Ralf H. wrote:Mal wieder ein Lebenszeichen von mir.
Schön.
Ralf H. wrote:Ich habe also das Plugin auf der Seite ausgelammert:
Das funktioniert so leider nicht wie gewollt. Schau Dir mal den erzeugten HTML-Quelltext der Seite an. Dort findet man noch das gesamte HTML des Kommentarformulars. Das ist zwar ordnungsgemäß auskommentiert, aber das stört einen Spam-Bot u.U. nicht, weil er das vielleicht nicht mal merkt (kommt darauf an, wie der Bot scrape't). Schlimmer aber noch: wenn ein Bot die Seite bereits gescrape't hatte, dann schaut er im Zweifel gar nicht mehr nach, sondern schickt einfach die Formulardaten an die alte Post-Adresse, und diese ist noch aktiv, da CMSimple(_XH) den Pluginaufruf auswertet, auch wenn dieser in einem HTML-Kommentar steht.
Lösung: entweder den Pluginaufruf ganz entfernen, oder aber für CMSimple(_XH) unkenntlich machen (z.B. durch Entfernen einer der geschweiften Klammern).
Zum Spamproblem im Besonderen: das sollte eigentlich durch das CAPTCHA (das ja aktiviert ist) auf menschliche Spammer beschränkt sein. Da aber vom Kommentarformular nichts mehr auf der Seite zu sehen ist, kann man wohl ausschließen, dass ein Mensch den Spam direkt über die Seite schickt. Wie der Spam nun dennoch zustande kommt, kann ich nur vermuten. Ich könnte mir vorstellen, dass der Spambot weiß, wie er das CAPTCHA abrufen kann, und sich die mitgesendete Session-ID merkt (in der Session wird nämlich die erwartete Zahlenkombination gespeichert). Das Captcha könnte dann von einem Menschen gelöst werden, und dann kann der Spambot eben den Spam versenden. Es würde mich gar nicht mal wundern, wenn irgendwo Menschen vor einem Computer sitzen, und den ganzen Tag einfach nur CAPTCHAs lösen, die ihnen vorgesetzt werden. Und dann gibt es ja auch noch die Möglichkeit das CAPTCHA auf einer ganz anderen Seite einzublenden, und es sich dort von einem Besucher lösen zu lassen. Es kann aber auch sein, dass das CAPTCHA per OCR automatisiert gelöst wird.
Natürlich ist es auch nicht auszuschließen, dass das CAPTCHA vollständig umgangen werden kann (was dann ein Programmierfehler wäre).
Was Du bei aktiviertem (ob nun auskommentiert oder nicht) Kommentarformular machen kannst, um den Spam zu reduzieren? Ich würde es mal mit einem schwerer zu knackenden CAPTCHA probieren. Wenn wirklich Menschen involviert sind, dann hilft das nichts, aber zumindest OCR hat seine Grenzen. Leider ist ein einfacher Austausch des CAPTCHAs bei Comments nicht vorgesehen.
Eine andere Möglichkeit wäre es, die Seite (oder zumindest die Kommentarfunktion) durch ein Memberpages-Plugin nur angemeldeten Benutzern zugänglich zu machen. Das könnte aber natürlich auch einige sinnvolle Kommentare verhindern, weil sich nicht jeder gerne irgendwo registriert. Und ohne Individualanpassung ist das auch nur in Verbindung mit Membersarea möglich, das wiederum nicht unter CMSimple_XH funktioniert.
