Spamschutz

Jedes Formular bekommt ohne Einrichtung mehrstufigen Schutz: einen Honeypot, einen signierten Render-Zeitstempel, Spam-Bewertung und Rate-Limits. Zusätzlich kannst du eine Menschlichkeitsprüfung hinzufügen und das Formular auf deine eigenen Domains beschränken.

Wie Spam behandelt wird

Ein Post, der als Spam eingestuft wird, wird mit dem Status spam gespeichert und bekommt trotzdem eine normale Erfolgsantwort, damit Bots nichts lernen. Spam löst keine Webhooks und keine E-Mails aus, zählt nicht zu deiner monatlichen Nutzung und wird nach 30 Tagen gelöscht. Prüfe ihn im Dashboard oder mit der REST API; wenn du eine Einsendung als kein Spam markierst, werden dann ihre Webhooks gesendet.

Jeden Montag bekommt jeder Workspace, der in der vergangenen Woche Spam blockiert hat, eine Zusammenfassungs-E-Mail mit der Gesamtzahl, den meistbetroffenen Formularen und den häufigsten Gründen. Schalte sie unter Weekly spam summary in den Workspace-Einstellungen aus oder über den Link in der E-Mail.

Honeypot

Füge ein verstecktes Input hinzu, das Menschen nie ausfüllen. Der Standardname ist _gotcha; du kannst ihn pro Formular unter Honeypot field in den Einstellungen des Formulars ändern. Techniken zum Verstecken findest du unter HTML-Formulare.

<input name="_gotcha" type="text" tabindex="-1" autocomplete="off" hidden />

Spam-Bewertung

Jeder Post bekommt anhand dieser Signale eine Bewertung. Ab 5 wird er als Spam gespeichert.

• Den Render-Zeitstempel gibt es nur, wenn das Formular vom SDK oder von der shadcn/ui-Komponente gerendert wird, die ein signiertes _ikiform_ts senden. Einfache HTML-Posts ohne ihn werden nicht bestraft.
• Ein Namensfeld ist jedes Feld, dessen Name name, firstname, lastname, fullname, surname oder subject enthält, aber keine Wörter wie company, website oder domain.
• Zwei Gründe erzwingen Spam unabhängig von der Bewertung: origin_mismatch aus den erlaubten Domains und captcha_unavailable, wenn Turnstile nicht erreichbar ist.

Menschlichkeitsprüfung

Jedes Formular hat eine Einstellung Spam check mit drei Optionen. Sie ist standardmäßig aus, damit bestehende fetch- und curl-Integrationen weiter funktionieren, wenn du ein Formular erstellst.

So läuft die Ikiform-Prüfung

import { challenge, submit } from "@ikiform/sdk";

const form = document.querySelector("form");

form.addEventListener("submit", async (event) => {
  event.preventDefault();
  const turnstileToken = await challenge("frm_xxxxxxxxxxxxxxxx");
  const result = await submit("frm_xxxxxxxxxxxxxxxx", new FormData(form), { turnstileToken });
  if (result.ok) form.replaceWith("Thanks, we got it.");
});

Tokens sind nur einmal verwendbar und gelten 300 Sekunden, hol dir also eins pro Absenden. Ein JSON-Post ohne Token bekommt 403 challenge_required mit einer challenge_url; ein Token, das die Verifizierung nicht besteht, bekommt 403 captcha_failed.

{
  "ok": false,
  "error": {
    "code": "challenge_required",
    "message": "Complete the human check, then send the form again.",
    "challenge_url": "https://ikiform.com/f/frm_xxxxxxxxxxxxxxxx/challenge"
  },
  "request_id": "req_01k7v2c9t3e8m5q4x6z0a1b2c3"
}

Eigene Turnstile-Schlüssel

Füge deinen Site Key und deinen geheimen Schlüssel in die Einstellungen des Formulars ein. Das Secret wird verschlüsselt gespeichert. Rendere das Widget in deinem Formular, damit es cf-turnstile-response zum Post hinzufügt, oder übergib das Token an submit als turnstileToken. Posts ohne gültiges Token bekommen 403 captcha_failed, auch Posts mit einem geheimen API-Schlüssel.

Erlaubte Domains

Liste die Domains, auf denen dein Formular läuft, unter Allowed domains auf. Ein Post muss dann von einer davon oder einer Subdomain kommen, beurteilt anhand des Origin-Headers oder des Referer, wenn es keinen Origin gibt. Lass die Liste leer, um Posts von jeder Site zu akzeptieren.

When a post comes from another site legt fest, was bei einer Abweichung passiert: Mark as spam (Standard) oder Reject mit 403 origin_not_allowed. Posts mit einem geheimen API-Schlüssel überspringen diese Prüfung. Die erlaubten Domains legen außerdem fest, welchen _redirect-Zielen gefolgt wird und wo der Prüf-Frame von Ikiform eingebettet werden darf.

Rate-Limits

Jedes Formular hat ein Rate limit-Preset, exakt gezählt pro Besucher-IP und Formular. Standard erlaubt 5 Posts pro Minute, Relaxed 20 pro Minute und Strict 2 alle 10 Minuten. Die vollständigen Regeln stehen unter Rate-Limits.