Software Guide

Der Kommentar-Spam auf dieser Seite wird immer schlimmer. Heute kamen innerhalb weniger Stunden über 4.000 Spams rein, gestern 5.500 Spams.
Diese Angriffe kommen als normaler Kommentarspam, also nicht über Trackbacks.

Akismet hat dabei sauber alles geblockt. Trotzdem sind diese Angriffe nervig, schließlich kann unter den tausenden geblockten Kommentaren auch ein als falsch eingestufter dabei sein. Aber eine Einzelprüfung fällt bei diesen Spam-Massen aus. Zudem bedeutet dies eine massive Serverlast (der Spam selbst, dann die Arbeit durch Akismet, und dann das Anzeigen/Löschen).

Abhilfe?

Da es normaler Kommentar-Spam ist, wird dieser durch Bots durchgeführt, u.a. gibt es folgende Ansätze:

• Captcha. Also diese Bildchen, auf denen man nie erkennt, was man nun eingeben soll: “o” oder “O”, “l”, “L” oder “i”, etc. Nein, das möchte ich meinen Lesern nicht zumuten. Zudem ist Captcha nicht sicher, siehe z.B. captcha decoder.
• Rechenaufgaben. Es gibt das Did You Path Math?-Plugin, dieses stellt den Usern sehr einfache Rechenaufgaben, wie etwa “Was ist die Summe von 9 + 3 ?“. Problem bei diesem Plugin: Gibt man einen falschen Wert ein (auch: fehlendes Pflichtfeld wie Email-Adresse), und geht nach der Fehlermeldung wieder zurück, so ist der Kommentar-Inhalt weg.
• JavaScript-Lösung. Hashcash berechnet per JS clientseitig einen speziellen Wert, welcher zum Server zur Prüfung gesendet wird. Angeblich 100% sicher.
  Allerdings sperrt man damit Besucher ohne aktiviertem JavaScript aus (Thema ‘Barrierefreiheit’), außerdem wurden bei mir zudem ohne aktivierten JS alle Kommentare ausgeblendet.
• Kommentar-Vorschau: Ersetzt man den “Speichern”-Button durch einen “Vorschau”-Button, welcher nach dem Anklicken erst mal eine Vorschau anzeigt, soll dies einige Bots davon abhalten, dass die Spams gepostet werden. Il Filosofo bietet mit Comments Preview ein solches Plugin an. Mir ist das allerdings noch zu unflexibel in der Einrichtung und daher nicht 100% auf meine Seite zuschneidbar. Dennoch macht das Plugin einen guten Eindruck, für den ein- oder anderen sicherlich so verwendbar.

Zumindest ein Ansatz: Modifiziertes Akismet

Rich Boakes zeigt mit seinem am 08. Juni vorgestelltem Plugin Akismet htaccess extension eine interessante Lösung:
Installation: man ersetzt die akismet.php durch Richs modifizierte Version. Danach sieht man Folgendes, wenn man die geblockten Spams im WordPress-Admin prüft:

Das ist ein Screenshot von heute mittag und zeigt Spams von gestern und heute, da ich gestern alle als Spam eingestuften Kommentare löschte. Es werden hier die 10 meisten Spammer angezeigt, wie im Screenshot ersichtlich liegen 4.801 Spam-Kommentare von wrkplace . com (Online-Poker) vor.
Das Plugin fasst die Spams zusammen, damit kann man diese auf einen Rutsch löschen. Übrig bleiben dann u.U. auch Kommentare, die fälschlicherweise als Spam eingestuft wurden.
Zudem bietet das Plugin das Bannen von IPs (siehe “Ban the listed IP addresses”). Hierdurch erfolgt ein “Deny from…”-Eintrag in der .htaccess, allerdings eben nur IP-basierend, z.B. wrkplace . com spammt mich weiterhin.

Für weitere Tipps und Hinweise bin ich dankbar.
Jetzt packe ich mal mein Gepäck, denn morgen früh geht es erstmal für 2 Tage nach Frankreich. Ich hoffe, dass es sich der Spam nicht nochmal verzehnfacht, denn vor 4 Tagen hatte ich schon mal über massiv angestiegenen Spam berichtet, “damals” waren es nur gute 500 Spams.

• Nachtrag (Di 27.06., 21:30):
  Siehe hierzu auch einenn interessanten Artikel von Robert, dessen Server die Spam-Attacken nicht mehr mitmachte:
  Spam-Stats und Gegenmaßnahmen.
  Bei mir war es die letzten 2 Tage etwas ruhiger, “nur” 1000 Spams, und z.B. innerhalb der letzten 30 Minuten 185 neue Spams.
• Nachtrag (Di 04.07., 00:10):
  Mit Einsatz vom mittlerweile selbstgeschriebenen Plugin Math Comment Spam Protection hat sich das Spam-Aufkommen wieder gelegt, siehe Artikel Kommentar-Spam-Plugin für WordPress geschrieben