Enorme Mengen Blog-Spam
Web 2.0 geht mir auf den Wecker.
Seit etwa vier oder fünf Tagen bekomme ich hier enorme Mengen an Spam ins Blog gedrückt.
Das ist grundsätzlich nichts Neues, denn aus den einschlägig bekannten Quellen, vor allem aus China, USA und von einem vor allem in Frankfreich tätigen Provider bekomme ich massenhaft Blog-Spam und habe deshalb inzwischen über 3000 Netze (nicht einzelne Adressen) in der Sperrliste. Seit ich das Spamfilter-Plugin rausgeworfen habe, über das sich viele beschwert haben, ging’s nicht mehr anders, ich kann nicht weit über 1000 Spams am Tag manuell filtern.
(Soviel übrigens zu der Mär und Folklore vom offenen und demokratischen Internet. Es ist ein Irrtum zu glauben, dass man da mit der ganzen Welt gut Freund wäre. Wenn die Angreifer/Spammer da in Ländern sitzen, in denen man keine Rechtsposition hat, bleibt einem nicht viel mehr übrig als zu sperren. Die Welt ist einfach nicht gut.)
Mit dieser Sperrliste hatte ich die Spam-Flut einigermaßen im Griff, das hatte sich damit auf ein Maß reduziert, das die echten Kommentare nicht übersteigt und meist darunter blieb, womit ich gut leben konnte. Ein paar Mausklicks sind kein Problem.
Seit ein paar Tagen aber steigt die Spam-Flut wieder an, so auf 50 bis 100 pro Tag, Tendenz steigend. Und diesmal kann ich sie nicht anhand von IP-Adressen sperren, weil sie wie zufällig verteilt sind. Offenbar nicht mehr zentrale Spam-Maschinen bei Hostern oder üblen Firmen, sondern über Bot-Netze verteilt. Die kann man nicht mehr durch Adressfilter blocken. Und da ich Kommentare häufig unterwegs vom Handy aus moderiere, geht das dann auch nicht mehr. 100 Kommentare auf dem Handy geht (bei der lausigen WordPress-App) auch nicht mehr angenehm.
Und alle nach dem selben Prinzip: Schwachsinnige Allerwelts-Kommentare, aber immer irgendwelche URLs im Homepage-Feld, offenkundig gekaufte Suchmaschinenoptimierung (SEO). Sowas kann man ja auf eBay kaufen, 100000 Links im Paket. Und WordPress ist so dämlich, dass sie das URL-Feld in WordPress selbst nicht abschaltbar machen. Obwohl da in der Regel überhaupt nichts sinnvolles drin steht, gerade so, als sei das Absicht, WordPress spamanfällig zu machen.
Es gibt allerdings durchaus Beschreibungen, wie man das durch Hooks nachträglich wieder rauswerfen kann, die allerdings zum Teil auch unsinnig sind, weil sie nur das Eingabefeld im Kommentarformular wegnehmen, aber nicht die Verarbeitung, also nur menschliche Nutzer irritieren, aber keine Wirkung auf Bots haben. Es gibt aber auch Anleitungen, wie man das in der Verarbeitung blockt.
Sobald ich Zeit habe, werde ich das Blog so modifizieren, dass alle Kommentare abgelehnt werden, die eine Eingabe im URL-Feld haben.
23 Kommentare (RSS-Feed)
@Alex: Ja, das hab ich vor. Ich habe vor, es im Formular drinzulassen, es aber über die Style Sheets auszublenden, damit es für Menschen unsichtbar, aber für Bots noch da ist. Und wenn es ausgefüllt wird, den Kommentar ablehnen.
Ist aber schon einiges Gefummels bis das genau passt und will ich erst auf einem Testsystem ausprobiert haben.
Falls du nicht alles selber Programmieren möchtest, hilft evtl. “Antispam Bee”. Zumindest tut es genau das was du machen möchtest und gibt dir gleichzeitig noch deutlich mehr Möglichkeiten an die Hand. Darüber hinaus scheint der Code gut getestet zu sein (zumindest ist es weit verbreitet).
Das habe ich auf meiner Seite auch beobachten können und es hat aufgehört als ich ein Captcha eingeführt habe. Das hat bisher alle Bots abgehalten und es ist noch nichtmal schwer 🙂
Gute Idee, so würde ich das auch lösen.
Das Blog läuft mit WordPress? Dann kann ich AntispamBee als Plugin empfehlen.
Muss eine Welle sein. Ich ersaufe ebenso seit ein paar Tagen in Spam, wobei ich den Vorteil habe, dass mir Google das meiste zuverlässig rausfischt. Trotzdem eine Plage.
Ja, CAPTCHA’s würde ich auch befürworten. Ich finde es viel wichtiger das du dich auf deine Themen konzentrieren kannst, anstatt ständig Spam zu moderieren. Man muss ja nicht unbedingt kaum lesbare CAPTCHAS wie Recaptcha benutzen. Gut Lesbare reichen ja auch erstmal. Notfalls kann man ja immer noch wechseln.
Also auf meinem Blog leistet AntiSpam Bee erstklassige Arbeit. Besonders die Einstellung über die Sprachen von Kommentaren blockt ungeheuer viel ab. Ginge bei Dir auch, da Dein Bog auf Deutsch geführt wird und eigentlich alle auf Deutsch anworten. Alle Nicht-Deutschen Kommentare fliegen raus, dazu noch css-spam. Anti-Spam Bee lohnt wirklich einen Blick!
Mit den derzeitigen Einstellungen landen bei mir noch zwischen 5-20 Kommentare tgl. im Spamordner der Rest wurde automatisch gelöscht. Bei einigen meist älteren Artikeln habe ich anlassbezogen/b> noch Pingback im WP-Dashboard ausgeschaltet.
Bei AntispamBee u.Ä. den Datenschutzhinweis (wg. Datenversendung/-verarbeitung) nicht vergessen.
@Hadmut
Bei dem Honeypot sollte es für den Bot (sofern es wirklich einer ist) aber auch aussehen, als ob er den Kommentar erfolgreich geschrieben hätte, sonst schöpft der Botter verdacht.
Alternativ kann man das Webseitenfeld als Captcha benutzen, im Sinne von “was ist zwei mal zwei” und was nicht stimmt, fliegt raus… echte Captchas mag ich nicht.
@Heinz
Braucht man nicht, wenn man keine Datenversendung macht. Das ist ja das Gute, man braucht keine Daten weiterleiten. Es geht geht ohne mit erstaunlichem Ergebnis.
Schreib doch unter jeden Beitrag oder versteckt im Text eine zufällige Zahl drunter. Es werden nur Kommentare durchgesehen, die diese Zahl enthalten. Rest in die Tonne.
Beispiel [ad67FHJ3] Wer die nicht mitschickt ist raus.
Carsten
—
Soll ich mich jetzt freimachen, Herr Doktor?
Hadmut,
Ein captcha ist schei**e.
Denn es wirft auch blinde und sehschwache User raus. 🙁
Die Biene ist besser.
..
Ich empfehle es so zu machen wie der Blog vom Hr. Kretschmar (http://blog.beetlebum.de). Er hat das Webseitenfeld entfernt (und nicht nur unsichtbar gemacht) und serverseitig alle Kommentare rausgeworfen, die das trotzdem mitsenden.
Dies fängt alle Skripte, die einfach automatisch POST-Anfragen an die wp-comments-post.php schicken, ohne eigentlich ein Formular auszufüllen. Dies kann man noch verbessern indem die Kommentarseite ein unsichtbares Feld mit einem festen Wert enthält, das normalerweise nicht existiert. Ein wirklicher Browser wird dieses Feld mitsenden.
Bitte verstecke das Website-Feld nicht mit CSS; manche Leute sind blind oder haben Browser, die kein CSS können. Jemanden deshalb zu diskriminieren, indem man seine Kommentare automatisch rauswirft ist sehr unschön.
@buratino
Scheiße schreibt man mit ß, sz, nach vernünftiger und auch nach beschissener Rechtschreibung.
Einen Text im Text kann jeder lesen, auch mit Braillezeile. Nur wer auf einen Text antwortet, den er auch gelesen hat, käme dann in die manuelle Auswahl.
Was ist denn eine Biene? Geht das auf deutsch?
Carsten
—
Terroristen schaffen Arbeitsplätze
Benutz http://wordpress.org/plugins/anti-spam !
Das ist das mit Abstand beste Antispam Plugin!
Kein Generve für Nutzer und Betreiber und 100% des Spams werden geblockt und das fehlerfrei!
Ich hatte vorher teilweise über 500 Spamkommentare pro Tag. Jetzt ist seit Monaten absolute Ruhe, ich habe keinerlei Moderationsaufwand mehr und es gab noch keinerlei Probleme für die Nutzer.
Als kurzfristige Lösung, bevor man was eigenes baut: Kämen für Deinen Blog nicht Akismet, Mollom o.ä. automatisierte Dienste in Frage? Oder die rein IP-basierten DNS-Blacklists wie Stop Forum Spam? Man muss nur schauen, möglicherweise personenbezogene Daten vorher auszufiltern.
Captchas hatten bei unseren massig SEO-Spam anziehenden Projekten übrigens kaum Erfolg, einfaches blocken von POST-Requests, basierend auf der GeoIP Location war da viel wirkungsvoller.
Hadmut, bei unserem Blog Frauenhaus war es das gleiche. Antispambee funktioniert, markiert aber so manches falsch positiv.
Aber jetzt kommt’s! Eine einschneidende Reduktion des Spams wurde durch folgende Maßnahme bewerkstelligt:
Der Frauenhauswebdesigner/Webmaster hat einfach die Kommentareingabe-Form von “ganz unten” (also unter den Kommentaren, so wie bei dir) nach “unter dem Artikel” verschoben.
Anscheinend suchen die meisten Bots ganz stupide nach dem Formular ganz am Ende der Seite.
Ich frage einfach mal nach: warum sind meine (bereits freigeschalteten) Kommentare verschwunden?
@Missingno: Siehe Kommentar-Policy. Ist ne optische Täuschung.
Ich lösche eigentlich regelmäßig Cookies und meine, meinen Kommentar sogar an einem anderen PC gesehen zu haben, womit 10. nicht greifen würde. Aber gut, irren ist männlich, oder so. Zwar wäre jetzt die Frage, warum meine neusten Kommentare nicht freigeschalten wurden, aber ist dann auch egal. Wenn es kein Amok-laufender Spam-Filter oder ähnliches ist: weitermachen!
Obscurity:
Das Websitefeld für Menschen “unsichtbar” machen – dann müssten Daten in dem Feld ein (vorerst) zuverlässlicher Honeypot für Bots sein?