Ücretsiz WordPress eklentisi CAPTCHA'ları görünmez, uyarlanabilir proof-of-work ile değiştiriyor

Ziyaretçilerin hiç görmediği bir spam engelleme denetimi

CAPTCHA'ları görünmez, uyarlanabilir bir proof-of-work zorluğuyla değiştiren bir WordPress eklentisi, Hacker News'te bir Show HN gönderisinde tanıtıldı. Eklentinin dizin sayfasına göre, bir ziyaretçi formu gönderdiğinde tarayıcısı saniyelerin binde biri kadar kısa bir sürede küçük bir kriptografik bulmacayı sessizce çözüyor. İşaretlenecek kutu, çözülecek görsel ızgarası ya da tıklanacak bir şey yok — meşru kullanıcılar yalnızca Gönder'e basıyor; spam botları ise ya zorluk sürecini geçemiyor ya da her mesaj için yeterince fazla işlem gücü harcamak zorunda kalıyor, böylece toplu gönderim kârlı olmaktan çıkıyor.

Her form için tek eklenti

Eklenti, WordPress çekirdek formlarını — giriş, kayıt, şifre sıfırlama ve yorumlar — artı WooCommerce ödeme sayfasını ve ürün yorumlarını kapsıyor; ayrıca uzun bir builders listesi için önceden yapılandırılmış olarak geliyor: Contact Form 7, WPForms, Elementor Pro Forms, Gravity Forms, Ninja Forms, Fluent Forms, Formidable ve düzinelerce diğer eklenti.

Tipik anti-spam araçlarından ileri sürülen farkı, belirli form eklentileriyle entegrasyonlara dayanmaması. Bunun yerine, gönderimleri bir imzayla — istekteki alanların ve eylemlerin tanınabilir deseniyle — tanıyor. Elle kodlanmış formlar ve eski temalar dahil tanınmayan formlar içinse bir "doğrudan analiz modu", yöneticinin formu bir kez gönderip algılanan imzayı kaydetmesine izin veriyor; hiçbir kod gerekmiyor. Hiçbir şey bir builder'ın iç mekaniğine bağlanmadığı için, geliştiriciye göre form eklentisi güncellemeleri korumayı boamaz.

Saldırılarla ölçeklenen zorluk

Zorluk uyarlanabilir. Bir spam dalgası sürerken, saldırı-altı modu bulmacayı herkes için otomatik olarak zorlaştırıyor ve sonrasında gevşetiyor. Site sahipleri işaretlenen gönderimlere ne olacağını seçebiliyor: engelleme, spam olarak işaretleyerek ulaştırma ya da inceleme için bir spam gelen kutusunda bekletme. Giriş formları ayrıca kaba kuvvet koruması da alıyor; isteğe bağlı Fail2Ban log desteği var.

Kendi kendine yeterli, üçüncü taraf servis yok

Her şey sitenin kendi sunucusunda çalışıyor. Oluşturulacak hesap, yapıştırılacak API anahtarı ya da spam denetimi için harici çağrı yok — dizin sayfası bunu hem operasyonel hem de gizlilik açısından bir avantaj olarak sunuyor: formları sessizce bozabilecek bir kesinti, hız sınırı veya gecikme artışı yaşayabilecek dış bir servis yok ve hiçbir uzak script yüklenmediği için sayfa hızı metrikleri etkilenmiyor. İstemci tarafı kod birkaç kilobayt ve geliştiriciye göre eklenti çerez, oturum ve izleme kullanmıyor; IP adreslerini yalnızca hash olarak saklıyor — bu yapı, bir onay bandına gerek kalmadan GDPR dostu olarak tanımlanıyor.

Dizin sayfası eklentiyi mevcut araçlarla da karşılaştırıyor: reCAPTCHA, hCaptcha ve Cloudflare Turnstile hesap gerektiriyor, harici scriptler yüklüyor ve yine de ara sıra gerçek kullanıcılara zorluk çıkarıyor; Akismet gönderim içeriğini harici bir servise gönderiyor ve ticari siteler için abonelik istiyor; honeypot alanları ve süre denetimleri ise modern botlar tarafından rutin olarak aşılabiliyor. Buna karşılık proof-of-work, insanlarla botları ayırmaya çalışmak yerine spam'in maliyet tarafını hedefliyor. Bu karşılaştırmalar geliştiricinin kendi açıklamasından geliyor ve bağımsız olarak doğrulanmış değil.

Bilinen sınırlar

Dizin sayfası bir sınıra açıkça değiniyor: başka yerde barındırılıp bir WordPress sayfasına yalnızca gömülen formlar — Typeform, Jotform, Zoho Forms, HubSpot ve benzerleri — verilerini doğrudan o servislere gönderiyor; dolayısıyla gönderim hiçbir zaman WordPress'e ulaşmıyor ve hiçbir eklenti bunu inceleyemiyor. Belirli ödeme ve kayıt formları tanınıp loglanıyor, ancak bunları engellemek varsayılan olarak kapalı gelen ayrı bir anahtar. Eklenti ücretsiz ve güncel sürüm 6.2.0.

Neden önemli

Her CAPTCHA etkileşimi gerçek insanları yoruyor ve yarım bırakılan her bulmaca, kaybedilmiş bir iletişim ya da satış demek. Proof-of-work bu düzeni tersine çeviriyor: insanlıklarını kanıtlamak yerine, cihaz tek bir ziyaretçi için önemsiz ama bot ölçeğinde pahalı olan bir anlık hesaplama bedeli ödüyor. Bu yaklaşım, cloud CAPTCHA'ların sürüklediği gizlilik donanımını — üçüncü taraf scriptleri, onay bantlarını ve dış işlemcilere giden veri akışlarını — da bir kenara bırakıyor. Açık soru dayanıklılık: tam bir tarayıcı çalıştıran bir bot da JavaScript çalıştırıp zorluğu çözebiliyor; dolayısıyla bu savunma temelde mutlak değil ekonomik ve iyi fonlanan otomasyona karşı gerçek dünyadaki etkinliği ancak üretimde ortaya çıkacak. Birkaç form builder'ıyla boğuşan WordPress siteleri içinse imza tabanlı model — tek bir araçla tüm siteyi korumak ve özel formları bir dakikadan kısa sürede eklemek — kendi başına eklenti yayılmasına pragmatik bir yanıt.