Häufige Fragen
Kurze Antworten auf die Fragen von Integratoren und Entscheidungsträgern zum Bot-Schutz von Antisy: das Produkt, die Einbindung, die Daten, das Angebot. Die Details stehen in der Dokumentation. Das Dashboard ist auf Französisch.
Stand: .
Das Produkt
Was ist Antisy?
Antisy ist ein Bot-Schutz für die Formulare und Logins einer Website: Er prüft, ob eine Übermittlung von einem Browser stammt und nicht von einem Programm, ohne dem Besucher etwas anzuzeigen.
Ein Tag in der Seite, ein Aufruf von Ihrem Server und ein Ergebnis: allow oder deny. Sie entscheiden, wie es weitergeht.
Antisy ist das Produkt der Antisy Sàrl, eines Schweizer Unternehmens, eingetragen im Handelsregister des Kantons Genf.
Siehe: Über Antisy Sàrl
Was unterscheidet Antisy von einem CAPTCHA?
Ein klassisches CAPTCHA verlangt vom Besucher den Beweis, dass er ein Mensch ist: ein Kästchen ankreuzen, Bilder erkennen, ein Rätsel lösen.
Antisy verlangt nichts vom Besucher und zeigt nichts an: kein Kästchen zum Ankreuzen, kein Rätsel. Das Script zählt die Interaktionen, während der Besucher das Formular ausfüllt, lässt den Browser im Hintergrund eine kurze Berechnung ausführen und misst sie beim Absenden; das Ergebnis erhält Ihr Server. Bei dieser Art Prüfung spricht man manchmal von einem «unsichtbaren CAPTCHA».
Siehe: Glossar: unsichtbares CAPTCHA · Vergleiche: Antisy und die anderen Dienste
Wie funktioniert Antisy?
Der Browser lädt das Script von Antisy, das dem Besucher nichts anzeigt. Beim Absenden des Formulars legt das Script selbst ein kurzes Token in ein verborgenes Feld namens antisy-token.
Ihr Server sendet dieses Token mit Ihrem Secret an POST /v1/siteverify. Die Antwort lautet allow oder deny: Der Besucher kommt durch oder nicht. Sie entscheiden, wie es weitergeht.
Siehe: Dokumentation: Schnellstart
Was sieht der Besucher?
Nichts. Antisy zeigt weder ein Kästchen zum Ankreuzen noch ein Rätsel an.
Sein Browser führt nur im Hintergrund eine kurze Berechnung aus, ohne etwas anzuzeigen. Ein sehr langsames Gerät, das sie nicht rechtzeitig abschliesst, wird wie bei einem ungültigen Token abgelehnt; ein neuer Versuch zieht eine neue Berechnung.
Auch eine Ablehnung zeigt Antisy nicht an: Ihr Server erhält deny, und er entscheidet, welche Antwort er gibt.
Stoppt Antisy jeden Bot?
Nein. Kein Bot-Schutz ist perfekt, und Antisy nennt keine Erkennungsrate: Solche Raten werden an echtem Verkehr gemessen, während eines Pilots, der noch nicht begonnen hat.
Was nie durchkommt, steht in der Dokumentation: Ein ungültiges, gefälschtes, wiederverwendetes oder abgelaufenes Token wird in jedem Modus abgelehnt, ebenso ein fehlendes Token, solange die Browser-Erfassung für die Website eingeschaltet ist.
Auch ein Token, dessen Berechnung im Hintergrund nicht rechtzeitig abgeschlossen wurde, wird abgelehnt, unabhängig vom Modus: Ein sehr langsames Gerät kann so abgelehnt werden.
Siehe: Dokumentation: was nie durchkommt · Dokumentation: die Frist der Berechnung im Hintergrund
Ist Antisy ein Spamschutz?
Ja, für Formulare: Antisy prüft, ob eine Übermittlung von einem Browser stammt und nicht von einem automatisierten Programm, ohne Rätsel für den Besucher, und Ihr Server lehnt automatisierte Übermittlungen ab, bevor er sie speichert. Es richtet sich an das Kontaktformular, die Registrierung und das Login.
Es ist kein E-Mail-Filter: Es sortiert nicht die Post, die in Ihrem Postfach ankommt. Kein Bot-Schutz ist perfekt, und Antisy nennt keine Erkennungsrate.
Das Kontaktformular läuft über den Aufruf siteverify; Login und Registrierung über ein Node-Server-Kit, das auf npm veröffentlicht werden wird, aber noch nicht veröffentlicht ist. Der Zugang erfolgt über eine Warteliste.
Siehe: Anwendungsfall: ein Kontaktformular schützen · Glossar: Anti-Spam
Blockiert Antisy Bots?
Es erlaubt, Bots dort abzulehnen, wo sie über ein Formular kommen: Kontakt, Registrierung, Login. Für jede Übermittlung erhält Ihr Server ein Ergebnis, allow oder deny, und er lehnt ab; Antisy stellt sich nicht in den Weg Ihres Verkehrs.
Antisy ist weder eine Firewall noch ein Schutz gegen Überlastungsangriffe noch ein Werkzeug gegen Betrug bei Zahlungen: Es sieht nur die Übermittlungen der Formulare, die es schützt. Es nennt keine Erkennungsrate, und noch ist kein Kunde in Produktion.
Siehe: Bot-Erkennung: Bots und Menschen unterscheiden · Stoppt Antisy jeden Bot? · Glossar: bösartiger Bot
Warum nennt die Antwort den Grund einer Ablehnung nicht?
Die Antwort enthält weder Score noch Schwelle noch Grund, in keinem Modus: ein Ergebnis, nie das Detail, das es hervorgebracht hat.
Jeder genannte Grund würde demjenigen, der die Prüfung umgehen will, verraten, was ihn aufgehalten hat. Die Fehlercodes sagen nur, was Ihre Einbindung beheben muss.
Lässt sich die Strenge der Prüfung einstellen?
Ja, pro Website, im Dashboard, mit drei Modi: Streng, Ausgewogen (Standard) und Nachsichtig; das Dashboard, auf Französisch, nennt sie Strict, Équilibré und Permissif. Es gibt weder einen Schieberegler noch einen Wert einzugeben.
Streng: Lehnt früher ab, auf die Gefahr hin, einige echte Besucher zu behindern. Nachsichtig: Lehnt nur eindeutige Fälle ab, auf die Gefahr hin, mehr Bots durchzulassen.
Kann Antisy echte Besucher blockieren?
Ein Falsch-Positiv ist ein echter Besucher, der zu Unrecht abgelehnt wird. Kein Bot-Schutz ist perfekt, und Antisy nennt keine Erkennungsrate: Sie wird an echtem Verkehr gemessen.
Die Strenge wird pro Website eingestellt, mit drei Modi: Streng, Ausgewogen (Standard) und Nachsichtig. Der Modus Nachsichtig akzeptiert zweifelhafte Fälle eher; der Modus Streng lehnt früher ab. Ein sehr langsames Gerät, das seine Berechnung im Hintergrund nicht rechtzeitig abschliesst, wird abgelehnt, unabhängig vom Modus.
Um Ablehnungen zu Unrecht zu messen, kann Ihr Server den Ausgang false_positive an POST /v1/feedback senden; das ist freiwillig, und dieses Signal ändert kein Ergebnis in Echtzeit.
Siehe: Dokumentation: wie streng ablehnen · Glossar: Falsch-Positiv
Die Einbindung
Was braucht es, um Antisy in ein Formular einzubinden?
Ein Tag im <head> der Seite und einen Aufruf von Ihrem Server. Bei einem POST-Formular, das an Ihre eigene Website gesendet wird, füllt das Script von Antisy das verborgene Feld antisy-token beim Absenden selbst aus: Sie schreiben kein JavaScript.
Was das Script nicht abdeckt, braucht eine Einstellung. Ein Formular, das an eine Subdomain oder per GET gesendet wird, markieren Sie mit dem Attribut data-antisy. Eine Übermittlung per fetch oder form.submit() oder eine, die ein neues Fenster öffnet, ruft antisy.token() aus der Seite auf. Ein Formular, das Sie nicht schützen, markieren Sie mit data-antisy="off".
Sie brauchen zudem eine im Dashboard angelegte Website mit den Hostnamen Ihrer Seiten, deren Site-Key (öffentlich, er gehört in die Seite), ein Verifizierungs-Secret (es bleibt auf Ihrem Server) und Seiten, die über HTTPS ausgeliefert werden.
Mit welchen Serversprachen funktioniert Antisy?
Die Prüfung ist ein HTTP-Aufruf, POST /v1/siteverify, mit einem Formular-Body oder JSON: Jede Sprache, die eine HTTP-Anfrage senden kann, eignet sich. Die Dokumentation zeigt vollständige Beispiele in curl, Node, PHP, Python und Go, ohne Abhängigkeit.
Für Login und Registrierung wird ein Node-Server-Kit (Express, Fastify, Next.js) auf npm veröffentlicht werden; das ist noch nicht geschehen.
Siehe: Dokumentation: ein Token prüfen, Beispiele nach Sprache
Was passiert, wenn das Script blockiert wird?
Das Formular wird trotzdem gesendet, ohne Token: ohne Feld antisy-token oder mit leerem Feld, falls die Seite schon eines enthält. Lesen Sie es mit einem leeren Standardwert. Das geschieht bei einem Werbe- oder Tracking-Blocker, einer unvollständigen CSP-Richtlinie, einer Seite über HTTP, einem Besucher ohne JavaScript oder einem Formular, das das Script nicht abdeckt und dessen Seite antisy.token() nicht aufruft. Hat das Script die Übermittlung zurückgehalten und lässt das Token auf sich warten, wird das Formular nach höchstens 6 Sekunden gesendet.
Was danach geschieht, hängt von der Einstellung «Browser-Erfassung» der Website ab («Collecte du navigateur» im Dashboard). Bei eingeschalteter Erfassung kommt eine Übermittlung ohne Token nicht durch: Ergebnis deny. Bei ausgeschalteter Erfassung wird das fehlende Token nicht angelastet. Eine neue Website beginnt mit ausgeschalteter Erfassung.
Was passiert, wenn Antisy nicht antwortet?
Ihr Formular funktioniert weiter, wenn Sie die Regel der Dokumentation befolgen: Antwortet Antisy nicht (Netzwerkfehler, Frist von 3 Sekunden überschritten, Antwort 5xx), lassen Sie die Übermittlung durch und protokollieren Sie sie. Ein Ausfall bei Antisy darf Ihre Besucher nicht blockieren.
Umgekehrt gilt auch: Ein Fehler, den Ihre eigene Anfrage verursacht, lässt die Übermittlung nie durch.
Funktioniert Antisy mit einer strengen CSP-Richtlinie?
Ja. Die Richtlinie muss https://api.antisy.com in script-src und in connect-src erlauben, und 'wasm-unsafe-eval' in script-src, für das WebAssembly-Modul. 'unsafe-eval' wird nicht verlangt.
Richtlinien mit Nonce funktionieren, mit oder ohne 'strict-dynamic'.
Kann man Antisy mitteilen, was mit einem Versuch tatsächlich geschah?
Ja, freiwillig. Ihr Server sendet an POST /v1/feedback, mit demselben Secret wie für die Prüfung, die von siteverify zurückgegebene event_id und einen Ausgang: success, failure, account_confirmed_fraud oder false_positive.
Das ist Messung: Dieses Signal erzeugt nie ein Ergebnis und ändert nichts in Echtzeit. Es ist auf 30 Tage nach dem Ereignis begrenzt, auf einen Ausgang pro Ereignis und auf eine Tagesobergrenze.
Lässt sich ein Login oder eine Registrierung schützen?
Noch nicht. Login und Registrierung laufen über einen anderen Aufruf als die einfachen Formulare: assess, der das Token an das Konto bindet. Sein Node-Server-Kit wird auf npm veröffentlicht werden; das ist noch nicht geschehen.
Der Aufruf siteverify der einfachen Formulare bindet das Token nicht an ein Konto: Er eignet sich für ein Kontaktformular oder einen Newsletter, nicht für ein Login. Im Browser braucht es nichts weiter: Das Script füllt das Token-Feld aus, und data-antisy-action="login" benennt die Aktion.
Siehe: Anwendungsfall: Login · Anwendungsfall: Registrierung · Fake-Accounts und Registrierungsbetrug
Verlangsamt Antisy meine Seite?
Das Script zeigt nichts an und blockiert die Darstellung der Seite nicht: Es lädt separat und arbeitet im Hintergrund, während der Besucher das Formular ausfüllt.
Diese Arbeit ist eine kurze Berechnung im Hintergrund. Hat das Script eine Übermittlung zurückgehalten und lässt das Token auf sich warten, wird das Formular spätestens nach 6 Sekunden gesendet.
Fehlt dem Browser der Algorithmus X25519, führt das Script diese Berechnung selbst aus, mit einem von Antisy geschriebenen Ersatz. Antisy nennt keine Zahl zu Grösse oder Latenz, solange es sie nicht gemessen hat.
Siehe: Dokumentation: die Frist der Berechnung im Hintergrund
Die Daten
Welche Daten bearbeitet Antisy?
Im Browser werden vom Script gemessen: die vom Browser angegebenen Fähigkeiten, die Sprachen und die Zeitzone des Browsers, die Grafikdarstellung und der Fingerabdruck des Geräts, Hinweise auf Automatisierung, das Verhalten der JavaScript-Engine und der Ablauf der Interaktion. Vom Server von Antisy gelesen werden: die Reihenfolge der HTTP-Header, die IP-Adresse, der User-Agent und der Kontext der Anfrage. Nie das gezeichnete Bild, der Name der Grafikkarte oder der Inhalt der Tastenanschläge und Felder.
Für ein Login bewahrt Antisy zudem eine Login-Kennung auf, verschlüsselt und gehasht: Die Startseite beschreibt jede Messung und jede Aufbewahrungsdauer im Detail. Diese Daten umfassen Personendaten, die die Datenschutzerklärung beschreibt.
Wie lange werden die Daten aufbewahrt?
Die vom Browser gesendeten Messwerte werden einige Minuten aufbewahrt, so lange, wie die Prüfung der Übermittlung dauert; ein Teil davon 30 Tage, wenn ihre Aufbewahrung für die Website eingeschaltet ist, was standardmässig nicht der Fall ist. IP-Adresse, User-Agent und Kontext der Anfrage werden nach 30 Tagen gelöscht, die Login-Kennung nach 90 Tagen, und der ganze Datensatz wird nach höchstens 180 Tagen entfernt.
Diese Fristen wendet Antisy an.
Siehe: Startseite: wie lange
Wo werden die Daten gehostet?
Das Hosting erfolgt bei Infomaniak, in Genf, Schweiz. Es ist seit dem 27. Oktober 2026 in Betrieb.
Dienen die Daten der Werbung?
Nein. Sie dienen der Sicherheit Ihrer Website: menschliche Besucher von automatisierten Programmen zu unterscheiden. Nie der Werbung.
Wer ist für die Bearbeitung der Daten verantwortlich?
Für Ihre Besucher bleibt Ihre Website die Verantwortliche; Antisy handelt als Auftragsbearbeiter (Art. 9 DSG), vertraglich geregelt. Diese Rollenteilung stammt aus dem revidierten DSG (Bundesgesetz über den Datenschutz), in Kraft seit dem 1. September 2023. Ihre Datenschutzerklärung muss diese Bearbeitung beschreiben und Antisy nennen.
Die Datenschutzerklärung und der Auftragsbearbeitungsvertrag von Antisy sind auf Französisch veröffentlicht, mit einer deutschen Übersetzung nur zur Information: Massgebend ist die französische Fassung. Der Auftragsbearbeitungsvertrag wird in allen Stufen angeboten.
Siehe: Das DSG und Antisy: wer verantwortlich ist, wer Auftragsbearbeiter
Hält Antisy das revidierte DSG (Bundesgesetz über den Datenschutz) und die DSGVO ein?
Für die Besucher Ihrer Websites bleibt Ihre Website die Verantwortliche; Antisy handelt als Auftragsbearbeiter (Art. 9 DSG), vertraglich geregelt; das revidierte DSG ist seit dem 1. September 2023 in Kraft. Das Hosting erfolgt bei Infomaniak, in Genf, in Betrieb seit dem 27. Oktober 2026.
Die Datenschutzerklärung und der Auftragsbearbeitungsvertrag von Antisy sind auf Französisch veröffentlicht, mit einer deutschen Übersetzung nur zur Information: Massgebend ist die französische Fassung. Antisy nimmt Kunden mit Sitz in der Europäischen Union an: Die Daten werden bei Infomaniak in Genf bearbeitet; die Europäische Kommission anerkennt für die Schweiz ein angemessenes Schutzniveau, und der Auftragsbearbeitungsvertrag entspricht auch Artikel 28 DSGVO. Antisy hat keinen Vertreter in der Europäischen Union bestellt (DSGVO, Art. 27).
Siehe: Datensicherheit · Das DSG und Antisy: wer verantwortlich ist, wer Auftragsbearbeiter
Das Angebot und das Unternehmen
Was kostet Antisy?
Vier Stufen: Kostenlos (CHF 0, 2’500 Prüfungen pro Monat, 1 Website), Standard (auf Anfrage, 50’000 Prüfungen pro Monat, 3 Websites), Pro (auf Anfrage, 250’000 Prüfungen pro Monat, 10 Websites) und Enterprise (auf Anfrage, Volumen und Websites verhandelt). Nur die Stufe Kostenlos hat einen angezeigten Preis; Standard, Pro und Enterprise sind auf Anfrage, je nach Ihrem Volumen und Ihren Websites.
Für eine Offerte schreiben Sie an support@antisy.com und nennen die Stufe, Ihr Volumen und Ihre Websites. Online wird nichts bezahlt: Der Zugang erfolgt über eine Warteliste.
Siehe: Preise: die vollständige Übersicht · Vergleiche: die öffentlichen Preise der anderen Dienste
Was passiert über dem Kontingent an Prüfungen?
Bei den Stufen Standard und Pro wird die Überschreitung in der Offerte festgelegt.
Bei der Stufe Kostenlos wird sie nicht verrechnet, und Ihre Website wird nie blockiert. Der Score entscheidet nicht mehr, die Website ist also nicht mehr durch das Modell geschützt; ein ungültiges oder gefälschtes Token wird weiterhin abgelehnt, ebenso ein fehlendes Token, solange die Browser-Erfassung für die Website eingeschaltet ist.
Lässt sich Antisy heute nutzen?
Noch nicht. Der Zugang erfolgt über eine Warteliste. Die API antwortet auf api.antisy.com und das Dashboard (auf Französisch) auf app.antisy.com seit dem 27. Oktober 2026, bei Infomaniak, in Genf; noch ist kein Kunde in Produktion.
Ein Pilot ist geplant; er hat nicht begonnen, und es ist kein Datum angekündigt. Sie können eine Adresse auf der Warteliste hinterlassen: Antisy schreibt Ihnen, wenn der Zugang öffnet, und für nichts anderes.
Siehe: Der Warteliste beitreten · Der Pilot
Wer steht hinter Antisy?
Antisy Sàrl ist ein Schweizer Unternehmen, eingetragen im Handelsregister des Kantons Genf. Es ist in der IT-Sicherheit tätig, ausschliesslich zur Abwehr.
Antisy betreibt ausschliesslich Abwehr: Ohne schriftlichen Auftrag seines Eigentümers wird kein Verkehr an ein fremdes System gesendet.
Siehe: Über Antisy Sàrl
Wie erreiche ich Antisy?
Über die Warteliste der Website, um bei der Öffnung des Zugangs benachrichtigt zu werden, oder per E-Mail an support@antisy.com, die einzige Support-Adresse. Der Support antwortet auf Französisch und Englisch.
Siehe: Der Warteliste beitreten