Hinzugefügt
- Ein modernes Captcha, ab der Installation aktiv: ALTCHA. Es wird von der Website selbst gehostet — kein Konto, kein Schlüssel, kein Cookie, kein Drittdienst. Der Besucher sieht ein Kästchen, das sich selbst ankreuzt, während er das Formular ausfüllt: Sein Browser führt eine kleine Berechnung aus, die der Server prüft. Es schützt das Kontaktformular, die Registrierung und die Rekrutierung. Beim Update wechselt eine Website ohne reCAPTCHA-Schlüssel zu ALTCHA; eine Website, die welche hatte, behält reCAPTCHA. ALTCHA macht den Massenversand für einen Bot teuer; gegen einen entschlossenen Angreifer sind die folgenden Anbieter, die ihre eigenen Prüfungen hinzufügen, robuster.
- Alternativ Cloudflare Turnstile, hCaptcha oder Google reCAPTCHA v2, unter Einstellungen → Sicherheit gegen Bots, mit dem Link zur Konsole jedes Anbieters. Der geheime Schlüssel wird verschlüsselt und nie wieder angezeigt. Ohne seine zwei Schlüssel wird ein Anbieter durch ALTCHA ersetzt, statt das Formular offen zu lassen.
- Das Captcha und seine Meldungen gibt es in allen sechs Sprachen.
Behoben
- reCAPTCHA: Der geheime Schlüssel wurde in der Prüfadresse übertragen; er wird jetzt im Körper der Anfrage übertragen, wie Google es verlangt. Der veraltete Link zu seiner Konsole ist ersetzt, und die weitergegebene Adresse des Besuchers folgt der Regel, die der Rest der Website verwendet und die einen als vertrauenswürdig angegebenen Proxy berücksichtigt.
- Wenn die Prüfung gegen Bots nicht abgeschlossen wurde, steht die Meldung ausgeschrieben unter dem Captcha, statt eines einsamen Symbols, dessen Tooltip auf einem Touchscreen nicht erscheint.
Sicherheit
- Das Captcha einmal zu bestehen befreit nicht mehr davon, es erneut zu bestehen. Seit dem ursprünglichen NeoFrag befreite ein bestandenes Captcha bei allen folgenden Übermittlungen desselben Formulars davon, es erneut zu bestehen, bis zum Ende der Sitzung: Ein Bot, der eine einzige Aufgabe löste, konnte dann unbegrenzt übermitteln. Die Befreiung gilt jetzt nur noch für eine einzige erneute Übermittlung, nach einem anderen Fehler im Formular.
- Eine Lösung von ALTCHA kann nur einmal verwendet werden: Wird sie erneut vorgelegt, wird sie abgelehnt.
- Die Sicherheitsrichtlinie der Seiten erlaubt Google nicht mehr standardmäßig: nur die Adressen des gewählten Captcha-Anbieters, und keine mit ALTCHA.