Perlindungan spam

Setiap formulir mendapat perlindungan berlapis tanpa penyiapan: honeypot, timestamp render bertanda tangan, penilaian spam, dan rate limit. Di atas itu, Anda bisa menambahkan pemeriksaan manusia dan membatasi formulir ke domain Anda sendiri.

Cara spam ditangani

Kiriman yang dinilai sebagai spam disimpan dengan status spam dan tetap mendapat respons sukses biasa, jadi bot tidak belajar apa pun. Spam tidak mengirim webhook maupun email, tidak dihitung dalam pemakaian bulanan Anda, dan dihapus setelah 30 hari. Tinjau di dashboard atau dengan REST API; menandai kiriman sebagai bukan spam akan mengirim webhook-nya saat itu.

Honeypot

Tambahkan input tersembunyi yang tidak pernah diisi orang. Nama default-nya _gotcha; Anda bisa mengubahnya per formulir di Honeypot field pada pengaturan formulir. Teknik menyembunyikannya ada di Formulir HTML.

<input name="_gotcha" type="text" tabindex="-1" autocomplete="off" hidden />

Penilaian spam

Setiap kiriman mendapat skor dari sinyal-sinyal ini. Di 5 atau lebih, kiriman disimpan sebagai spam.

• Timestamp render hanya ada jika formulir dirender oleh SDK atau komponen shadcn/ui, yang mengirim _ikiform_ts bertanda tangan. Kiriman HTML biasa tanpa timestamp tidak diberi penalti.
• Field nama adalah field apa pun yang namanya mengandung name, firstname, lastname, fullname, surname, atau subject, tetapi bukan kata seperti company, website, atau domain.
• Dua alasan memaksa spam berapa pun skornya: origin_mismatch dari domain yang diizinkan dan captcha_unavailable saat Turnstile tidak bisa dihubungi.

Pemeriksaan manusia

Setiap formulir punya pengaturan Spam check dengan tiga pilihan. Pengaturan ini mati secara default, jadi integrasi fetch dan curl yang sudah ada tetap berfungsi saat Anda membuat formulir.

Cara pemeriksaan Ikiform berjalan

import { challenge, submit } from "@ikiform/sdk";

const form = document.querySelector("form");

form.addEventListener("submit", async (event) => {
  event.preventDefault();
  const turnstileToken = await challenge("frm_xxxxxxxxxxxxxxxx");
  const result = await submit("frm_xxxxxxxxxxxxxxxx", new FormData(form), { turnstileToken });
  if (result.ok) form.replaceWith("Thanks, we got it.");
});

Token hanya sekali pakai dan berlaku 300 detik, jadi ambil satu per kiriman. Kiriman JSON tanpa token mendapat 403 challenge_required beserta challenge_url; token yang gagal diverifikasi mendapat 403 captcha_failed.

{
  "ok": false,
  "error": {
    "code": "challenge_required",
    "message": "Complete the human check, then send the form again.",
    "challenge_url": "https://ikiform.com/f/frm_xxxxxxxxxxxxxxxx/challenge"
  },
  "request_id": "req_01k7v2c9t3e8m5q4x6z0a1b2c3"
}

Key Turnstile Anda sendiri

Tempel site key dan secret key Anda ke pengaturan formulir. Secret dienkripsi saat disimpan. Render widget di formulir Anda agar menambahkan cf-turnstile-response ke kiriman, atau berikan token ke submit sebagai turnstileToken. Kiriman tanpa token yang valid mendapat 403 captcha_failed, termasuk kiriman dengan secret API key.

Domain yang diizinkan

Cantumkan domain tempat formulir Anda berada di Allowed domains. Kiriman lalu harus berasal dari salah satunya atau subdomainnya, dinilai dari header Origin, atau Referer jika tidak ada origin. Biarkan daftar kosong untuk menerima kiriman dari situs mana pun.

When a post comes from another site menentukan apa yang terjadi saat tidak cocok: Mark as spam (default) atau Reject dengan 403 origin_not_allowed. Kiriman dengan secret API key melewati pemeriksaan ini. Domain yang diizinkan juga menentukan tujuan _redirect mana yang diikuti dan di mana frame pemeriksaan Ikiform boleh disematkan.

Rate limit

Setiap formulir punya preset Rate limit, dihitung secara presisi per IP pengunjung dan formulir. Standard mengizinkan 5 kiriman per menit, Relaxed 20 per menit, dan Strict 2 setiap 10 menit. Aturan lengkapnya ada di Rate limit.