Software Guide

Vorkommnisse

Am 22. Juni berichtete ich von vermehrtem Spamaufkommen auf Software Guide: innerhalb weniger Stunden über 500 neuer Spam-Beiträge. Am 26. Juni berichtete ich von einer Verzehnfachung, also mehrere tausend Spam-Beiträge/Tag, und mögliche Abhilfen. Am 4. Juli hatte ich daraufhin das Mathe-Antispam-Plugin veröffentlicht.

Robert Basic berichtete fast parallel ebenfalls von massiven Problemen mit Spam, bei ihm war das ganze noch einen Schritt weiter, da teilweise lange Wartezeiten auftraten aufgrund der Spamattacken, also massiv negativer Einfluss auf die Server-Performance (siehe u.a. Spam-Stats und Gegenmaßnahmen).
Denis hatte es noch härter erwischt.

Auslöser

Hauptauslöser waren massive direkte Spamattacken per Bots, diese gingen nicht über Trackback/Pingback, sondern direkt über die Kommentar-Funktion.

Das Problem ist in keinem der Fälle, dass tatsächlich Spam durchkommt, denn etweder wurde Akismet oder Spamkarma eingesetzt. Beide WordPress-Plugins haben einen unterschiedlichen Ansatz, arbeiten aber sehr zuverlässig.

Hauptprobleme

Die Hauptprobleme waren vielmehr:

• Wird ein (Spam-)Kommentar abgegeben, so erfolgen durch diese Plugins mehrere Schreib- und Lesevorgänge in der MySQL-Datenbank, was bei Attacken den Server entsprechend beansprucht und ausbremsen kann.
• Bei mehreren tausend als Spam eingestuften Kommentaren kann es vorkommen, dass dazwischen False Positive sind, also echte Kommentare, die als Spam eingestuft wurden. Diese gehen in den Massen allerdings unter und werden vom Administrator gelöscht. Aus der Tätigkeit der Moderation wird also bei mehreren tausend Spams/Tag nur ein „per Mausklick alle als Spam gekkenzeichneten Nachrichten löschen“.

Lösung

Als Lösung wurde von Software Guide daraufhin Folgendes eingesetzt:

1. Math Comment Spam Protection Plugin:
   Das Plugin habe ich vor wenigen Tagen geschrieben, es stellt beim Kommentieren simple Mathe-Aufgaben. Mehr zu dem Plugin siehe unten.
2. Trackback Validator Plugin: Markiert alle Trackbacks als Spam, welche auf dem verlinkenden Blog keinen Back-Link zur getrackbackten Seite haben.
3. Akismet: Läuft weiterhin im Hintergrund und blockt alles, was trotzdem durchkommt.

Auf Software Guide ist das Konzept bisher aufgegangen, kein einziger Kommentar kam durch, die Anzahl der als Spam markierten Kommentare ging auf < 20 Stück / Tag zurück. Robert verwendet seit 06.07. ebenso dieses Konzept, wie er unter Die sanfteste Methode gegen Werbemüll berichtet, und scheint bisher ebenso gute Erfahrungen zu machen.

Mathe-Anti-Spam

Die meisten Spams blockt von Anfang an das Math Comment Spam Protection Plugin. Diskussionen dazu siehe auch unter Dr. Web: Spamschutz mit Rechenaufgaben.
Das Plugin stellt in seiner Version 1.0 einfachste Additionsaufgaben. Selbstverständlich lässt sich das per Bot sehr einfach umgehen, indem man das HTML ausliest und die Summe entsprechend übergibt. Allerdings verwenden derzeit nur die wenigsten Blogs einen solchen Schutz, somit ist die Abdeckung für Spammer völlig uninteressant.

Weiter plane ich für die Zukunft, das Plugin entsprechend zu erweitern und auch die Ausgaben der Zahlen und Operatoren als Text anzubieten, u.v.m.

Bilder und Captchas möchte ich nicht verwenden, da diese die Zugänglichkeit weiter einschränken. Zudem sind auch Captchas meist sehr einfach durch Bots lösbar, siehe PWNtcha – captcha decoder, Using AI to beat CAPTCHA oder W3C: Inaccessibility of CAPTCHA.

Das mit den Matheaufgaben ist nur eine Maßnahme von mehreren, und ist sicherlich verbesserungswürdig. Da aber heute der allergrößte Teil aller Webseiten keinerlei solcher oder ähnlicher Maßnahmen zur Spam-Abwehr treffen, ist diese Maßnahme sehr wirkungsvoll. Einige Webmaster nutzen von noch einfachere Möglichkeiten, wie etwa eine Checkbox (Kommentar wird nur gespeichert, wenn diese gesetzt ist) oder Kommentarvorschau. Das Plugin mit den Matheaufgaben ist da einen Schritt weiter, aber sperrt keine Anwender aus (als wie es etwa bei Captchas der Fall ist), auch da die Aufgaben selbst sehr einfach gehalten sind.
Die Rechenaufgaben zu berücksichtigen ist für Spammer zum heutigen Stand völlig uninteressant, da dieses Antipspam-Verfahren nur von einer minimalen Anzahl an Webseiten genutzt wird. In ein paar Jahren mag dies anders aussehen, aber bis dahin gibt es auch eine neuere Version des Plugins :-)

Mit (1) coComment kam im Februar 2006 der erste Webdienst, der es erstmals ermöglichte, Kommentare, die man als Besucher auf Weblogs hinterlies zu verfolgen.
Obwohl der Dienst seit einiger Zeit verfügbar ist, ist es nach wie vor nicht möglich, Kommentare zu verfolgen, die man selbst nicht kommentiert hat, oder bei denen man vergessen hat, vor dem Kommentar-Veröffentlichen coComment zu archivieren.
Das Killer-Kriterium also, und coComment bringt es seit Monaten leider nicht hin.

Mitte März 2006 wurde (2) co.mments.com veröffentlicht. Der Dienst viel damals gleich mal negativ auf, weil er auf meiner Webseite alle 30 Sekunden die Seiten nach Aktualisierung absuchte. Ein co.mments.com-Verantwortlicher hatte sich auf meine Kritik hin per Kommentar gemeldet, zu dem Zeitpunkt war allerdings der Service bei mir bereits in der Blacklist, da 30 Sekunden viel zu aggresiv sind.

Seit 5. Juli 2006 gibt es den neuen Dienst (3) Commentful, der sich ebenfalls zum Ziel gesetzt hat, Kommentare einfach zu verfolgen. Seltsamerweise hat scheinbar noch nicht mal Techncrunch von diesem neuen Service berichtet.

nostrich.net vergleicht die 3 Webservices im Detail (in Englisch), und kommt zum Fazit, dass keiner diese Services wirklich was taugt. Schade. Ich suche auch schon seit Monaten nach einer Möglichkeit, Kommentare zentral zu verfolgen. Derzeit nutze ich bei den mir wichtigen Kommentaren Firefox-Bookmarks, ist allerdings auch nur eine Notlösung.

Über Lorelle bin ich auf diesen nostrich.net-Artikel gestoßen, Lorelle macht überigens Folgendes zur Verwaltung der Kommentare:

Since I really haven’t found any comment monitoring service that is easy-to-use and really tracks well, I keep the blog’s post open in a Firefox tab for DAYS. I will often have over 100 tabs open, depleting my laptop’s available RAM.

Krass, sie verwaltet also die Kommentare über Firefox-Tabs, die etliche Tage geöffnet bleiben. Mir persönlich wäre das ja viel zu unübersichtlich, aber jeder wie er mag. Vermutlich verwendet sie da ein Plugin (wie etwa Tab Mix Plus), denn ansonsten sind beim Browser-Absturz oder Schließen die Inhalte weg.

Kennt Ihr noch weitere bzw. bessere Möglichkeiten, um Blog-Beiträge einfach zu verfolgen, in denen man kommentiert hat?

Wie wahr.
(via Rund um’s Büro)

Frank Bültge vergleicht unter Virtuelle Desktop Manager im Vergleich mehrere Programme, die unter Microsoft Windows mehrere virtuelle Desktops ermöglichen. Ein Feature, welches z.B. unter Linux völlig üblich ist, aber auf Microsoft-Windows-Betriebssystemen nicht wirklich genutzt wird, da es das Betriebssystem selbst nicht ermöglicht.

Im Artikel Frühstücksfleisch wird immer aggressiver hatte ich auf das Plugin Did You Path Math? verwiesen, welches ganz einfache Rechenaufgaben stellt.

Beispiel:

Probleme mit diesem Plugin:

• Es lässt sich nur in wenige Themes sauber integrieren, und selbst da ist JavaScript notwendig zu Platzierung des Formularfeldes
• Der Besucher muss Cookies zulassen
• Gibt man einen falschen Wert ein (auch: fehlendes Pflichtfeld wie Email-Adresse), und geht nach der Fehlermeldung wieder zurück, so ist der Kommentar-Inhalt und damit u.U. viel investierte Mühe des Besuchers weg.
• Das Plugin führt unnötige Schreib- und Löschaktionen in der MySQL-Tabelle durch, wenn ein User ein falsches oder kein Ergebnis eingegeben hat; hier sollte eigentlich gar keine Schreib/Lösch-Aktion nötig sein.

Daher habe ich das Plugin Math Comment Spam Protection geschrieben.

Der Code ist komplett neu erstellt und basiert auf einem völlig anderen Konzept wie das Did You Path Math? – Plugin. Identisch ist die Idee dahinter: Der Besucher muss eine simple Rechenaufgabe lösen und gibt das Ergebnis in ein Formular ein.
Das Ergebnis wird über eine PHP-Funktion codiert und über ein verstecktes Feld übertragen. Nach dem Absenden des Formulars wird auch die Benutzereingabe mit dem selben Algorithmus encodiert und mit dem Wert des versteckten Feldes verglichen. Wenn die Werte übereinstimmen, wird der Kommentar veröffentlicht.

Ich kann nur sagen, dass es klappt ;-) Seit 2 Tagen ist das Plugin hier auf Software Guide im Testeinsatz, und statt mehreren tausend Spam-Kommentaren / Tag hatte ich jetzt keinen einzigen Spam-Kommentar mehr.

Trackbacks/Pingbacks funktionieren natürlich weiterhin, und gegen Spam-Trackbacks kann dieses Plugin nicht antreten. Daher habe ich vorhin noch das Plugin Trackback Validator installiert, welches alle Trackbacks als Spam markiert, welche auf dem verlinkenden Blog keinen Back-Link zur getrackbackten Seite haben.

Wenn man auf einer in Deutsch gehaltenen Webseite Besucher, die nicht Deutsch können aber dafür Englisch, nicht aussperren möchte (z.B. Kontaktformular, Kommentare, etc.), so gibt es die Möglichkeit, anhand der vom Besucher eingestellten Sprache den entsprechenden Inhalt anzuzeigen.

Ich habe dazu eine PHP-Funktion geschrieben, die sich darum kümmert: get_language.txt

Die Funktion kann man nutzen um je nach Sprache des Besuchers den Inhalt in Deutsch oder Englisch anzuzeigen. Sobald der Anwender eine deutsche Sprache im Browser definiert hat – auch wenn diese nicht an erster Stelle ist – wird Deutsch angezeigt. Ist keine der deutschen Sprachen definiert, wird Englisch angezeigt.

Beispiel für den Einsatz:

$swg_comm06 = get_sglang('Pingback von ', 'Pingback by ');
$swg_comm10 = get_sglang('Kommentar schreiben:', 'Leave a comment:');
$swg_comm11 = get_sglang('Bearbeite Deinen Kommentar:', 'Edit your comment:');

Die Variablen enthalten die entsprechenden deutschen oder englischen Inhalte, welche per echo zur Anzeige gebracht werden können.

Ich setze das ganze auf Software Guide im Kommentarbereich ein, da ich hier Inhalte in Englischer Sprache anbiete (alle WordPress-Plugins) und dementsprechend viele Kommentare in Englisch kommen.

Übrigens kann man kann das ganze testen, indem man im Browser die deutsche Sprache entfernt. Unter Firefox: Extras > Einstellungen > Erweitert > Sprachen bearbeiten.

Heutzutage beschäftigt man sich nicht mehr mit Nebensächlichkeiten, sondern mit wichtigen Aufgaben wie etwa dem Öffnen von Getränkeflaschen, die Gerstensaft enthalten.

bier-aufmachen.de nimmt sich dieser Aufgabe an und gibt diverse Tipps. Die Webseite 1000 Arten ein Bier zu öffnen geht noch etwas weiter und bietet bereits 983 Möglichkeiten, ein Bier zu öffnen.