CAPTCHA & Challenges

VisitorFilters bringt ein First-Party-CAPTCHA auf Proof-of-Work-Basis mit: Verdächtige Besucher lösen ein kleines Rechenrätsel, bevor sie durchkommen. Keine Bildraster, keine Anfragen an Dritte, kein Tracking.

So funktioniert das integrierte CAPTCHA

1. Ein Besucher, der eine Challenge-Regel auslöst, wird zur Challenge-Seite geleitet, statt hart blockiert zu werden.
2. Sein Browser löst automatisch ein kleines Rätsel im Hashcash-Stil — es gibt nichts zu lesen oder anzuklicken.
3. Die Schwierigkeit passt sich dem Risiko-Score an: Besucher mit geringem Risiko sind in deutlich unter einer Sekunde durch, riskante Automatisierung zahlt echte Rechenkosten.
4. Bei Erfolg erhält der Browser ein verschlüsseltes, replay-geschütztes und an den Besucher gebundenes Token; die Anfrage läuft normal weiter.

CAPTCHA in Regeln verwenden

Wählen Sie Challenge als Aktion einer beliebigen Regel, um das CAPTCHA statt einer harten Blockade zu zeigen. Zwei gängige Setups:

• Eigene Regeln — bestimmte Länder, ASNs, Pfade oder Rate-Verstöße challengen.
• Verwaltete Threat-Feed-Regel — ein Schalter challengt jeden Besucher, dessen IP auf dem verwalteten Threat-Intelligence-Feed steht.

In eigene Formulare einbetten

Dasselbe Widget kann unabhängig von Regeln Ihre eigenen Formulare schützen — Logins, Registrierungen, Kommentare. Der Ablauf:

1. Kopieren Sie das Embed-Snippet für Ihre Website aus den CAPTCHA-Einstellungen des Dashboards; das Widget-Script kommt von unserem CDN.
2. Der Besucher aktiviert das Kontrollkästchen Ich bin ein Mensch — im Stil von hCaptcha/Turnstile — und das Widget löst den Proof of Work im Hintergrund und fügt Ihrem Formular ein verstecktes Feld vf_captcha_response hinzu.
3. Ihr Backend verifiziert das Token serverseitig am Site-Verify-Endpunkt, bevor es die Übermittlung akzeptiert.

Tokens sind Einweg-Tokens und laufen schnell ab — ein abgefangenes Token lässt sich nicht wiederverwenden.

Verifizierung aus Ihrem Backend

Senden Sie das Token per POST an /collector/form/siteverify mit Ihrem geheimen Schlüssel und lesen Sie das Feld success:

• secret — Ihr geheimer Website-Schlüssel (niemals im Browser preisgeben).
• response — der Wert des Feldes vf_captcha_response.
• remoteip (optional, empfohlen) — die IP-Adresse des Besuchers. Wenn angegeben, muss sie mit der IP übereinstimmen, auf der das Token gelöst wurde; das verhindert das Weiterleiten von Tokens über einen Lösungsdienst.

Domain-Bindung

Das Widget stellt Challenges nur für Seiten aus, die von einer für Ihre Website registrierten Domain ausgeliefert werden. Wenn Sie Ihren öffentlichen Schlüssel auf eine nicht registrierte Domain kopieren, zeigt das Widget Domain nicht registriert an und verweigert die Verifizierung; ein durchgesickerter öffentlicher Schlüssel kann so nicht anderswo wiederverwendet werden. Fügen Sie jede Domain und Subdomain, die das Widget einbettet, in den Einstellungen Ihrer Website hinzu.

Adaptive Schwierigkeit aus unserer Threat Intelligence

Der Proof of Work ist keine feste Größe. Anfragen von IPs auf unserem Threat-Intelligence-Feed, aus Rechenzentrumsnetzen, von Headless-Browsern oder mit gemeldeten Automatisierungssignalen müssen ein deutlich schwereres Rätsel lösen — für echte Menschen unsichtbar, im Bot-Maßstab teuer. Das wird von denselben Bedrohungsdaten angetrieben, die auch den Rest der Plattform speisen, nicht von einem Risikoscore eines Drittanbieters.

Externe Anbieter

Sie bevorzugen einen Drittanbieter? Cloudflare Turnstile und hCaptcha lassen sich pro Website konfigurieren und statt des integrierten CAPTCHAs verwenden.

Datenschutz

• Während einer Challenge werden keine Anfragen an Dritte gestellt.
• Kein Verhaltenstracking, keine Werbe-IDs — das Rätsel ist reine Berechnung.
• Gleiche DSGVO-Haltung wie der Rest der Plattform.