Honeypot statt Captcha: Wenig er­freu­lich­er Zwi­schen­be­richt nach einer Woche

Kurzgesagt: Das war wohl nichts – zumindest vorerst. Schon in den ersten 24 Stunden nach meiner Umstellung von einer simplen Rechenaufgabe auf Honeypot-Felder gab es alle paar Stunden Kommentarspam – und interessanterweise auch wieder Trackback-Spam.

Das ist der gleiche Level, als ich eine Zeit lang gar keine Vorkehrungen gegen Spamkommentare getroffen habe – die Eckdaten:

• Ungefähr ein Dutzend abgewehrte Spamkommentare
• 8 Spam-Trackbacks
• 15 Spamkommentare

Wie viel zu moderierender Spam ist zu viel?

Das klingt für (etwas über) eine Woche jetzt auf den ersten Blick nicht nach viel. Bei aufgerundet 100 Freigabe-Benachrichtgungen pro Monat (ich lese alle Kommentare vor dem Freischalten gegen) sind das pro Jahr allerdings 1.200 Mails, auf die ich im WordPress-Backend reagieren muss – und darauf habe ich echt keine Lust. Vertretbar wäre vielleicht ein Spamkommentar pro Monat, unterste Schmerzgrenze eines pro 14 Tage. So gesehen ist das Honeypot-Experiment aktuell gescheitert.

Die Hoffnung lebt

Ich bin allerdings noch nicht bereit aufzugeben und möchte noch ein paar Dinge ausprobieren:

• Einerseits das Entfernen der required-Attribute, weil diese meiner Meinung nach ein Hinweis für Spammer sind, welche Felder man auslassen kann um ein Durchkommen wahrscheinlicher zu machen.
• Andererseits die Zeitmessung bis zum Ausfüllen des Formulars, was laut Fritz Weisshart sogar mehr bringt (siehe auch Kommentare in Roberts entsprechendem Post).

Zahlt sich ein Honeypot aus?

Natürlich stellt sich die Frage, ob sich ein Honeypot als wesentlich kompliziertere Lösung auszahlt. Denn eine simple und zumindest aus meiner Sicht auch accessibilityfreundliche Rechenaufgabe, die nur einen Klick und einen Tastendruck mehr erfordert¹, erscheint mir nach wie vor eleganter und leichter wartbar.

Interessant ist in dem Zusammenhang, dass viele Empfehlungen zu dem Thema (danke an Martin Ladstätter für seine Tipps) zu einer Zeit geschrieben wurden, in der gerade in der WordPress-Welt, dank gut funktionierendem Akismet, Captchas ohnehin kein Thema waren. Leider auch der Datenschutzgedanke, weswegen sich spätestens seit 2018 mit der DSGVO Akismet eben nicht mehr so ohne weiteres einsetzen lässt.

Unterm Strich bleibt für den User via Honeypot nichtsdestotrotz ein Feld weniger auszufüllen – und das ist auch der Grund, warum noch dranbleibe. Update folgt.

1. Beziehungsweise bei Feldwechsel mittels Tabulator zwei Tastendrucke ohne Klick. ↩