Ein Beitrag von Franz Too hat mich heute vormittag auf eine Idee zur kollaborativen Spam-Filterung gebracht. Franz hat in den letzten Tagen massenhaften Spam von immer denselben ukrainischen IPs bekommen – also trug er die betreffenden IPs in die .htaccess-Datei mit einer Deny-Regel ein. Somit wird der betreffende Spam solange gesperrt, bis die Spammer die IP-Adressen wechseln. Die Datei steht zum Download bereit.

Technischer Hintergrund: mit der .htaccess Datei werden die Zugriffe auf verschiedene Bereiche des Webservers konfiguriert – hier legt man den Passwortschutz für Verzeichnisse fest und in diese Datei schreibt WordPress auch die Re-Writing Regeln für die Titel-URLs der einzelnen Beiträge. Diese .htaccess Datei kann aber noch eine Menge mehr: via expliziter deny- oder acess-Regeln lässt sich der Zugriff nur für bestimmte IP-Adressen freigeben oder auch gezielt sperren. Eine Beschreibung der entsprechenden Syntax gibt’s hier.

Franz hat die gesammelten IPs für die Verwendung in der eigenen .htaccess-Datei zum Download bereitgestellt und schreibt dazu:

Ich weiss, dass es wahrscheinlich nur eine vorübergehehende Erleichterung sein wird und dass der Versuch wahrscheinlich lächerlich ist. Wer aber will, kann sich die Adressen hier runterladen (falls er keine Angst hat, die ukrainischen Leser beim gleichen Provider auszusperren).

“Lächerlich” wohl deshalb, weil die Spammer recht häufig ihre IPs wechseln – was aber, wenn man nun ein zentrales Repository programmieren würde, in das “verdächtige” IP-Adressen eingegeben werden? Die Software müsste täglich oder wöchentlich den entsprechenden .htaccess-Code erstellen, den dann jeder Teilnehmer einbauen kann.

Um Manipulationen zu verhindern, könnte man eine IP nicht nach dem ersten Submitten in die Negativ-Liste aufnehmen, sondern zB erst, wenn mindestens x Teilnehmer dieselbe Adresse eingeben. Weiter gedacht müsste sogar eine Anbindung an Systeme wie Akismet möglich sein mit automatischer Übernahme der häufigsten Spam-IPs.

Folgende Punkte fallen mir auf die Schnell dazu ein:

Vorteile:
+ systemunabhängig: funktioniert mit jedem Apache-Server unabhängig von der verwendeten Hosting-Software
+ gutes Mittel gegen große Spam-Floods

Nachteile:
- bei false positives wird Blog-Zugriff komplett geblockt
- .htaccess muss regelmäßig händisch upgedatet werden (ließe sich aber durch ein cronjob-gesteuertes Plug-In umgehen)
- keine Komplettlösung, sondern nur Teil der Anti-Spam Strategie

Die gängigen Methoden zur Bekämpfung von Spam mit WordPress haben alle ihre Vor- und Nachteile. Als Ergänzung könnte der beschriebene Service aber durchaus Sinn machen – auf Meinungen dazu bin ich gespannt.

6 Kommentare zu „Zur Diskussion: Spam via .htaccess stoppen?“