state of the art - verbergen von mailaddy vor spambots

[frankx]

Hellihello

gibts da einen "sota"?

Macht es Sinn, das mit irgendwelchem Ascii-Code zu verschleiern.

Oder per

getElementById("mail_span").innerHTML = '<a href="mailto:[e-mail]"> my ätschibätsch.addy </a>';  

Dank und Gruß,

frankx

[suit]

getElementById("mail_span").innerHTML = '<a href="mailto:[e-mail]"> my ätschibätsch.addy </a>';

ach gott, dann baut man halt in seinen mailadresscrawler eine funktion ein, die auch die verlinkten resourcen wie css-files oder javascripte noch mailadressen durchforstet - in den copyrights usw stehen da ja auch meisten welche drinnen ;)

[frankx]

Hellihello

getElementById("mail_span").innerHTML = '<a href="mailto:[e-mail]"> my ätschibätsch.addy </a>';

> ach gott, dann baut man halt in seinen mailadresscrawler eine funktion ein, die auch die verlinkten resourcen wie css-files oder javascripte noch mailadressen durchforstet - in den copyrights usw stehen da ja auch meisten welche drinnen ;)  
  
wie wärs mit  
~~~javascript
  
  
var vormals = "[e-mail]";  
var jetzt = vormals.replace(/Fa*sche/g, "");  
getElementById("mail_span").innerHTML = '<a href="mailto:'+jetzt+'"> my ätschibätsch.addy </a>';  
  

Dank und Gruß,

frankx

[Beat]

var vormals = "[e-mail]";

Du erzeugst bouncing Mails.
Wenn schon, gib die echte Adresse an oder gar keine.

mfg Beat

[frankx]

Hellihello

var vormals = "[e-mail]";

Du erzeugst bouncing Mails.

Verstehe ich nicht. Das wäre doch die Mailadresse im Klartext im Javascript. Weil suit meinte, der Mailharvester würde den Klartext des Javascript durchforsten. Dann findet er diese Adresse. Die aber wird im Dokument nie angezeigt, weil ja noch per Javascript der Dummy-Teil rausgelöscht wird.

Die untaugliche Adresse führt ins Nirvana. Der Mailharveser müsste also nicht nur den Javascript-Quelltext auswerten sondern zudem auch noch das Javascript selbst, wollte er fündig werden. War ja nur mal so eine Idee. Man kann ja auch Bildchen einbauen, wenn Kunde das wünscht.

Ich selbst kann mit meinen Mailadressen auf diversen Webpräsenzen auch ganz gut leben, aber ich bin ja nicht andere.

Wenn schon, gib die echte Adresse an oder gar keine.

Wie gesagt, ich schon, aber um mich gehts ja nicht.

Dank und Gruß,

frankx

[suit]

Die untaugliche Adresse führt ins Nirvana. Der Mailharveser müsste also nicht nur den Javascript-Quelltext auswerten sondern zudem auch noch das Javascript selbst, wollte er fündig werden. War ja nur mal so eine Idee. Man kann ja auch Bildchen einbauen, wenn Kunde das wünscht.

und die untaugliche mailadresse führt eben nicht ins nirvana, es werden emails verschickt, der mailserver kann sie nicht zustellen, es wird eine fehlermeldung erzeugt - das produziert viel datenmuss - eine lösung, die nicht wirklich praktikabel ist

wenn der kunde ein bilchen wünscht: erklärs ihm, warum das keine gute idee ist

Ich selbst kann mit meinen Mailadressen auf diversen Webpräsenzen auch ganz gut leben, aber ich bin ja nicht andere.

ich bekomme am tag "unendlich viel spam", aber damit muss man wie du sagst leben, wenn man eine öffentlich zugängliche website hat und dort seine adresse mehrfach stehen hat ;)

die defintive lösung ist standardkonformen code zu produzieren (jede javascriptlösung ist nicht barrierefrei, die bildchen-ersetzt-methoden auch nicht, auch @ durch [at] ersetzen nicht), damit kann jeder mensch etwas anfangen - für alles weitere gibts spamfilter

[frankx]

Hellihello suit,

Die untaugliche Adresse führt ins Nirvana. Der Mailharveser müsste also nicht nur den Javascript-Quelltext auswerten sondern zudem auch noch das Javascript selbst, wollte er fündig werden. War ja nur mal so eine Idee. Man kann ja auch Bildchen einbauen, wenn Kunde das wünscht.
und die untaugliche mailadresse führt eben nicht ins nirvana, es werden emails verschickt, der mailserver kann sie nicht zustellen, es wird eine fehlermeldung erzeugt - das produziert viel datenmuss - eine lösung, die nicht wirklich praktikabel ist

Naja, sie setzt voraus, dass der Crawler sich die Mühe machte, ins .js zu schauen. Bei der standardkonformen  würde er dann einfach direkt loslegen. Trafficmäßig ist das ja ident, oder?

wenn der kunde ein bilchen wünscht: erklärs ihm, warum das keine gute idee ist

Naja, fürs Impressum find ich das o.k.. Ansonsten ist halt nur der Nachteil, dass man es nicht die "mailto:"-Funktionalität hat.

Ich selbst kann mit meinen Mailadressen auf diversen Webpräsenzen auch ganz gut leben, aber ich bin ja nicht andere.

ich bekomme am tag "unendlich viel spam", aber damit muss man wie du sagst leben, wenn man eine öffentlich zugängliche website hat und dort seine adresse mehrfach stehen hat ;)

die defintive lösung ist standardkonformen code zu produzieren (jede javascriptlösung ist nicht barrierefrei, die bildchen-ersetzt-methoden auch nicht, auch @ durch [at] ersetzen nicht),

Es ist eine B2B-Präsenz. Und Spamfilter musst du auch erstmal haben. Für die Barrierefreiheit könnte man ja alternativ noch das von Felix vorgeschlagene Kontaktformular parallel anbieten.

Dank und Gruß,

frankx

[suit]

Trafficmäßig ist das ja ident, oder?

mit traffic meinte ich nicht den vom webserver sondern den mailservertraffic ;)

wenn du jetzt "[e-mail]" durch "[e-mail]" ersetzt, wird der spambot ggf erstere als adresse identifizieren und eine e-mail absenden, diese landet im nirvana (als bounce message), daraus resultiert eine fehlermeldung die ebenfalls irgendwo hingeschickt wird, gff wieder als bounce message herumfleucht - das kostet alles wesentlich mehr traffic als wenn eine einzige "echte" spam-email an den "richtigen empfänger" geschickt wird

[frankx]

Hellihello

Trafficmäßig ist das ja ident, oder?
mit traffic meinte ich nicht den vom webserver sondern den mailservertraffic ;)

wenn du jetzt "[e-mail]" durch "[e-mail]" ersetzt, wird der spambot ggf erstere als adresse identifizieren und eine e-mail absenden, diese landet im nirvana (als bounce message), daraus resultiert eine fehlermeldung die ebenfalls irgendwo hingeschickt wird, gff wieder als bounce message herumfleucht - das kostet alles wesentlich mehr traffic als wenn eine einzige "echte" spam-email an den "richtigen empfänger" geschickt wird

Jau, es sei denn:

1. die [e-mail] ist eingerichtet und dient als Fangbecken für Spammer

2. ich baue es mit Javascript so:

  
a = "mein";  
b = "name";  
c = "@";  
d = "exam";  
e = "ple";  
f = ".";  
g = "com";  
  
murx = a+b+c+d+e+f+g;  
  
meinSpan.innerHTML = murx;  
  

Dann dürfte auch ein Crawler keine Mailaddy (auch keine falsche) finden.

Frage dennoch: mach ich den Spammern mit o.g. Variante0 nicht doch das Leben schwer, weil die beiden Mailserver, die das betrifft, dann u.u. auf den Vorgang aufmerksam werden, und so der Versender zB. auf eine Blacklist oder Greylist landet?

Je mehr ich darüber nachdenke, desto absurder finde ich es, einem End-Nutzer die Spamabwehr selbst zu überlassen. S.a. aktuellen Postings hier zu all den Problemen, die das verursacht, nämlich dass ggf. wichtige Mails sie nicht mehr erreichen. GMX-Spamfilter markiert sogar Mails als Spam, die von der eigenen Adresse an die eigene Adresse gesandt wurden.

Dank und Gruß,

frankx

[Beat]

Ich habe eigentlich meine Contactseite ziemlich unbehindert und bin damit bis jetzt gut gefahren.
Ich schaue nur, dass im .htaccess nichts falsches eingetragen ist.
Sprich, man darf keinen Referer senden oder muss als Referer die eigene Domain angeben. Funktioniert bis jetzt ganz gut.

JS und CSS Lösungen haben beide ihre Probleme, mit denen man eventuell leben kann, eventuell nicht.
Das mühsamste dabei ist, dass ich eine Seite mehr habe, die ich editieren muss, wenn ich meine Mailadresse ein/zwei-jährlich aktualisiere.
Letztlich löst man das Problem beim Mailserver.

mfg Beat

[Reiner]

Ich schaue nur, dass im .htaccess nichts falsches eingetragen ist.

Was meinst Du mit dem Satz?

Sprich, man darf keinen Referer senden oder muss als Referer die eigene Domain angeben. Funktioniert bis jetzt ganz gut.

Was soll das bringen? Verstehe ich Dich richtig, dass jemand von einer anderen Seite kommend, abgewiesen wird? Schließlich hat er einen fremden Referer...

Leuchtet mir alles nicht so ganz ein, was Du da machst.

lg
Reiner

[Beat]

Ich schaue nur, dass im .htaccess nichts falsches eingetragen ist.

Was meinst Du mit dem Satz?

Sprich, man darf keinen Referer senden oder muss als Referer die eigene Domain angeben. Funktioniert bis jetzt ganz gut.

Was soll das bringen? Verstehe ich Dich richtig, dass jemand von einer anderen Seite kommend, abgewiesen wird? Schließlich hat er einen fremden Referer...

Erwartest du dass deine Kontaktseite bei Google indexiert ist? Das ist meine Auffassung nicht.

Kein normaler User wird von etcetera.com aus meine Kontaktseite erreichen.
Das heisst es. Ich kann mich nur an wenige Fälle erinnern, wo überhaupt ein Referer ausserhalb meiner eigenen Domain angegeben war.
Das verhindert nicht, dass ein Mailharvester meine MailAdresse ausliest (kam vielleicht 2 - 3 mal vor in denletzten paar Jahren). Aber das kann mir letztlich egal sein weil:

Wenn wir schon beim Thema Spam waren.
Ich vertraue auf zyklische Email-Adressen.
Falls ich mal Spam erhalte, dann ändere ich sie. Um die die jeweils gültige Adresse zu publizieren ist die Kontaktseite da. Innerhalb meines eigenen Projekts verlinke ich immer nur meine Kontaktseite.
Mails an nicht gültige Adressen werden schlicht vernichtet, und Friede ist.

Bezüglich deinem TEST
Warum machst du nicht deine eigenen virtuellen Mailboxen auf, exponierst die Mailadressen und schreibst dir selber ein paar legale Mails. Dann weist du was du testest. Wenn du deinen Test nur als Mail-Relay anbietest, weisst du nie, welcher Filter der jeweiligen Mailadress-Inhaber deinen Test verfälschen.
Dein Test wirkt schlicht unseriös und unlogisch.

mfg Beat

[Reiner]

Ich schaue nur, dass im .htaccess nichts falsches eingetragen ist.

Was meinst Du mit dem Satz?

Sprich, man darf keinen Referer senden oder muss als Referer die eigene Domain angeben. Funktioniert bis jetzt ganz gut.

Was soll das bringen? Verstehe ich Dich richtig, dass jemand von einer anderen Seite kommend, abgewiesen wird? Schließlich hat er einen fremden Referer...

Erwartest du dass deine Kontaktseite bei Google indexiert ist? Das ist meine Auffassung nicht.

meine schon! Das kann ich Dir auch gerne beweisen.

Kein normaler User wird von etcetera.com aus meine Kontaktseite erreichen.

Doch, wenn er danach sucht. Kann taktisch gut sein, wenn man sie dann auch findet.

Das heisst es. Ich kann mich nur an wenige Fälle erinnern, wo überhaupt ein Referer ausserhalb meiner eigenen Domain angegeben war.
Das verhindert nicht, dass ein Mailharvester meine MailAdresse ausliest (kam vielleicht 2 - 3 mal vor in denletzten paar Jahren). Aber das kann mir letztlich egal sein weil:

Wenn wir schon beim Thema Spam waren.
Ich vertraue auf zyklische Email-Adressen.
Falls ich mal Spam erhalte, dann ändere ich sie. Um die die jeweils gültige Adresse zu publizieren ist die Kontaktseite da. Innerhalb meines eigenen Projekts verlinke ich immer nur meine Kontaktseite.
Mails an nicht gültige Adressen werden schlicht vernichtet, und Friede ist.

Das ist doch Unsinn. Was soll eine Firma machen? Jedes Jahr peter.mueller1 in peter.mueller2 umbenennen?

Bezüglich deinem TEST
Warum machst du nicht deine eigenen virtuellen Mailboxen auf, exponierst die Mailadressen und schreibst dir selber ein paar legale Mails. Dann weist du was du testest. Wenn du deinen Test nur als Mail-Relay anbietest, weisst du nie, welcher Filter der jeweiligen Mailadress-Inhaber deinen Test verfälschen.

Du hast Dich damit noch nicht länger beschäftigt, oder?
Was soll es bringen, mir selbst Mails zu schreiben?

Dein Test wirkt schlicht unseriös und unlogisch.

Und Du befindest Dich diesbzgl. im falschen Thread!

lg
Reiner

[Reiner]

Ich schaue nur, dass im .htaccess nichts falsches eingetragen ist.

Was meinst Du mit dem Satz?

Sprich, man darf keinen Referer senden oder muss als Referer die eigene Domain angeben. Funktioniert bis jetzt ganz gut.

Was soll das bringen? Verstehe ich Dich richtig, dass jemand von einer anderen Seite kommend, abgewiesen wird? Schließlich hat er einen fremden Referer...

Erwartest du dass deine Kontaktseite bei Google indexiert ist? Das ist meine Auffassung nicht.

Kein normaler User wird von etcetera.com aus meine Kontaktseite erreichen.

Ach, wie unterscheidest Du einen User von einem Roboter?

lg
Reiner

[Beat]

Ach, wie unterscheidest Du einen User von einem Roboter?

Die Unterscheidung ist mangelhaft. Es gibt aber gute Tendenzen, welche einen Bereich gut abdecken.

Gegenfrage: Was erwartest du von einem User
Was erwartest du von einem Index-Bot den du billigst
Was erwartest du aus politischen Gründen von Bots die du nicht kennst, die du aber aus politischen Gründen nicht aussperren willst?
Was erwartest du von Browsern, die du nicht kennst, die du aber aus politischen Gründen nicht ausschliessen willst.

Du hast Raum zu definieren, was du willst.
Das braucht etwas Betreuung, aber nur einen Bruchteil dessen, um zu definieren, was du nicht willst.

mfg Beat

[Reiner]

Ach, wie unterscheidest Du einen User von einem Roboter?

Die Unterscheidung ist mangelhaft. Es gibt aber gute Tendenzen, welche einen Bereich gut abdecken.

Gegenfrage: Was erwartest du von einem User
Was erwartest du von einem Index-Bot den du billigst
Was erwartest du aus politischen Gründen von Bots die du nicht kennst, die du aber aus politischen Gründen nicht aussperren willst?
Was erwartest du von Browsern, die du nicht kennst, die du aber aus politischen Gründen nicht ausschliessen willst.

Du hast Raum zu definieren, was du willst.
Das braucht etwas Betreuung, aber nur einen Bruchteil dessen, um zu definieren, was du nicht willst.

Das hört sich alles ziemlich unausgegohren an.
Auf der einen Seite machst Du eine Aktion, damit die Seite, die Deine Adresse enthält - sowas habe ich wirklich noch nie gehört! - eine Sonderbehandlung erfährt und Roboter aussperren soll. Auf der anderen Seite sagst Du, dass Du eigentlich nicht in der Lage bist, Roboter zu erkennen... Was denn nun?

lg
Reiner

[Beat]

Das hört sich alles ziemlich unausgegohren an.
Auf der einen Seite machst Du eine Aktion, damit die Seite, die Deine Adresse enthält - sowas habe ich wirklich noch nie gehört! - eine Sonderbehandlung erfährt und Roboter aussperren soll. Auf der anderen Seite sagst Du, dass Du eigentlich nicht in der Lage bist, Roboter zu erkennen... Was denn nun?

Ja, ich lebe mit Kompromissen.
Es gibt Robots Requests, die ich nur mit einer vorgeschalteten index.php mit  Logfile auswertung erfassen könnte.
Die Bandbreite der Bots ist verschieden. Welche prioritätet setzt man?
Im http Bereich halte ich es für einen Overkill, alles erfassen zu wollen.

Hier nun ein paar einfache Prinzipen

global:
User-Agent ist '-' = Ich will es nicht, Das hat sich bewährt
Das ist der einzige User-Agent, den ich negativ verwerfe. Ich brauche diese Regel noch nicht einmal zu notieren.

Ein User-Agent hat entweder
--eine einem Index-Bot angemessenen formalen Aufbau, das heisst er ist
mit einer Regexp zu erfassen. Die Regexp verlangt, dass eine Seite zur Beschreibung des Bots vorhanden ist.
--oder eine einem Browser entsprechende Form, wobei bekannte Typen zugelassen werden als auch Formen von unbekannten aber geforderten Mustern.

Diese Handhabung garantiert, dass ich Agents wie

• "core-project/1.0"
• "Xenu Link Sleuth 1.2j"
  etc gar nicht erfassen brauche, weil die schlich den zwei oberen Masken nicht entsprechen.

Statischer Bereich:
Ich setze eine Variable mit
SeEnvIfNoCase für folgende Typen
Die Variablen sind entweder robot oder browser
Am Schluss hat nur das Zugriff, was entweder robot oder browser als Variable gesetzt hat.
Alles andere wird nicht zugelassen

Browser:
Mozilla/5 oder
Mozilla/4 gefolgt von MSIE [67]
MSIE 5 will ich nicht. Gibt nur RefererSpam ist effektiv nicht mehr
unterwegs
Opera9 (alles andere macht nur Mist)
Konqueror
Webkit
Explizite Index-Bots welche ich will
Ein Browser den ich nicht kenne, dessen String aber einem bestimmten Muster gehorchen soll.

Alles andere fliegt raus

Dann habe ich für den Zugriff auf Bilder zips docs und odts nochmals spezielle Bedingungen.
Das hat damit angefangen dass ich die idiotische Google Bildersuche abstellen wollte (zusammen mit einem Indexverbot im robots.txt)

Wie du siehst, es geht bei mir nicht primär darum Spambots zu erkennen
sondern zu definieren was ich will
und dabei einen klugen Freiraum zu lassen für Dinge die ich nicht kennne

Aber der Indexbot Marke
"Eigenbau/1.0" soll sich eine eigene Testwiese suchen.

Unter diese Muster erwünschter Dinge schlüpfen mir einige Bots durch. Aber das ist nicht sooo wichtig.

Jetzt habe ich alles sortiert in der Variable robots (erwünschte notabene) oder browser
Ist wohl klar, dass ich damit eine Sonderbehandlung für die Seite, die meine Mail-Adresse enthält einrichten kann.
Es gibt noch andere Seiten, die ich von Bots nicht indexiert haben will, und ich verwende es als Riegel für jene, die meinen robots.txt nicht respektieren.

Ich kontrolliere alle 3 Monate meine Massnahmen und nehme dazwischen auch Stichproben in der Suche nach ungerechtfertigten 403.

Soweit geht das gut. Aber ih habe noch http Spam-Requests. Aber das ist mir letzlich egal, da dieser Spam nun den Server nicht mehr wesentlich belastet.

Die Massnahme hat definitiv geholfen die Spamrequests drastisch zu reduzieren. ich rede hier von typischen Gästebuch-Spammern.

Im cgi-Bereich lasse ich eine Prüfung mit den dortigen Methoden geschehen. Die prüfen aber nur relativ seltene Dinge wie manipulierte Queri-Strings und Referer die aus der Requestadresse gefüllt wurden.

Ich weiss, dass meine Politik der positiven Bestimmung extrem unbeliebt und kontrovers ist. Vielleicht nur für meine Website angebracht. Aber sie ist wirkungsvoll und hat mir nun seit 2 Jahren Ärger erspart.

mfg Beat

Fühle mich definitiv nicht mehr in der Lage, zu dieser Stunde ordentlich zu schreiben.
Wünsche dir eine gute Nacht.

[Cybaer]

Hi,

Aber sie ist wirkungsvoll und hat mir nun seit 2 Jahren Ärger erspart.

Wenn man es "richtig" macht, dann ist der Effekt der gleiche. Es gibt keinen Grund, es "falsch" zu machen ...

Gruß, Cybaer

[Cybaer]

Hi,

Das heisst es. Ich kann mich nur an wenige Fälle erinnern, wo überhaupt ein Referer ausserhalb meiner eigenen Domain angegeben war.

Z.B. normale User, die "PrivacyProtect"-Software einsetzen (oder in Netzwerken sitzen, deren Admin das eingerichtet hat). Dort ist im Referrer dann gerne der Hinweis auf die "Protection", oder die URL des Herstellers (oder sonstwelche URLs die manche gerne als Werbung in eigener Sache automatisch in den Referrer setzen lassen), oder der Referrer ist ausge-X-t, oder ...

Gruß, Cybaer

[Beat]

Externe http Referer haben eine Syntax, die man testen kann
Es kann theoretisch vorkommen dass Ein Anonymizer in diesem Falle so blöd ist einen Ersetzungsstring zu senden, der auf eine externe Domain verweist.
Das ist nicht mein Problem.

mfg Beat

[Cybaer]

Hi,

Es kann theoretisch vorkommen dass Ein Anonymizer in diesem Falle so blöd ist einen Ersetzungsstring zu senden, der auf eine externe Domain verweist.

Es kommt auch praktisch vor.

Das ist nicht mein Problem.

Sollte dich jemand, der mit deiner Art der Kontaktverhinderung, wg. dieses fehlerhaften Impressums verklagen, könnte es natürlich dein Problem werden.

Ansonsten: Solange es deine private Site (und keine kommerzielle Site für jemand anderen) ist, ist das natürlich einzig deine Angelegenheit.

Hauptsache, es macht niemand der das hier mal später liest nach. Deswegen die Warnung ...

Gruß, Cybaer

[Felix Riesterer]

Lieber frankx,

meiner Meinung nach ist die beste SPAM-Abwehr, Deine Adresse nicht zu veröffentlichen. Nimm ein Mailformular und setze es auf Deine Seite, bei dem die Mail von der Website selbst an Dich abgeschickt werden kann. Damit ist Deine Mailadresse völlig unsichtbar und die Kontaktaufnahme mit Dir trotzdem gewährleistet.

Liebe Grüße aus Ellwangen,

Felix Riesterer.

[frankx]

Hellihello Felix,

Lieber frankx,

Du kannst mich auch Robert nennen, wenn du magst (;-).

meiner Meinung nach ist die beste SPAM-Abwehr, Deine Adresse nicht zu veröffentlichen. Nimm ein Mailformular und setze es auf Deine Seite, bei dem die Mail von der Website selbst an Dich abgeschickt werden kann. Damit ist Deine Mailadresse völlig unsichtbar und die Kontaktaufnahme mit Dir trotzdem gewährleistet.

eben gefunden: https://forum.selfhtml.org/?t=170893&m=1117963 ?

Dank und Gruß aus dem sommerlichen Berlin,

frankx