Glossar des Bot-Schutzes: Bot, Spam, Credential Stuffing, CAPTCHA
Die Begriffe, die auftauchen, sobald man ein Formular oder ein Login vor Bots schützt, von Credential Stuffing bis CAPTCHA, jeder in einem oder zwei Sätzen erklärt.
Automatisierter Missbrauch
Die Nutzung einer Website durch Programme, in Serie, zu Zwecken, die die Website nicht zulässt: Spam über ihre Formulare senden, Fake-Accounts anlegen, Passwörter an ihrer Login-Seite ausprobieren.
Antisy richtet sich dabei auf Formulare, Registrierungen und Logins. Es ist weder eine Firewall noch ein E-Mail-Filter.
Siehe: Anwendungsfälle: Kontaktformular, Login, Registrierung
Anti-Spam
Was verhindert, dass Spam ankommt. Bei einem Formular eine Prüfung, die automatisierte Übermittlungen ablehnt, bevor sie gespeichert werden; bei einem Postfach ein Filter, der die eingehende Post sortiert.
Antisy ist ein Spamschutz für Formulare, kein E-Mail-Filter.
Bösartiger Bot
Ein Bot, der eine Website gegen die Interessen ihres Betreibers oder ihrer Nutzer verwendet: Er sendet Spam über die Formulare, legt Fake-Accounts an oder probiert Passwörter an der Login-Seite aus.
Siehe: Glossar: Bot (Roboter) · Bot-Erkennung: einen Bot von einem Menschen unterscheiden
Credential Stuffing
Ein Angriff, der an der Login-Seite einer Website massenhaft Paare aus Benutzername und Passwort ausprobiert, die anderswo gestohlen wurden. Er nutzt die Gewohnheit aus, dieselben Zugangsdaten bei mehreren Diensten zu verwenden.
Siehe: Anwendungsfall: Login vor Credential Stuffing schützen
Berechnung im Hintergrund
Eine kurze Berechnung, die der Browser ausführt, ohne etwas anzuzeigen, während der Besucher das Formular ausfüllt. Ein zu langsames Gerät, das sie nicht rechtzeitig beendet, wird abgelehnt; ein neuer Versuch zieht eine neue Berechnung.
Siehe: Dokumentation: die Frist der Berechnung im Hintergrund
CAPTCHA
Ein Test, der vom Besucher verlangt, zu beweisen, dass er ein Mensch ist: ein Kästchen ankreuzen, Bilder erkennen, ein Rätsel lösen.
Antisy zeigt keines an.
Unsichtbares CAPTCHA
Ein Bot-Schutz, der dem Besucher nichts zeigt: Er entscheidet anhand von Messwerten des Browsers statt anhand einer zu lösenden Aufgabe.
Antisy gehört zu dieser Familie: kein Kästchen, kein Rätsel. Der Browser führt nur eine kurze Berechnung im Hintergrund aus.
Site-Key und Secret
Die beiden Schlüssel einer Einbindung. Der Site-Key (32 Zeichen) ist öffentlich: Er kommt in die Seite. Das Verifizierungs-Secret (64 Zeichen) bleibt auf Ihrem Server und wird nur einmal angezeigt, bei seiner Erstellung.
CSP (Content Security Policy)
Ein HTTP-Header, mit dem eine Website dem Browser sagt, woher er Scripts laden und wohin er Anfragen senden darf.
Eine strenge Richtlinie muss https://api.antisy.com in script-src und connect-src erlauben, und 'wasm-unsafe-eval' in script-src.
Fake-Account
Ein Konto, das ein Programm anlegt, oft in Serie, über das Registrierungsformular einer Website.
Siehe: Fake-Accounts und Missbrauch bei der Registrierung · Anwendungsfall: Fake-Accounts bei der Registrierung verhindern
Falsch-Positiv
Ein echter Besucher, den ein Bot-Schutz zu Unrecht ablehnt.
Der Modus Streng nimmt das eher in Kauf: Er lehnt früher ab, auf die Gefahr hin, einige echte Besucher zu behindern. Der Modus Nachsichtig entscheidet umgekehrt.
Brute-Force-Angriff
Ein Angriff, der an einem einzigen Konto sehr viele Passwörter ausprobiert, bis er das richtige findet. Er läuft über ein Programm, in einem Takt, den kein Mensch durchhalten würde.
Honeypot (Honigtopf)
Eine Falle für Programme: ein Formularfeld, das das Layout vor dem Besucher verbirgt, das ein Mensch also leer lässt und das ein Programm, das alle Felder ausfüllt, mit ausfüllt. Eine Übermittlung, in der dieses Feld ausgefüllt ist, wird als automatisiert erkannt. In der IT-Sicherheit bezeichnet das Wort allgemeiner ein Lockvogelsystem ohne legitime Nutzung.
Token
Eine kurze, undurchsichtige Zeichenkette, die das Script beim Absenden erzeugt. Bei Antisy legt das Script sie in das versteckte Feld antisy-token des Formulars; sie ist 60 Sekunden gültig und wird nur einmal geprüft.
Siehe: Dokumentation: Gültigkeitsdauer und einmalige Verwendung
Prüfmodus
Wie streng Antisy einen zweifelhaften Besucher ablehnt, pro Website im Dashboard (auf Französisch) eingestellt: Streng, Ausgewogen (Standard) oder Nachsichtig.
revDSG (revidiertes Datenschutzgesetz)
Der gebräuchliche Name des Bundesgesetzes über den Datenschutz vom 25. September 2020, in der Systematischen Rechtssammlung DSG abgekürzt (SR 235.1), in Kraft seit dem 1. September 2023. Es bezweckt den Schutz der Persönlichkeit und der Grundrechte von natürlichen Personen, über die Personendaten bearbeitet werden (Art. 1).
Antisy beschreibt auf einer eigenen Seite die Rollenteilung, die dieses Gesetz zwischen Ihrer Website und Antisy vorsieht.
Siehe: Das DSG und Antisy: wer verantwortlich ist, wer Auftragsbearbeiter
Quelle, gelesen am : Fedlex, « Bundesgesetz über den Datenschutz (Datenschutzgesetz, DSG) vom 25. September 2020 », SR 235.1
Kontoübernahme (Account Takeover)
Die Übernahme des Kontos eines Nutzers durch einen Dritten, meist mit gestohlenen oder erratenen Zugangsdaten. Credential Stuffing, Brute-Force und Password Spraying sind ihre automatisierten Wege.
Password Spraying
Ein Angriff, der einige sehr verbreitete Passwörter an sehr vielen Konten ausprobiert, statt viele Passwörter an einem einzigen: Jedes Konto erhält nur wenige Versuche.
Verantwortlicher
Die private Person oder das Bundesorgan, die oder das allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet (DSG Art. 5 Bst. j).
Für die Besucher Ihrer Formulare ist das Ihre Website, nicht Antisy.
Siehe: Das DSG und Antisy: wer verantwortlich ist, wer Auftragsbearbeiter
Quelle, gelesen am : Fedlex, « Bundesgesetz über den Datenschutz (Datenschutzgesetz, DSG) vom 25. September 2020 », SR 235.1
Bot (Roboter)
Ein Programm, das anstelle eines Menschen Anfragen an eine Website sendet. Manche sind nützlich, etwa die Crawler der Suchmaschinen; andere füllen Formulare aus, probieren Passwörter aus oder legen Konten in Serie an.
Siehe: Bot-Erkennung: einen Bot von einem Menschen unterscheiden
Auftragsbearbeiter
Die private Person oder das Bundesorgan, die oder das im Auftrag des Verantwortlichen Personendaten bearbeitet (DSG Art. 5 Bst. k). Die Bearbeitung durch einen Auftragsbearbeiter setzt voraus, dass sie vertraglich oder durch die Gesetzgebung übertragen wird (Art. 9 Abs. 1).
Für Ihre Besucher bleibt Ihre Website der Verantwortliche; Antisy handelt als Auftragsbearbeiter, vertraglich geregelt.
Siehe: Das DSG und Antisy: wer verantwortlich ist, wer Auftragsbearbeiter
Quelle, gelesen am : Fedlex, « Bundesgesetz über den Datenschutz (Datenschutzgesetz, DSG) vom 25. September 2020 », SR 235.1
Formular-Spam
Unerwünschte Nachrichten, die ein Programm über ein Kontakt-, Kommentar- oder Newsletter-Formular sendet. Das Wort «Spam» bezeichnet auch unerwünschte E-Mails, die das Postfach sortiert und nicht eine Formularprüfung.
Ergebnis
Die Antwort von Antisy auf die Prüfung eines Tokens: allow, der Besucher kommt durch, oder deny, er kommt nicht durch. Es gibt nur diese zwei Ausgänge, und die Antwort nennt nie den Grund.
Wie sich diese Begriffe bei den anderen Diensten wiederfinden, lesen Sie im Vergleich von Antisy mit reCAPTCHA, Cloudflare Turnstile, hCaptcha und Friendly Captcha.