Антиспам в PHP-формах: что норм работает, а что — просто лишнее
 

Наткнулся на кучу вариантов защиты форм от спама — от простых капч до всяких хитрых проверок. Сам пробовал несколько подходов и решил поделиться, что реально помогает, а что только гемора прибавляет.

Первое, что почти всегда включаю — простая Google reCAPTCHA. Да, она раздражает пользователей, но уже значительно отсекает роботов. Минус — требует внешнего сервиса и иногда ломает UX, если капча дико сложная.

Второй вариант — honeypot-поля. По сути, дополнительный скрытый инпут, который нормальные юзеры не видят и не заполняют, а боты — наоборот. Плюс: просто добавить, минус — некоторые боты стали умнее и научились их пропускать.

Есть ещё таймеры (проверка, насколько быстро отправлена форма), часто берут для фильтрации ботов, которые слепо жмут кнопку моментально. Но если у пользователя медленный интернет или он задумался, может быть ложное срабатывание.

Фильтрация по IP и частота отправки — работает, когда много спама с одного источника. Но если спамят откуда угодно — не очень.

Что мне понравилось — комбинировать методы: honeypot + таймер + базовая капча. Так большинство мусорных заявок отсекается, а пользователей не сливают в жесткую прокрустову кровать.

А у вас какие комбинации работают? Может, кто-то забыл старую добрую проверку полей через JS или что-то экзотическое?

Знаешь, тут не всё так однозначно. Один и тот же способ на разных проектах может работать по-разному, и часто приходится пробовать, чтобы понять, что не просто нагрузка для юзера, а реально отпугивает спамеров. Чисто капча — да, надо, но без доп. методов обычно мало толку.

Тоже пробовал комбинировать — капча плюс honeypot реально дают прикурить ботам, но на старте лучше сделать капчу попроще, чтобы не отпугивать людей. Таймеры крутые, но с медленным интернетом иногда сбивают. Вся эта история — компромисс между удобством и защитой, так что лучше брать минимум, который реально сокращает спам, а не превращает форму в квест.

Раньше был проще спам ловить — капча да пара простых проверок, сейчас жёсткий замес пошёл, боты умнеют. Так что уже просто одну капчу не поставишь, надо что-то с хитрой логикой, иначе толку мало. Особенно эти таймеры — я сначала думал, класс, но у некоторых реально тормоза на связи, и форма ломается. Хонепоты норм работают, но их тоже стали распознавать. В итоге лучше по чуть-чуть, но и юзера не мучать сильно.