¿Qué tan efectiva es la técnica de honeypot contra el correo no deseado?

Question

Por "honeypot", es decir, más o menos esta práctica:

#Register form 
<style> 
    .hideme{ 
     display:none; 
     visibility: hidden; 
    } 
</style> 
<form action="register.php"> 
    Your email: <input type="text" name="u-email" /> 
    Choose a password: <input type="text" name="passwd" /> 
    <div class="hideme"> 
     Please, leave this field blank: <input type="text" name="email" /> #the comment is for text-browser users 
    </div> 
    <input type="submit" value="Register" autocomplete=off /> 
</form> 

//register.php 
<?php 
if($_POST['email'] != ''){ 
    die("You spammer!"); 
} 
//otherwise, do the form validation and go on. 
?> 

más información here.

Obviamente los campos reales se nombran con los hashes al azar, y los campos honeypot puede tener diferentes nombres (correo electrónico, el usuario, el sitio web, página web, etc ..) que un robot de spam por lo general llena.

Me encanta este técnica porque no causa que el usuario se sienta molesto por CAPTCHA.

¿Alguien de ustedes tiene alguna experiencia con esta técnica? ¿Es efectivo?

Answer 1

Funciona relativamente bien, sin embargo, si el creador del bot abastece a su página se verá que (o incluso tener un entorno de rutina para comprobar) y lo más probable es modificar su robot en consecuencia.

Mi preferencia es usar reCaptcha. Pero lo anterior detendrá algunos bots.

Answer 2

Pregunta anterior, pero pensé que me gustaría, ya que he estado manteniendo un módulo para Drupal (Honeypot), que utiliza el método de prevención de spam Honeypot junto con una protección basada en el tiempo (los usuarios no pueden enviar formularios en menos de X segundos, y X aumenta exponencialmente con cada envío fallido consecutivo). Usando estos dos métodos, he oído hablar de muchos, muchos sitios (examples) que han eliminado casi todos los correos no deseados automáticos.

He tenido más éxito con Honeypot + timestamp que con cualquier solución basada en CAPTCHA, porque no solo estoy bloqueando la mayoría de los spammers, tampoco soy punishing my users.

Answer 3

Con la técnica siguiente, bloqueo el 100% de los spams.

1. honeypot con pantalla: ninguna. si falla, ejecute una secuencia de comandos adicional para recopilar la dirección IP y escríbala en el archivo .htaccess en deny from line.
2. cuenta el número de URL en el campo de comentarios. si falló, advierta solo porque esto puede ser humano.
3. mide el tiempo de publicación. si son menos de 5 segundos, muestre un mensaje de error y permítales que intenten nuevamente porque los humanos pueden escribir bastante rápido con el complemento de autocompletado.
4. recortar htaccess file dailly con crontab, por lo que las líneas de negación no superarán las 30 líneas (ajuste en consecuencia).

Denegar el acceso con la dirección IP es muy efectivo porque los bots siguen tratando de colarse con las mismas IP (si cambian la IP, entonces pongo esa nueva IP en htaccess, así que no hay problema). Recorto un archivo .htaccess diariamente con crontab automáticamente para que el archivo no sea demasiado grande. Ajusto el número de IP para bloquear, por lo que el mismo bot con la misma IP se bloqueará durante aproximadamente una semana más o menos. Noté que la misma IP es utilizada por bot durante 3 días atacando varias veces.

Los primeros # 1 truco bloquea alrededor del 99% y # 2 cuadras aproximadamente 1% y el bot no pasará por los 2 por lo que # 3 podría no ser necesario.