzdem eine Zeichenkette zurück, die wie ein Token aussieht: Der Browser erfährt nichts. Die Prüfung lehnt sie ab (success gleich false), ob die Erfassung an oder aus ist: Sobald das Script-Tag gesetzt ist, wird jedes Token einer Seite unter diesem Namen abgelehnt.
• Für die lokale Entwicklung setzen Sie besser einen Dummy-Site-Key in data-site (Testschlüssel): Er hat keine Hostnamen, die lokale Seite erhält das feste Token dieses Schlüssels, das Ihr Server mit einem Test-Secret prüft. Ihre Produktionswebsite behält so ihre Liste von Namen, ohne localhost: Ein deklarierter Name gilt für jede Seite unter diesem Namen, und localhost bezeichnet den Rechner von jedem, nicht nur Ihren.
• Das Feld hostname der Antwort trägt den Namen der Seite nur, wenn der Browser eine verwertbare Origin geliefert hat. Aus einem sandbox-iframe ist die Origin null: Das Token wird zwar ausgegeben, aber hostname ist null.

HTTPS und Browser

Das Script braucht einen sicheren Kontext: HTTPS, oder localhost in der Entwicklung. Auf einer Seite über HTTP gibt token() null zurück, und das Script hält keine Übermittlung mehr zurück, ausser der allerersten, wenn sie vor dem Laden des Messscripts geht: Diese kann noch einen kurzen Moment zurückgehalten werden und geht dann ohne Token.

Es versiegelt seine Messung mit dem Algorithmus X25519. Hat der Browser ihn nicht in Web Crypto, rechnet das Script selbst: ein Rückfall, von Antisy geschrieben, der denselben Umschlag erzeugt und denselben Regeln folgt, und der BigInt verlangt. Ein Browser, der weder X25519 noch BigInt hat, erhält kein Token.

• Von Antisy gemessen, auf dem ganzen Weg (Token, dann Prüfung auf dem Server): Chrome, Firefox (Version nicht festgehalten) und Safari 17.5 auf macOS 14.5. Safari 17.5 hat X25519 nicht in Web Crypto (gemessen am 4. Oktober 2026): Er geht über den Rückfall.
• Nicht gemessen: iPhone und iPad, die anderen Versionen von Safari und Firefox, Edge, die Browser auf Telefonen. Laut MDN (von Antisy am 23. September 2026 gelesen, nicht erneut geprüft) haben Chrome vor Version 133 und Firefox vor 130 kein X25519: Der Rückfall gilt für sie wie für Safari, aber keine dieser Versionen wurde gemessen.

Wenn das Script nicht läuft

Eine CSP-Richtlinie, die script-src für den Host der API oder 'wasm-unsafe-eval' verweigert, oder connect-src für die API, ein Werbe- oder Tracking-Blocker, eine Seite über HTTP, ein Browser ohne X25519 und ohne BigInt, eine API, die vom Browser aus nicht erreichbar ist, eine Zwischenstation, die Scripts unterwegs verändert (ein Firmen-Proxy, der Code einfügt, zum Beispiel: Der Hash des Messscripts stimmt nicht mehr, der Browser weigert sich, es auszuführen, und token() gibt null zurück), ein Besucher ohne JavaScript, ein Formular, das das Script nicht abdeckt und dessen Seite token() nicht aufruft (form.submit(), fetch, Ziel in einem anderen Fenster: siehe « Welche Formulare abgedeckt sind »): In all diesen Fällen geht das Formular ohne Token: Das Feld antisy-token fehlt im Body, oder es ist leer, wenn es im Formular schon existierte. Hat das Script die Übermittlung zurückgehalten und das Token scheitert oder überschreitet 6 Sekunden, geht sie ebenso. Lesen Sie das Feld also mit einem leeren Standardwert, ohne seine Anwesenheit zu verlangen: Ihr Server ruft die Prüfung dann mit einem leeren Token auf.

Was folgt, hängt von der Einstellung « Collecte du navigateur » (Erfassung im Browser) im Tab « Paramètres » der Website ab:

Erfassung an

Eine Übermittlung ohne Token kommt nicht durch, in keinem Prüfmodus: Ergebnis deny, success gleich false, error-codes gleich ["missing-input-response"]. Der Besucher weiss es nicht; Ihr Server schon.

Eine unvollständige CSP-Richtlinie, oder ein nicht abgedecktes Formular, dessen Seite token() vergisst, lässt also alle Ihre Besucher ablehnen, Menschen eingeschlossen.

Erfassung aus

Das fehlende Token wird nicht angelastet: Das Ergebnis folgt der übrigen Bewertung und lautet allow, wenn nichts anderes den Besucher aufhält. Ein vorhandenes, aber ungültiges, wiederholtes, abgelaufenes oder zu einer anderen Website gehörendes Token wird dagegen abgelehnt, ob die Erfassung an oder aus ist. Eine neue Website beginnt mit ausgeschalteter Erfassung.

Ein vorhandenes Token wird nicht immer angenommen: Ein Gerät, das die Berechnung im Hintergrund nicht rechtzeitig abschliesst (verstecktes Tab, langsames Gerät), sendet ohne die Lösung, und der Versuch wird wie ein ungültiges Token abgelehnt, unabhängig vom Modus, ohne dass die Antwort den Grund nennt. Sehen Sie für jede Ablehnung dieselbe Meldung an den Besucher vor (« versuchen Sie es erneut »): Ein neuer Versuch startet eine neue Berechnung mit einem frischen Token.