Wordpress-Tutorial: Rechnen mit Spam [update]
Update 08.01.2007 siehe Punkt 9: “Tipp: Umbenennen der comments-Datei” | Ich habe datenschmutz von händischer Kommentaraktivierung umgestellt auf eine kleine “Rechenaufgabe”, weil ich nicht jeden Kommentar einzeln händisch freischalten möchte. Die von mir gesammelten Infos zum Thema optimale Spambekämpfung mit Wordpress 2 gibt’s zusammengefasst im folgenden Artikel - auf dass sie viele Blogs mit wenig Aufwand spamfrei halten mögen!
Inhalt
- Cpt. Spam, der unerwünschte Besucher
- händische Freischaltung
- händische Freischaltung des 1. Kommentars
- Akismet Antispam
- Captcha und Co.
- HashCash
- Trackback-Spam
- Beispielskonfiguration
- Tipp: Umbennen der comments-Datei
- Links zu WordPress Antispam-Plugins und weiteren Infos
1. Cpt. Spam, der unerwünschte Besucher
Spam tritt längst nicht mehr nur in Form von E-Mails auf - wer selbst ein Blog oder ein Forum betreibt, weiß um die digitale Pest. Hier am Blog etwa fischte das Akismet-Plugin innerhalb von drei Monaten 425 Spameinträge aus der Datenbank - das sind weit mehr als tatsächliche Kommentare. Je beliebter und populärer ein Blog, desto hartnäckiger die Versuche der Spammer.
Ganz hilflos ausgeliefert ist der Webmaster den Bösewichtigen des digitalen Raumes dann aber doch nicht - um unerwünschte Werbekommentare zu vermeiden, existieren eine Reihe von Verfahren mit spezifischen Vor- und Nachteilen. Eine Registrierung vorzuschreiben für alle Besucher, die nur mal schnell ihre Meinung zu einem Artikel abgeben möchten, erscheint übertrieben. Wer seinen Besuchern die Möglichkeit geben möchte, schnell und unkompliziert zu kommentieren und sich zugleich vor Spam schützen will, dem stehen verschiedenen Wege offen - WordPress selbst kann um diverse Antispam-Lösungen erweiteren werden. Für ein optimales Ergebnis mit möglichst wenigen “false positives” (darunter versteht man Einträge, die irrtümlich als Spam gekennzeichnet werden) einerseits und einem Minimum an händischem Eingriff andererseits empfiehlt sich eine Kombination mehrerer Plugins. Im folgenden möchte ich die einzelnen Strategien kurz vorstellen sowie ihre Vor- und Nachteile erläutern: Kommentare und Hinweise sind natürlich sehr erwünscht!
2. Händische Kommentar-Freischaltung
Jeder Kommentar wird manuell freigeschalten. Dazu braucht man keine Plugins, WordPress in der Grundkonfiguration bietet diese Option an.
Vorteil: die einzige Methode, die 100%ige Sicherheit bietet.
Nachteil: jeder Kommentar erfordert einen persönlichen Eingriff und erscheint erst nach Freitschaltung am Blog.
3. Händische Freischaltung des 1. Kommentares
Nur der erste Kommentar muss händisch freigeschalten werden: WordPress bietet unter Options/Discussion folgende Einstellmöglichkeiten:
Before a comment appears:
* An administrator must approve the comment (regardless of any matches below)
* Comment author must fill out name and e-mail
* Comment author must have a previously approved comment
Deaktiviert man die erste und aktiviert die zweite und dritte Option via Checkbox, dann muss der Webmaster nur mehr den ersten Kommentar einer Person händisch freischalten. Kommentiert derselbe User mit dem gleichen Nicknamen und der gleiche E-Mail Adresse, wird der Kommentare sofort freigeschalten.
Vorteil: Da die E-Mail Adresse für andere Besucher nicht ersichtlich ist, spart diese Methode einiges an Handarbeit
Nachteil: Trotzdem erfordert jeder “Erstlingskommentar” einen händischen Eingriff und erscheint nicht sofort auf der Seite. Außerdem muss bei dieser Methode die Eingabe von E-Mail Adresse und Usernamen zwingend vorgeschrieben werden.
4. Akismet Antispam
Akismet beruht auf kollaborativer Spamfilterung und zeigt sich lernfähig:
Verdächtige Kommentare verschiebt Akismet in eine “Spam Queue”, die über das WordPress Moderationsinterface zugänglich sind. False Positives sind selten, im großen und ganzen funktioniert das System sehr zuverlässig. Das Plugin ist in WordPress 2.0 enthalten - bevor man es nutzen kann, benötigt man zum Zugriff auf die zentralen Server einen sogenannten API-Key, der nach Registrierung gratis erstellt wird.
Vorteil: kollaborative Spamfilterung, perfekt integriert in WordPress, enthalten im Lieferumfang
Nachteil: Akismet sollte unbedingt aktiviert werden - die Serverperformance leidet nur unwesentlich.
5. Captcha und Co.
Als Captcha bezeichnet man die grafischen Texte, die zur Überprüfung in ein Eingabefeld eingetragen werden müssen. Typischerweise handelt es sich um ein Bild das aus verschiedenen Buchstaben und Ziffern besteht. Um automatisierte Spambots von menschlichen Benutzern unterscheiden zu können, muss der betreffende Texte entziffert und eingegeben werden. Für WordPress existieren diverse Captcha-Plugins - einfach zu installieren ist captcha!, der Autor selbst empfiehlt allerdings die Verwendung von HashCash (siehe unten).
Vorteil: erhöhte Sicherheit gegen Spambots, trotzdem sofortige Freischaltung erwünschter Kommentare
Nachteil: den besten Schutz bieten möglichst schwer leserliche Captchas - diese wiederum verringern die Usability auch für menschliche Benutzer: häufig fällt zB die Unterscheidungen zwischen dem kleinen “l” und er Ziffer “1″ schwer. In Kürze werden Spambots jedoch zumindest einfache Captchas automatisiert entschlüsseln können.
Eine imho sehr elegante Methode, die Vorteile von Captcha mit wesentlich besserer Usability zu kombinieren, stammt von Michael Wöhrer: das Math Comment Antispam Plugin ist schnell eingebaut - eine paar Zeilen Code im Comments-Template, und schon muss zukünftig jeder Kommentator rechnen: das Ergebnis einer simplen Addition zweier Zahlen (ob ein- oder mehrstellig lässt sich via Optionen regeln) muss als Verifikation in ein zusätzliches Eingabefeld eingetragen werden. In Aktion zu bewundern ist es zB im Kommentarfeld zu diesem Artikel.
6. Hashcash
Eine neue Variante, gegen automatisierte Spambots vorzugehen, bietete HashCash. Das System beruht auf der Übertragung eines Keys durch chiffriertes Javascript mit dynamischen Ajax-Funktionen: WP Hash-Cash. Die Funktionsweise im Detail:
Every four hours, your blog picks a random large number (close to 32 bits). Whenever a visitor visits your permalink pages, an ajax call is made which retrieves some javascript. This javascript first decrypts itself, then executes itself again to retrieve the secret value, which it sets in the form. If a comment does not have this value, it is rejected. If a comment is rejected more than four times, the user is blocked for a specified period of time.
Das bedeutet allerdings, dass HashCash nur funktioniert, solange automatisierte Spam-Software Javascript nicht interpretiert. Die Lösung bietet also nur Schutz, bis der Feind technisch aufrüstet:
Regarding Spam, WP-HashCash and its derivatives are methods that will eventually fail in the future. This is because those methods can be made automatic (it’s possible to make a program which interpretes JavaScript, the same way current browsers do, and sends Spam; I’ve already seen 2 ways to do that in Internet). It’s only a matter of time.
Any test made to detect whether a user is a human or a machine, will need human intervention (like Captcha! currently does). Otherwise, the test method could be made automatic and, thus, programmable on a machine. So, only when current plugin (WP-HashCash) has been beaten, I will resurrect Captcha! again. [via boriel.com]
7. Trackback-Spam
Von Haus überprüft WordPress nicht, ob Trackbacks (siehe Was ist eigentlich ein Trackback?) Links zum Artikel enthalten, auf den sie Bezug nehmen. Freche Spammer benutzen daher gerne die Trackback-Funktion, um vollautomatische ihren Müll im Kommentarfeed abzuladen.
Ein simples Plugin macht Schluss damit: Michael Wöhrers Simples Trackback Validation überprüft je nach Einstellung, ob ein der Artikel, der den Trackback sendet, einen Link zum eigenen Blog bzw. zum ge-trac-backten Artikel enthält. Falls nicht, bleibt’s beim Spam-Versuch und der Trackback wandert direkt in den Müll.
8. Beispielskonfiguration
Hier am datenschmutz.blog hatte ich zuerst die Variante “händische Freischaltung des 1. Kommentars” gewählt - allerdings ist mir dies immer noch zuviel Eingriff, außerdem will ich, dass die Kommentare sofort erscheinen. Daher habe ich mich für folgende Konfiguration entschieden:
Discussion-Options: User müssen Name und E-Mailadresse ausfüllen Update: geändert; Username und E-Mail sind freiwillig, nur die math antispam Rechenaufgabe ist Pflichtfeld. Grund: anonyme Kommentare sollen ermöglicht werden.
Plugins: Akismet Antispam | Simple Trackback Validation | Math Comment Spam Protection
Mal schauen, ob sich diese Konfiguration bewährt - aus tiefster Abneigung gegen so oft unleserliche Captchas möchte ich auf ein solches verzichten - die Rechenvariante erscheint mir eleganter und einfacher, ob sie ausreichend vor Regen schützt, wird die Zukunft zeigen.
9. Tipp: Umbenennen der Comments-Datei
Über Avilon bin ich auf Viper007Bond’s Tipp gestoßen. Oft sind die simplen Methoden die erfolgreichsten - und im vorliegenden Fall müssen lediglich eine Datei umbenannt und eine Zeile Code geändert werden. Die Vorgehensweise im Detail:
- wp-comments-post.php auf einen beliebigen Namen umbenennen
- anschließend den Verweis auf die betreffende Datei im File comments.php anpassen.
Die betreffende Zeile sieht in etwa so aus:
wp-comments-post.php musst mit dem neuen Dateinamen, zB. wp-spam-me-not.php, ersetzt werden.
Sinn der Sache: viele Spam-Bots sind fest auf den vorgegebenen Wordpress-Standard Namen der comments-Datei programmiert. Da diese Datei nur an einer Stelle referenziert wird, funktioniert das Umbenennen schnell und schmerzlos. Allerdings handelt es sich wie meist nur um eine temporäre Lösung: sobald die Spammer dazu übergehen, ihre Bots nicht auf einen fixen Dateinamen zu programmieren, sondern den Filename aus dem Blog auszulesen, greift die Maßnahme nicht mehr. Bis dahin sind die zwei Minuten allerdings gut investierte Zeit, um eine ganze Latte an Spambots ins Leere laufen zu lassen.
10. Links zu WordPress Antispam-Plugins und weiteren Infos
Akismet Antispam (bei WordPress 2 aktiviert, erfordert API-Key (gratis erhältlich bei Wordpress.org)
Simple Trackback Validation
Math Comment Antispam
HashCash
SpamKarma 2: umfangreich, detaillierte Optionen
Wordpress.org Antispam Plugins: umfangreiche Liste diverser Antispam-Plugins
Loading ...veröffentlicht am 02. December anno domini 2006.
Tags: Antispam, Blogging Tools, Captcha, Links, Sicherheit, software, Spam, Tutorial, WordPress, WordPress Plugin
Trackback-URL
Kommentarfeed
Druckansicht dieser SeiteKommentar schreiben:
Trackbacks und Pings
- Übersicht | mister-wong.de | Social Bookmarking Tool schrieb am 8. January 2007 um 2:04
Wordpress-Tutorial: Rechnen mit Spam [update] [IMG]
- avilon.eu schrieb am 28. January 2007 um 10:21
Recent Comments datenschmutz.net » Blogistan-Panoptikum Woche 2 2k7 on Legale Bittorrent DownloadsManuel on Zeit für was Schönes..datenschmutz.net » Wordpress-Tutorial: Rechnen mit Spam on WordPress Comment Spam ohne Plugin verhindernritchie on WordPress Comment Spam ohne Plugin verhindernritchie on Legale Bittorrent Downloads
- Simple Trackback Validation Plugin — Software Guide schrieb am 6. March 2007 um 10:59
5 datenschmutz.net » Wordpress-Tutorial: Rechnen mit Spam Pingback vom 8. Januar 2007, 2:28 Von Haus überprüft WordPress nicht, ob Trackbacks (siehe Was ist eigentlich ein Trackback?) Links zum Artikel enthalten, auf den sie Bezug nehmen. Freche Spammer benutzen
- alles was bewegt schrieb am 18. March 2007 um 18:09
Statistik Plugins und zumindest einem externen Erbsenzähler scheint mir durchwegs sinnvoll, um allfällige Diskrepanzen zu entdecken - ohnehin sollte man bekanntlich keiner Statistik trauen, die man nicht selbst interpretiert hat. Weitere Themen: Wordpress-Tutorial: Rechnen mit Spam Tipps und Tricks: WordPress und Feedburner
- alles was bewegt schrieb am 18. March 2007 um 18:10
Statistiktools für WordPress
unter diesem Title hat der Datenschmutz-Blog einmal die Möglichkeiten der Statistischen Auswertungen eines Blogs zusammengestellt.
Alle wichtigen externen Tools, wie zum Beispiel Google-Analystic, Statcounter aber auch die Wordpress Plugins Stat Traq,… - datenschmutz.net schrieb am 4. June 2007 um 11:51
Die 6 besten Gründe gegen das Nofollow-Attribut
Der Nofollow-Attribut sollte einst Spammer von ihrer Tätigkeit abhalten - mittlerweile richtet der Linkblocker aber nur noch Kollateralschäden an.
… - datenschmutz.net schrieb am 2. August 2007 um 12:12
Kommen die Russen zum Spammen?
Registrierungen von .ru E-Mail-Adressen häufen sich, Spammer missbrauchen datenschmutz Adressen als Absender… das E-Mail Protokoll ist leider völlig unzureichend gegen Manipulation geschützt.
… - архив порно schrieb am 5. September 2007 um 9:40
архив порно…
Wordpress-Tutorial: Rechnen mit Spam [update] auf datenschmutz.net…
- скачать порно клипы schrieb am 13. September 2007 um 10:46
скачать порно клипы…
Wordpress-Tutorial: Rechnen mit Spam [update] auf datenschmutz.net…
- порно клипы schrieb am 13. September 2007 um 11:01
порно клипы…
Wordpress-Tutorial: Rechnen mit Spam [update] auf datenschmutz.net…
- Böse Geister, Trackbackspam vom Feinsten! - Affiliate Marketing Blog schrieb am 17. November 2007 um 15:21
[...] Info´s, wie man sich schützen kann gibt es unter Punkt 7 auf einem Artikel von datenschmutz.net - auch die anderen Punkte sollte man sich ruhig mal kurz durchlesen (sehr interessantes [...]
- Hannemann - new media | Design, Kommunikation & Marketing » Blog Archive » Spam in WordPress schrieb am 19. December 2007 um 23:09
[...] Benutzerfreundlichkeit anderseits gewährleistet. Während meiner Suche bin ich auf das Datenschmutz-Blog gestoßen, das einen interessanten Artikel zu genau der Problematik [...]
Danke für die Zusammenfaassung. Ich hab bisher nur Aksimet aktiviert. Bin mal gespannt, ob noch mehr nötig ist.
[direkt antworten]
Hi, danke für das Nette Tu, hat mir sehr nach auch der Suche nach einer guten Anti-Spam-Lösung geholfen und alles gut kommentiert!
danke
[direkt antworten]
Moin, moin,
die Rechenaufgabe habe ich nun auch einige Wochen ausprobiert und funktioniert auch nicht wirksam. Erstens können die Spammer die Zahlen dekodieren und auch ausrechnen und zweitens haben fremdsprachige Kommentatoren arge Schwierigkeiten die Aufgabe zu verstehen.
Trotzdem natürlich eine gute Übersicht.
Grüße
Stefan
[direkt antworten]
Naja, die Sache mit den fremdsprachigen Kommentatoren würd ich nicht allzu tragisch sehen: wenn man den Beitragstext überhaupt nicht lesen kann, dann macht das Kommentieren vermutlich auch nicht sooo viel Sinn. Außerdem könnte man auch einfach 5 6= neben das Feld hinschreiben, das wär auch ohne Sprachkenntnisse verständlich.
Problematischer ist natürlich, dass sich das System knacken lässt, keine Frage. Allerdings hatte ich bislang hier keine Troubles (klopf auf Holz!), und ich find’s einfach sehr wichtig, dass Kommentare sofort freigeschalten werden.
[direkt antworten]
Ich benutze das Theme K2 ind habe testweise Math Comment installiert. Wenn man die falsche Sume eingibt und über den Back Button zurück geht, schliessen sich sich die persönlichen Angaben. Wie kann man das konfigurieren? Kann mir da jemand helfen? Danke!
[direkt antworten]
Bei mir ist das Problem etwas anders gelagert, weil ich die Ajax-Kommentarfunktion verwende - da funktioniert kein Back-Button, weil die Seite nicht erneut geladen wird. Leider geht bei Falscheingabe der Nachrichtentext verloren; aber ich hab noch keine Möglichkeiten gefunden, das zu umgehen.
[direkt antworten]
Interessante Liste, von dem meisten halte ich nicht sehr viel. Captchas stehen auf meiner persönlichen “Hassliste”!
Interessant fand ich das Anti-Trackback-Spam Plugin. Das werde ich mal ausprobieren. Das in Verbindung mit dem genialen Akismet wird wohl zu 99,9% ausreichend sein.
[direkt antworten]
Ich finde Captchas auch extrem mühsam - va die Sorte, die nicht nur Spambots, sondern auch menschliche Leser zuverlässig blockt, weil Zeichen ein “1″ (eins) und “I” und “l” (Buchtabe) quasi nicht zu unterscheiden sind… das Anti TB Plugin ist wirklich sehr hilfreich; va weil immer mehr Spammer die TB-Funktion benutzen, weil die ja anscheinend die Filterung umgeht.
Was mich am Akismet stört, sind die relativ vielen false positives und das Fehler jeglicher Konfigurationsoptionen.
[direkt antworten]
Danke für den Artikel, werde mal schauen, was ich noch davon verwenden kann.
[direkt antworten]
Naja, wenn man hier die Kommentare so liest, dann hat es wohl doch trotz Sicherheitsmaßnahmen der eine oder andere Spamer geschafft, seine “Visitenkarte” zu hinterlassen… Z. Bsp. hier:
# порно клипы schrieb am 13. September 2007 um 11:01
порно клипы…
Wordpress-Tutorial: Rechnen mit Spam [update] auf datenschmutz.net…
Gruß
Loki
[direkt antworten]
Naja, ich geb zu: der war im Spam, den hab ich händisch freigeschalten, weil ich den Trackback zu diesem Artikel witzig fand!
[direkt antworten]
Ja also regestrierungen finde ich auch zu übertrieben, wenn man wirklich garkeine unerwünschten Links will sollte man entweder die Kommetare moderieren, oder die Link Zeile direkt entfernen.
[direkt antworten]
recaptcha wäre evtl. noch erwähnenswert. Durch die Captcha Eingaben werden gleichzeitig auch Bücher digitalisiert.
http://recaptcha.net/
[direkt antworten]
Recaptcha ist wirklich genial… ich hab ja zuerst nie verstanden, wie das funktionieren kann, wenn das script das richtige Ergebnis gar nicht kennt - aber durch die Kombination aus zwei Wörtern macht das ganze natürlich hochgradig Sinn. Außerdem sind die recaptcha-Wörter viel leichter zu entziffern für Human Readers als die künstlich entstellten Ziffern der übrigen Captchas. Aber am un-intrusivsten ist und bleibt für Blogs das gute alte Math Comment Antispam Plugin.
[direkt antworten]
Weiß man eigentlich, welche Bücher da digitalisiert werden, bzw. wo kann man die Erfolge anschauen?
[direkt antworten]
Guter Punkt! Auf http://recaptcha.net/ sind zwar alle möglichen Plugins für diverse CMS’ses und Programmiersprachen zu finden, aber Link zu public results hab ich keinen gefunden.
[direkt antworten]
Also wenn recaptcha wirklich so funktioniert wie es beschrieben ist, bzw. auch irgendwann mal Resultate zu sehen sein werden, finde ich das wirklich ein geniale Idee.
[direkt antworten]
Ja Kathi, die recaptcha funktioniert wirklich so… früher war das anders, da haben wir die zahlen und Buchstaben getippt
[direkt antworten]
Naja, die Sache mit den fremdsprachigen Kommentatoren würd ich nicht allzu tragisch sehen: wenn man den Beitragstext überhaupt nicht lesen kann, dann macht das Kommentieren vermutlich auch nicht sooo viel Sinn. Außerdem könnte man auch einfach 5 6= neben das Feld hinschreiben, das wär auch ohne Sprachkenntnisse verständlich.
Problematischer ist natürlich, dass sich das System knacken lässt, keine Frage. Allerdings hatte ich bislang hier keine Troubles (klopf auf Holz!), und ich find’s einfach sehr wichtig, dass Kommentare sofort freigeschalten werden.
[direkt antworten]
Danke Dir, das funktioniert wunderbar!
[direkt antworten]
Nette zusammenfassung die du da zusammengestellt hast.
Bis jetzt habe ich immer Captcha benutzt aber werde mal das ein und andere mal ausprobieren
[direkt antworten]
großes Dankeschön!
funktioniert perfect!
grüße Horst
[direkt antworten]
ich bin mit dem math comment protector sehr zufirden. kann den jedem empfehlen, der aktiv gegen spam vorgehen will.
[direkt antworten]
Auch wenns schon etwas älter ist, ein sehr schönes Tutorial! Bin selbst gerade dabei, Kommentare endlich freizuschalten und demnach auf der Suche, was man am Besten gegen automatisierten Spam unternehmen kann. Man wird ja von den Möglichkeiten teils erschlagen, von daher toll, dass sich jemand die Arbeit macht, die einzelnen Schutzmöglichkeiten zusammen zu beleuchten. Vielen Dank!
[direkt antworten]
Wenn jemand die ultimative Lösung hat bitte melden
[direkt antworten]
Danke für das Tutorial.. Viel gesucht und viel gefunden, aber das hier verstanden.. Danke Max
[direkt antworten]
Hi, dankeschön, das freut mich natürlich!
[direkt antworten]
Hallo,
Danke für das Tutorial!
Es ist wirklich nicht einfach sich in diesem Dschungel zurechtzufinden, da sind solche Tipps und Tricks doch recht hilfreich und wertvoll.
Es wird wohl mit den Spammern ein Katz und Maus Spiel bleiben…
[direkt antworten]
Wird mit dem neuen WP 2.5 alles besser oder zumindest einfacher?
[direkt antworten]
Also wenn recaptcha wirklich so funktioniert wie es beschrieben ist, bzw. auch irgendwann mal Resultate zu sehen sein werden, finde ich das wirklich ein geniale Idee.
[direkt antworten]
ich bin mit dem math comment protector sehr zufirden. kann den jedem empfehlen, der aktiv gegen spam vorgehen will.
[direkt antworten]
Also bei mir hat er auch sehr gute Dienste verrichtet, nur mit OpenID hatte ich Schwierigkeiten, daher verwende ich jetzt das SpamFree Plugin: arbeitet bis jetzt (die erste Woche) perfekt.
[direkt antworten]