Heb ik een CAPTCHA nodig op mijn formulier?

Meestal niet als eerste stap. Stille maatregelen zoals een verborgen honeypot-veld, een tijdcheck, grenzen aan herhaald versturen en een bevestigingsmail bij aanmeldingen vangen veel geautomatiseerde spam af zonder echte mensen lastig te vallen. Voeg pas een CAPTCHA toe als dat niet genoeg is, en kies er een met een toegankelijk alternatief.

Wat is een honeypot-veld?

Dat is een extra veld in je formulier dat verborgen is voor mensen, zowel visueel als voor schermlezers en toetsenbordnavigatie. Echte bezoekers laten het leeg omdat ze het nooit zien, terwijl veel bots elk veld invullen dat ze vinden. Een antwoord waarin de honeypot is ingevuld, kun je stilletjes apart zetten.

Kan bescherming tegen spam ook echte mensen tegenhouden?

Ja, als ze te streng is. Starre regels voor namen, telefoonnummers of e-maildomeinen, moeilijke puzzels en krappe grenzen aan versturen kunnen allemaal eerlijke bezoekers tegenhouden. Test je formulier met voorbeelden uit het echte leven, houd de controles soepel en stuur twijfelgevallen naar een aparte stapel in plaats van ze te weigeren.

Wat doe ik met spamantwoorden?

Zet ze apart, kijk ze af en toe door op echte berichten die per ongeluk zijn tegengehouden, en verwijder ze daarna. Spam kan persoonsgegevens bevatten, zoals het e-mailadres van iemand dat een bot heeft gebruikt, dus bewaar het niet langer dan nodig.

Spam in je formulier voorkomen zonder je invullers te ergeren

Zet een formulier online en vroeg of laat komt de rommel binnen. Aanmeldingen van e-mailadressen die niet bestaan, berichten vol vreemde links, steeds weer dezelfde onzin. Je antwoorden raken vervuild, het kost je tijd en de mensen die je echt wilden bereiken, vallen minder op.

De eerste reflex is vaak een puzzel: klik alle stoplichten aan, typ de wiebelige letters over. Dat kan werken, maar zo moet elke eerlijke bezoeker eerst bewijzen dat hij een mens is voordat hij gedag mag zeggen. Er zijn vriendelijkere manieren om te beginnen, en de meeste daarvan merken je invullers niet eens.

Kijk eerst wat voor spam je krijgt

Spam is niet allemaal hetzelfde, en de oplossing hangt af van het probleem. Bekijk dus eerst de rommel die je tot nu toe hebt ontvangen, voordat je iets verandert.

Bots vullen elk veld in dat ze tegenkomen, vaak al vlak nadat de pagina is geladen, en proppen het bericht meestal vol links.
Herhaalde inzendingen komen in golven: hetzelfde formulier, vele keren verstuurd in korte tijd.
Neppe of andermans e-mailadressen duiken op in aanmeldformulieren, soms omdat iemand anderen aanmeldt zonder dat ze het weten.
Mensen die met de hand rommel sturen, zoals verkooppraatjes via je contactformulier. Dat zijn echte mensen, dus trucjes tegen bots houden hen niet tegen.

Weet je met welke soort je te maken hebt, dan voorkom je dat je zware bescherming toevoegt voor een probleem dat je niet hebt.

Stille checks die echte mensen niet merken

De beste bescherming tegen spam is de bescherming die je bezoekers nooit zien. Deze maatregelen werken op de achtergrond en vangen veel geautomatiseerde rommel af, zonder dat echte mensen er iets voor hoeven te doen.

Een honeypot-veld. Voeg een extra veld toe dat verborgen is, bijvoorbeeld met het label "Website". Mensen zien het niet en laten het dus leeg. Veel bots vullen elk veld in dat ze vinden, dus een antwoord waarin dat veld is ingevuld, is vrijwel zeker automatisch. Verberg het wel goed: niet alleen visueel, maar ook voor schermlezers en toetsenbordnavigatie, zodat niemand die hulpmiddelen gebruikt er per ongeluk in belandt.

Een tijdcheck. Echte mensen hebben even nodig om te lezen en te typen. Wordt een formulier vrijwel meteen na het laden ingevuld en verstuurd, dan is dat een sterke aanwijzing dat er geen mens aan te pas kwam. Zie het als een signaal, niet als bewijs, want sommige mensen gebruiken automatisch aanvullen.

Vertel bots niet wat ze fout deden. Gaat een inzending door een van deze checks onderuit, laat dan gewoon de normale bedankmelding zien en zet het antwoord stilletjes apart. Een bot die een duidelijke foutmelding krijgt, leert hoe hij eromheen kan. Een bot die denkt dat het gelukt is, gaat gewoon verder.

Stel redelijke grenzen aan herhaald versturen

Wordt hetzelfde formulier in korte tijd vele keren vanaf dezelfde bron verstuurd, dan zit daar zelden een mens achter. Een grens aan hoe vaak een formulier binnen een paar minuten verstuurd kan worden, stopt golven rommel zonder iemand te hinderen die één bericht stuurt.

Houd die grenzen ruim genoeg voor het echte leven: een ouder die meerdere kinderen aanmeldt voor een workshop, of een team dat collega's een voor een inschrijft. En onthoud dat technische gegevens zoals IP-adressen onder de AVG als persoonsgegevens gelden. Gebruik je ze hiervoor, bewaar ze dan niet langer dan nodig en noem het in je privacyverklaring. Meer over die kant lees je in Een AVG-vriendelijk formulier maken.

Laat aanmeldingen bevestigen per e-mail

Bij nieuwsbrieven, wachtlijsten en andere aanmeldingen is een bevestigingsmail een van de meest effectieve en vriendelijkste maatregelen die er zijn. Iemand meldt zich aan, krijgt een mail met een link en komt pas op je lijst als hij erop klikt.

Dat regelt twee dingen tegelijk. Neppe adressen worden nooit bevestigd en komen dus nooit op je lijst. En niemand kan andermans e-mailadres aanmelden zonder dat die persoon het weet. Zo bescherm je ook mensen die nooit om je mails hebben gevraagd. Houd de bevestigingsmail kort, zeg duidelijk waarvoor iemand zich heeft aangemeld en maak de knop goed zichtbaar.

Controleer vriendelijk, zodat echte mensen erdoor komen

Controles op antwoorden helpen om rommel buiten te houden, maar strenge regels houden net zo makkelijk echte mensen buiten. Bedenk bij elke regel eerst wie je er per ongeluk mee zou kunnen tegenhouden.

Namen zijn er in alle vormen. Mensen hebben apostroffen, koppeltekens en accenten, heel korte of heel lange namen, of soms maar één naam. Weiger een naam niet omdat hij er ongewoon uitziet.
Telefoonnummers zijn internationaal. Accepteer spaties, een plusteken en landcodes. Of vraag helemaal geen telefoonnummer als je toch niet belt.
Een e-mailcheck vangt tikfouten op, maar oordeelt niet. Een vriendelijke hint als een adres verkeerd getypt lijkt, helpt. Hele e-mailproviders of nieuwe domeinen blokkeren, treft meestal vooral echte mensen.
Foutmeldingen moeten helpen. Zeg in gewone woorden wat er beter moet, en bewaar wat iemand al had ingevuld. Niemand zou opnieuw moeten hoeven beginnen.

Een regel die een bot tegenhoudt, maar ook één echte klant, is geen goede ruil.

Wees alert op links waar je ze niet verwacht

Veel spam bestaat alleen om links achter te laten. Heeft je formulier een berichtveld waar zelden links nodig zijn, zoals bij een contact- of feedbackformulier, dan verdient een antwoord vol links een tweede blik.

Blokkeer links niet meteen, maar markeer zulke antwoorden om ze na te kijken. Soms deelt een echt mens een link naar zijn website of een screenshot, en dat bericht wil je niet kwijtraken.

Zet twijfelgevallen apart in plaats van ze te verwijderen

Elk spamfilter vergist zich weleens. Verdwijnen verdachte antwoorden spoorloos, dan weet je nooit wie je hebt gemist. Veiliger is een aparte stapel "waarschijnlijk spam" die iemand regelmatig doorloopt.

Die stapel moet wel geen blijvend archief worden. Ook spam kan persoonsgegevens bevatten, bijvoorbeeld het echte e-mailadres van iemand dat een bot heeft gebruikt. Kijk de stapel door, red wat echt is en verwijder de rest volgens een vast ritme.

Een CAPTCHA als laatste redmiddel

Soms zijn de stille maatregelen niet genoeg, bijvoorbeeld als een formulier een geliefd doelwit is. Dan kan een CAPTCHA of een vergelijkbare uitdaging helpen. Weet alleen wat het kost voordat je er een toevoegt.

Het werk ligt bij iedereen. Elke eerlijke bezoeker moet de puzzel oplossen, elke keer weer.
Het kan mensen buitensluiten. Visuele puzzels zijn lastig of zelfs onmogelijk voor mensen met een visuele of cognitieve beperking, en priegelwerk op een klein scherm. Gebruik je er een, kies dan een dienst met een toegankelijk alternatief.
Er kan een ander bedrijf bij komen kijken. Sommige diensten laden scripts van een derde partij en kunnen gegevens over je bezoekers verzamelen. Zoek uit wat de dienst doet, of je hem moet noemen in je privacyverklaring en of er toestemming voor nodig is.

Voeg je er een toe, overweeg dan om hem alleen te tonen bij verdachte inzendingen in plaats van aan iedereen.

Een korte checklist

Je weet wat voor spam je binnenkrijgt.
Er is een goed verborgen honeypot-veld.
Onmogelijk snelle inzendingen worden gemarkeerd.
Herhaald versturen is begrensd, met ruimte voor het echte leven.
Aanmeldingen worden per e-mail bevestigd.
De controles accepteren echte namen, internationale telefoonnummers en ongewone e-mailadressen.
Antwoorden vol onverwachte links worden gemarkeerd, niet geblokkeerd.
Twijfelgevallen gaan naar een aparte stapel die regelmatig wordt nagekeken en opgeruimd.
Een CAPTCHA komt er pas bij als niets anders werkt, en heeft een toegankelijk alternatief.

Hoe we hier bij Cuppaform over denken

Cuppaform wordt nog gebouwd, en we willen dat bescherming tegen spam echte mensen niet in de weg zit. De wachtlijst en het contactformulier op deze website gebruiken al een verborgen honeypot-veld in plaats van een puzzel. Terwijl we de formulierbouwer maken, werken we aan manieren om rommel uit je antwoorden te houden zonder eerlijke mensen door hoepels te laten springen.

Probeer de demo en ervaar hoe een vriendelijk formulier voelt vanaf de andere kant.