Webflow-Formular: was die Plattform gegen Spam tut

Wohin geht die Übermittlung eines Webflow-Formulars?

Laut der Hilfe von Webflow wählen Sie, Formular für Formular, wohin die Übermittlung geht:

• zu Webflow, das sie in den Einstellungen der Website unter «Forms» aufbewahrt;
• in eine Benachrichtigungs-E-Mail;
• an einen Webhook (eine externe Adresse) oder eine verbundene App;
• an eine benutzerdefinierte Aktion: Das Formular sendet direkt an eine Adresse, die Sie angeben, ohne über Webflow zu laufen.

Bei aktiver Spam-Filterung legt Webflow die Übermittlungen beiseite, die es für unerwünscht hält. Eine benutzerdefinierte Aktion lässt sich weder mit der Aufbewahrung bei Webflow noch mit den Benachrichtigungen kombinieren. Dieser Artikel sagt über Webflow nur, was dessen öffentliche Hilfe sagt; diese Seiten und ihre Menüs ändern sich: Prüfen Sie in Ihrem eigenen Konto. Die Hilfe rät ausserdem, in die Fehlermeldung des Formulars eine Möglichkeit aufzunehmen, Sie zu erreichen, zum Beispiel eine E-Mail-Adresse.

Was bietet Webflow gegen Spam?

Die Hilfe ordnet die Mittel in vier Methoden:

• Das reCAPTCHA-Feld: ein Formularelement, das den Besucher auffordert, sich als Mensch zu erklären. Die Hilfe räumt ein, dass es die Erfahrung der Besucher beeinträchtigen und von fortgeschritteneren Bots umgangen werden kann.
• Die Blockierung von Bots: eine Einstellung der Website, für alle Formulare. Laut der Hilfe analysiert sie Mausbewegungen, Eingaben und andere Signale, um die Übermittlungen von Bots zu blockieren; die Senden-Schaltfläche bleibt deaktiviert, während der Schutz lädt.
• Die Spam-Filterung: eine weitere Einstellung der Website, die die gesendeten Daten prüft, um unerwünschte Übermittlungen auszufiltern.
• Das Fangfeld (Honeypot): ein verstecktes Feld, mit Code auf Ihrer Seite, der die Übermittlungen verwirft, in denen es ausgefüllt ist.

Die beiden Einstellungen finden sich unter «Site settings», Rubrik «Apps & Integrations»; die Hilfe nennt die genaue Bezeichnung des Eintrags. Keine gelesene Seite nennt eine Zahl zur Wirksamkeit: Die Wirkung auf Ihr Formular zeigt sich an Ihren eigenen Übermittlungen.

Was verlangt das reCAPTCHA-Feld von Webflow?

Laut der Hilfe wird das Feld in ein Formular gesetzt; beschrieben wird die Version mit Kästchen. Sie registrieren Ihre Website beim Anbieter des Dienstes, der Ihnen einen Website-Schlüssel und einen geheimen Schlüssel gibt, die Sie in den Einstellungen der Website einfügen. Vor dem Einschalten:

• Das Einschalten gilt für die ganze Website: Ein Formular ohne reCAPTCHA-Feld lässt sich nicht mehr absenden, ab dem Speichern der Einstellung, auch ohne erneutes Veröffentlichen. Fügen Sie das Feld zuerst jedem Formular hinzu;
• bei einer benutzerdefinierten Aktion oder auf einer exportierten Website funktioniert die native Einbindung nicht wie erwartet: Die Prüfung müssen Sie selbst einbinden, nach der Anleitung des Anbieters.

Das Feld verlangt vom Besucher eine Handlung: Lesen Sie den Artikel über die Barrierefreiheit von CAPTCHAs, bevor Sie es zu Ihrer Hauptmethode machen.

Siehe: CAPTCHA und Barrierefreiheit: was die WCAG und das W3C sagen · reCAPTCHA ersetzen: was Sie vor dem Wechsel prüfen sollten

Wie setzen Sie das Fangfeld, ohne Screenreader zu stören?

Die Hilfe beschreibt die Technik mit einem Codebeispiel. Ihre Vorsichtsmassnahmen:

• ein Klassenname ohne «hidden» («versteckt») und realistische Feldnamen;
• das Feld versteckt über Position, Deckkraft oder display:none: Die Hilfe warnt, dass manche Bots diese Mittel erkennen und dass sich die Struktur mit der Zeit ändern muss, wenn die Bots dazulernen;
• tabindex="-1" am Feld und aria-hidden="true" an seiner Beschriftung, damit man es per Tastatur nicht erreicht und ein Screenreader es nicht vorliest.

Der Code des Beispiels deaktiviert die Senden-Schaltfläche, sobald das Feld eine Eingabe erhält. Er läuft in der Seite: Ein Programm, das das Formular sendet, ohne die Seite zu laden, löst ihn nicht aus (Überlegung zum Beispiel, auf einer Webflow-Website nicht geprüft).

Siehe: Glossar: Honeypot · Spam im Kontaktformular: was tun, Massnahme für Massnahme

Was erlaubt ein natives Webflow-Formular nicht?

Abwehrmassnahmen wie Felder prüfen, Schübe begrenzen und ein Token prüfen liegen auf Ihrem Server. Bei einem nativen Formular geht die Übermittlung an Webflow, nicht an Sie, und in den gelesenen Hilfeseiten lässt keine Einstellung Ihren Server aufrufen, bevor Webflow sie annimmt. Der Webhook und die verbundene App kommen dem nahe:

• Der Webhook sendet die Übermittlungen an eine externe Adresse, mit einem geheimen Schlüssel, um die Signatur der Nachrichten zu prüfen;
• die verbundene App sendet sie zusätzlich zu Webflow an einen Drittdienst.

Die Hilfe sagt nicht, dass sie erlauben, eine Übermittlung abzulehnen, bevor Webflow sie aufbewahrt: nicht geprüft. Bei einem nativen Formular liest ein Token, das ein Script in der Seite einfügt, bei der Übermittlung also niemand auf Ihrer Seite; sortieren können Sie nur im Nachhinein.

Und wenn Sie einen eigenen Server haben?

Die Hilfe sieht den anderen Weg vor: die benutzerdefinierte Aktion. In den Einstellungen des Formulars entfernen Sie die Ziele Webflow und Benachrichtigungen, wählen «Custom action», geben die Adresse Ihres Servers und die Methode an, POST oder GET. Ihr Code empfängt dann die Übermittlung: Er kann sie validieren, ein Token prüfen, Schübe begrenzen und entscheiden, was er antwortet. Was Sie laut der Hilfe verlieren:

• Die Übermittlung wird nicht mehr bei Webflow aufbewahrt: keine Liste mehr unter «Forms», kein Spam-Postfach mehr;
• die E-Mail-Benachrichtigungen von Webflow hören auf;
• die native reCAPTCHA-Einbindung funktioniert nicht mehr wie erwartet.

Sie betreiben dann diesen Server, seine Schlüssel und seine Secrets: ein echter Aufwand für eine Visitenkarten-Website. Die Massnahmen dort sind die des Artikels über Spam im Kontaktformular.

Siehe: Spam im Kontaktformular: was tun, Massnahme für Massnahme

Wo Antisy steht

Antisy ist eine unsichtbare Bot-Prüfung (manchmal «unsichtbares CAPTCHA» genannt) für Formulare. Ein Script-Tag in der Seite lädt das Script; beim Absenden legt es ein kurzes Token in das versteckte Feld antisy-token; Ihr Server schickt dieses Token mit seinem Secret an Antisy und liest die Antwort, allow oder deny. Es gibt nur diese zwei Ergebnisse, und die Antwort nennt nie den Grund.

Auf einem Webflow-Formular: Antisy hat weder eine native Einbindung in Webflow noch eine Erweiterung, und der Aufruf erfolgt von einem Server von Ihnen. Bei einem nativen Formular, dessen Übermittlung an Webflow geht, empfängt kein Server von Ihnen die Übermittlung: Antisy schützt sie nicht. Bei einer benutzerdefinierten Aktion kann Ihr Server den Aufruf machen und die Übermittlung bei deny ablehnen; Sie verzichten dann auf das, was Webflow mit den Übermittlungen macht. Das Script wurde auf einer Webflow-Seite nicht ausprobiert: nicht geprüft.

Der Zugang läuft über eine Warteliste: Warten Sie nicht auf Antisy, um zu handeln. Antisy unterscheidet keine von Hand getippte Werbeansprache, nennt keine Erkennungsrate und lehnt ein sehr langsames Gerät ab, das seine Berechnung nicht rechtzeitig beendet. Es kommt zu den obigen Methoden hinzu, es ersetzt sie nicht.

Siehe: Anwendungsfall: Kontaktformular vor Spam schützen · Dokumentation: welche Formulare das Script abdeckt · Glossar: unsichtbares CAPTCHA · Häufige Fragen: Was unterscheidet Antisy von einem CAPTCHA? · Die Anleitungen zur Einbindung

Stand des Angebots

Der Zugang erfolgt über eine Warteliste. Die API und das Dashboard sind seit dem 27. Oktober 2026 in Betrieb, gehostet bei Infomaniak in Genf; noch ist kein Kunde in Produktion. Das Pilotprojekt hat am 9. November 2026 mit unseren eigenen Formularen begonnen.

Siehe: Das Pilotprojekt · Der Warteliste beitreten

Häufige Fragen