Honeypot, oran sınırlama, challenge sayfaları ve doğrulama kullanarak CAPTCHA olmadan formlar için pratik spam koruması öğrenin; gerçek kullanıcıların hızlı kaydolmasını sağlayın.
display: none veya HTML hidden özniteliği kullanmadan görsel olarak gizleyin.\n\nGerçek kullanıcıları incitmemek için erişilebilirlik ve otomatik doldurma öncelikli gereksinimler olsun. Honeypot klavye ile erişilebilir olmasın, ekran okuyuculara duyurulmasın ve parola yöneticilerini çekmesin.\n\nGüvenli kontrol listesi:\n\n- off-screen CSS ile gizleyin (display: none kullanmayın)\n- bir container ile sarıp aria-hidden="true" ekleyin\n- tabindex="-1" verin ki tab sırasına girmesin\n- autocomplete="off" (veya otomatik doldurulması muhtemel olmayan bir değer) ayarlayın\n- nötr bir etiket ve ad kullanın ("email" veya "website" gibi ifadelerden kaçının)\n\nDoldurulduğunda ne yapacağınız risk düzeyine bağlı. Düşük riskli formlarda (bülten) gönderimi sessizce reddetmek genellikle uygundur. Kayıt veya şifre sıfırlama gibi durumlarda ise bunun güçlü bir sinyal olduğunu kabul edip yükseltme yapın: incelemeye al veya tek seferlik bir doğrulama adımı gösterin. Böylece nadir otomatik doldurma hatası yapan gerçek bir kişiyi cezalandırmamış olursunuz.\n\nBotların öğrenmesini azaltmak için zaman zaman honeypot alan adını değiştirin. Örneğin, form her render edildiğinde rastgele bir alan adı üretin, sunucuda depolayın (veya bir token ile imzalayın) ve boş olmayan herhangi bir değeri güçlü bir spam sinyali sayın. Bu, sert kodlanmış betikleri çok daha az etkili kılar.\n\n## Gerçek insanları kilitlemeden oran sınırlama ve throttling\n\nOran sınırlama, herkesin CAPTCHA çözmesini gerektirmeden spam koruması eklemenin en basit yollarından biridir. Anahtar nokta: suistimali yavaşlatırken normal kullanıcıların farkına varmamasını sağlamaktır.\n\nSınır koymak için birkaç anahtar seçin. Sadece IP yeterli değil, ama iyi bir ilk katmandır. Mümkünse cihaz sinyali (cookie veya localStorage ID) ve oturum sinyali ekleyin. İki veya üç sinyal bir arada botlara karşı sert ama insanlara karşı adil olmanızı sağlar.\n\nFarklı formlar farklı limitler gerektirir:\n\n- kayıt: IP ve cihaz başına daha sıkı\n- giriş: başarısız denemelerde daha sıkı, başarılı girişlerde daha gevşek\n- şifre sıfırlama: çok sıkı ve yakından izlenmeli\n- iletişim formu: orta düzey, ama ani patlamalara dikkat\n\nSert blok yerine tekrarlayan başarısızlıklardan sonra soğuma gecikmelerini tercih edin. Örneğin 3 başarısız girişten sonra kısa bir gecikme ekleyin; 6'da daha uzun bir gecikme. Gerçek kullanıcılar genelde bir-iki kez dener; botlar hammer'lamaya devam eder ve kendi zamanlarını boşa harcarlar.\n\nPaylaşılan IP'ler klasik bir tuzaktır. Okullar, ofisler ve mobil operatörler birçok gerçek kullanıcıyı aynı IP'nin arkasına koyabilir. Bu durumda daha yumuşak limitler kullanın: cihaz bazlı tercih edin, sayacı kısa tutun ki sayım hızlıca azalısın ve kalıcı bir engel yerine “bir süre sonra tekrar deneyin” gibi bir yanıt verin.\n\nKendi ekip ve destek işleri için küçük bir izinli liste tutun ki testler korumaları tetiklemesin. Oran limit tetiklerini loglayın ki gerçek veriye göre ayar yapabilesiniz.\n\n## Challenge sayfaları: yalnızca gerektiğinde sürtünme ekleyin\n\nChallenge sayfası iyi bir güvenlik valfidir, ama en iyi şekilde ikinci adım olarak çalışır; ön kapı olmamalıdır. Çoğu insan bunu hiç görmemeli.\n\nChallenge'ı yalnızca bariz suistimal belirtilerinden sonra gösterin: bir IP'den çok sayıda deneme, imkânsız yazma hızı, şüpheli user agent'lar veya tekrar eden hatalar gibi.\n\nGenelde işe yarayan hafif zorluklar:\n\n- tek kullanımlık bağlantılı e-posta doğrulaması\n- yalnızca şüpheli davranış sonrası kısa "insan olduğunuzu doğrulayın" adımı\n- birden fazla başarısız kayıttan sonra "devam etmek için gelen kutunuzu kontrol edin"\n- geçici soğuma: "lütfen 60 saniye sonra tekrar deneyin"\n- yüksek değerli işlemler için giriş iste (temel gezinme için değil)\n\nRisk yüksek veya trafik açıkça düşmansa tam bir challenge sayfası mantıklıdır: kayıt denemelerinde ani sıçrama, şifre sıfırlama saldırıları veya pahalı bir kaynak oluşturan bir form (deneme hesapları, kredi verme, dosya yüklemeleri).\n\nYazıyı sakin ve spesifik tutun. İnsanlara ne olduğunu, sonraki adımı ve ne kadar süreceğini söyleyin. "Hesabınızı oluşturmak için kısa bir adım gerekli. Devam etmek için e-postanızı kontrol edin. Bağlantı 10 dakika sonra geçersiz olur." gibi net yönlendirme, belirsiz uyarılardan iyidir.\n\nE-posta filtreleri, erişim sorunu veya erişilebilirlik ihtiyaçları için takılıp kalanlar adına bir geri dönüş yolu planlayın. Destek yolu ve güvenli bir yeniden deneme seçeneği sunun. Eğer akışı Koder.ai gibi bir araçta inşa ediyorsanız, challenge'ı ayrı bir adım olarak tutun ki tüm kayıt akışını yeniden yazmadan değiştirebilesiniz.\n\n## Veritabanınıza düşmeden önce çöpleri durduran doğrulama taktikleri\n\nÇoğu spam, form neredeyse her şeyi kabul ettiği ve daha sonra başarısız olduğu için geçer. İyi doğrulama çöpü erken durdurur, veritabanınızı temiz tutar ve CAPTCHA ihtiyacını azaltır.\n\nDoğrulamadan önce girdiyi normalize edin. Boşlukları kırpın, tekrarlayan boşlukları birleştirin ve e-postaları küçültün. Telefon numaraları için boşluk ve noktalama işaretlerini kaldırıp tutarlı bir formatta saklayın. Bu, " [email protected] " vs "[email protected]" gibi kolay atlatmaları engeller.\n\nSonra açıkça yanlış olan girdileri reddedin. Basit limitler çok işe yarar: minimum ve maksimum uzunluk, izin verilen karakter setleri ve geçici gibi görünen desenlerin engellenmesi. İsimler ve mesajlarda yaygın noktalama izin verin, ama kontrol karakterleri ve tekrarlayan semboller gibi büyük blokları engelleyin.\n\nYarar sağlayan kontroller:\n\n- e-posta: normalize edilmiş, yapısal olarak geçerli, makul uzunlukta, domain mevcut\n- mesaj alanları: uzunluk sınırı ve tekrarlayan saçma metin tespiti (örneğin aynı kelimenin 50 kez tekrar edilmesi)\n- telefon, ülke, posta kodu: yalnızca desteklediğiniz formatları doğrulayın\n- deduplikasyon: kısa bir pencerede aynı e-posta ve mesajla tekrar gönderimleri engelle\n- dosya yüklemeleri: sıkı tip izin listesi, boyut sınırları, DB dışında depolama ve kullanmadan önce tarama\n\nÖrnek: bir kayıt formu abcd1234@tempmail... gibi hesaplar ve aynı biyografi metniyle doluyorsa, normalization sonrası normalleştirilmiş e-posta üzerinden dedupe, tekrarlayan içerikli biyoları reddetme ve aynı domain'e rate-limit uygulama ile çoğu çöp veritabanınıza düşmeden temizlenebilir.\n\nHata mesajlarını kullanıcı dostu tutun, ama saldırganlara bir kontrol listesi vermeyin. Genel bir "Lütfen geçerli bir e-posta girin" genelde yeterlidir.\n\n## Sürdürmesi kolay davranış kontrolleri ve izleme\n\nÇok sayıda kırılgan kurala dayanan koruma zamanla karmaşıklaşır. Birkaç basit davranış kontrolü bir çok suistimali yakalar ve bakımı kolaydır.\n\nZamanlama ile başlayın. Gerçek insanlar nadiren bir kaydı 1 saniyenin altında tamamlar. Formun render edildiği zamanı ve gönderildiği zamanı kaydedin. Eğer fark çok kısa ise daha yüksek risk olarak değerlendirin: yavaşlatın, e-posta doğrulaması isteyin veya incelemeye alın.\n\nSonra tekrarları arayın. Saldırganlar genelde aynı payload'ı küçük varyasyonlarla gönderir. Kısa ömürlü bir fingerprint tutun: e-posta domain + IP öneki + user agent + ana alanların hash'i gibi. Dakikalar içinde tekrar görürseniz, tutarlı bir şekilde yanıt verin.\n\nGenellikle yeterli birkaç sinyal:\n\n- minimum sürenin altındaki tamamlama zamanı (örneğin 3-5 saniyenin altında)\n- kısa pencerede çok sayıda aynı ya da çok benzer gönderim\n- submit'ten önce sayfa görüntülemesi yok veya doğrudan endpoint'e post edilmiş\n- doğrulama hatasından sonra yeniden deneme yok (insanlar genelde düzeltip tekrar gönderir)\n- fare veya tuş kullanımı olmadan ilerleyen akışlar diğer kırmızı bayraklarla eşleşiyorsa (tek başına güvenmeyin)\n\nİzleme her şey için bir gösterge panosu gerektirmez. İki sayıya bakın: kayıt hacmi ve hata oranı. Ani sıçramalar genelde ya bot dalgası ya da kırık bir sürümdür.\n\nLogları haftalık gözden geçirin, günlük değil. Eşikleri küçük adımlarla ayarlayın ve neden değiştirdiğinizi not edin.\n\n## Gerçekçi bir örnek: spamlı bir kayıt akışını temizlemek\n\nKüçük bir startup'ın iki halka açık formu var: e-posta/parola ile kayıt ve ad+mesaj içeren iletişim formu. Bir hafta içinde veritabanı sahte kayıtlarla doluyor ve iletişim inbox'ı günde 200 spam mesaj alıyor. Gerçek kullanıcılar, kayıt e-postalarının gecikmesi nedeniyle şikayet etmeye başlıyor.\n\nİlk olarak sıkıcı ama etkili düzeltmeler uygulanıyor: sunucu tarafı doğrulama, bir honeypot alanı ve temel kayıt oran sınırlaması. Doğrulama basit ama sıkı tutuluyor: geçerli e-posta formatı, parola uzunluğu ve mesaj uzunluğu sınırları. Başarısız olan hiçbir şey saklanmıyor. Honeypot insanlar tarafından görünmeyen ama botlar tarafından doldurulan bir alan; doldurulursa istek sessizce reddediliyor.\n\nSonra IP ve e-posta başına oran limitleri ekleniyor. Pencere, gerçek kullanıcıların bir-iki kez yanlış yazmasına izin veriyor. Önemli olan, insanları kafa karıştıran sert bir blok sayfası yerine normal bir hata mesajı dönmek.\n\nBirkaç gün sonra en kötü botlar adapte oluyor ve vurmayı sürdürüyor. Şimdi üç başarısız denemeden sonra challenge sayfası ekleniyor. Çoğu gerçek kullanıcı bunu hiç görmüyor, botlar görüyor. Kayıt tamamlama oranı istikrarlı kalıyor çünkü ekstra sürtünme hedefe yönelik.\n\nBasit sonuçları izliyorlar: daha az çöp kayıt, düşen hata oranları ve tamamlanan kayıt sayısında düşüş yok. Eğer bir mobil operatör NAT'i oran limitini tetiklerse, hızlıca geri alma ve eşiği yumuşatma ya da daha yumuşak throttling'e geçme adımları atılıyor.\n\n## Kaçınılması gereken yaygın hatalar ve tuzaklar\n\nEn hızlı şekilde dönüşümü düşüren, gerekli olmadan önce sürtünme eklemektir. Her adımda bir CAPTCHA koyarsanız, gerçek insanlar zarar görürken botlar genelde yollarını bulur. Önce sessiz kontrolleri varsayılan yapın, görünür zorlukları yalnızca sinyaller kötü göründüğünde ekleyin.\n\nTarayıcıya güvenmek yaygın bir güvenlik açığıdır. İstemci tarafı kontroller kullanıcı geri bildirimi için iyidir ama kolayca atlanır. Önemli olan her şey (e-posta formatı, gerekli alanlar, uzunluk sınırları, izin verilen karakterler) her seferinde sunucuda zorunlu olmalıdır.\n\nGeniş bloklamalarda dikkatli olun. Tüm ülkeleri veya büyük IP aralıklarını engellemek, küresel satıyorsanız ya da uzak ekipleriniz varsa meşru kullanıcıları kesebilir. Bunu sadece net kanıt ve geri alma planı varken yapın.\n\nOran limitleri çok sıkı olursa ters tepki verebilir. Paylaşılan ağlar her yerde: ofisler, okullar, kafeler, mobil operatörler. Eğer IP'ye göre agresif engellerseniz grupları kilitleyebilirsiniz.\n\nEn çok acı veren tuzaklar:\n\n- her formda challenge eklemek yerine yalnızca yüksek riskli anlarda kullanmak\n- sadece tarayıcı doğrulamasına veya gizli istemci mantığına güvenmek\n- veri olmadan büyük bölgeleri engellemek ve geri alma planı olmamak\n- paylaşılan ağlar için istisna bırakmayan tek beden herkes için uygun oran limitleri kullanmak\n- loglama atlamak, böylece bir ayardan sonra ne değiştiğini göremezsiniz\n\nLoglar gösterişli olmak zorunda değil. Basit sayımlar (saatlik denemeler, en yaygın başarısızlık nedenleri, oran limiti vurma sayıları ve challenge tetiklemeleri) bile neyin işe yaradığını ve neyin gerçek kayıtları zarar verdiğini gösterebilir.\n\n## Hızlı kontrol listesi: tek seferde sağlam koruma yayınlayın\n\nForm başına her kaydın bir sunucu tarafı gerçeği olsun. İstemci tarafı kontroller gerçek kullanıcılar için iyidir, ama botlar bunları atlayabilir.\n\nTemel kontrol listesi:\n\n- her şeyi sunucuda doğrulayın (gerekli alanlar, uzunluk limitleri, izin verilen karakterler) ve beklenmeyen ekstra alanları reddedin\n- ana formlara (kayıt ve iletişim) bir honeypot alanı ekleyin: off-screen gizleyin, tab sırasından çıkarın ve herhangi bir değer güçlü bir spam sinyali sayın\n- sıcak yollar (kayıt, giriş, şifre sıfırlama, yüksek hacimli gönderimler) için IP artı e-posta veya hesap kullanarak oran limitleri uygulayın\n- şüpheli davranış sonrası yalnızca koşullu challenge kullanın, normal kullanıcıları akıcı yolda tutun\n- kararları net loglayın: neden engellendi veya challenge gösterildi, hangi kural tetiklendi ve temel istek fingerprint'leri (gizli verilerden kaçının)\n\nYayınladıktan sonra rutini hafif tutun: haftada bir logları gözden geçirin ve eşikleri ayarlayın. Gerçek kullanıcılar engelleniyorsa, bir kuralı gevşetin ve bunun yerine daha güvenli bir kontrol (daha iyi doğrulama, daha yumuşak throttling) ekleyin; korumayı tamamen kaldırmayın.\n\nSomut örnek: bir kayıt formu 10 dakikada 200 deneme alıyorsa, oran limit uygula ve challenge tetikle. Tek bir kayıt honeypot ile doldurulmuşsa, sessizce reddet ve kaydet.\n\n## Sonraki adımlar: uygulayın, test edin ve güvenle yineleyin\n\nBir cümlede açıklayabileceğiniz bir temel ile başlayın, sonra katmanları birer birer ekleyin. Üç şeyi aynı anda değiştirirseniz hangi değişikliğin spamı azalttığını veya meşru kayıtları etkilediğini anlayamazsınız.\n\nKurallarınızı göndermeden önce yazılı hale getirin. Basit bir not bile "5 dakikada 3 başarısız deneme challenge'ı tetikler" gibi, sonradan rastgele ayarlamaları önler ve destek taleplerini kolaylaştırır.\n\nPratik rollout planı:\n\n- temel katmanı yayınlayın (sunucu doğrulaması, basit loglama ve bir koruma katmanı)\n- net eşikler belirleyin (IP başına, hesap başına, cihaz başına) ve engel ile challenge'ı tetikleyenleri kaydedin\n- öncesi-sonrası kontrolü yapın: spam hacmi, ilk spam'a kadar geçen süre ve kayıt tamamlama oranı\n- ilk ay haftalık yanlış pozitifleri gözden geçirin, sonrasında aylık\n- kötü bir kuralı dakikalar içinde geri alabilecek bir rollback yolu tutun\n\nSonuçları ölçerken ticareti iki tarafını da takip edin. "Daha az spam" tek başına yeterli değildir eğer ücretli kullanıcılar kayıt olmayı bıraktıysa. Hedefiniz: "spam belirgin şekilde düşerken tamamlama oranı sabit kalıyor veya iyileşiyor."\n\nHızlı inşa ediyorsanız, küçük değişiklikleri güvenli yapan araçları seçin. Koder.ai üzerinde (Koder.ai), form akışlarını sohbetle ayarlayabilir, hızla dağıtabilir ve anti-spam kurallarını eşiklerle deneyip rollback ile geri alabilirsiniz.\n\nSüreç sıkıcı olsun: bir kural değiştirin, metrikleri izleyin, not alın, tekrarlayın. Gerçek insanlara görünmez koruma bu şekilde oluşur.Form spam'ı ölçeklendirmek ucuzdur. Saldırganlar gönderimleri otomatikleştirebilir, sayfayı yüklemeden doğrudan endpoint'inize post edebilir veya temel kontrolleri geçecek kadar “gerçek görünen” lead'leri göndermek için düşük maliyetli insan iş gücü kullanabilir.
Genellikle hayır. Amaç, gerçek kullanıcıların akışını bozmadan suistimali yaşanabilir bir düzeye indirmektir. Biraz spamın geçebileceğini kabul edin ve yanlış pozitifleri (gerçek kullanıcıların engellenmesi) neredeyse sıfırda tutmaya odaklanın.
Sessiz katmanlarla başlayın: sıkı sunucu tarafı doğrulama, bir honeypot alanı ve temel oran sınırlamaları. Görünür bir zorlama yalnızca davranış şüpheli göründüğünde eklensin, böylece çoğu gerçek kullanıcı ekstra adım görmez.
Çünkü herkes için sürtünme ekler; en iyi kullanıcılarınız da etkilenecektir. Mobilde, erişilebilirlik araçlarında veya otomatik doldurmada sorunlar yaşanabilir. Daha iyi bir yaklaşım normal yolu akıcı tutmak ve yalnızca şüpheli trafiğe yükseltme uygulamaktır.
Her istekte sunucuda doğrulayın: gerekli alanlar, uzunluk, izin verilen karakterler ve temel formatlar. Ayrıca girdileri normalize edin (boşlukları kırpma, e-postaları küçültme) ki saldırganlar küçük varyasyonlarla atlatamasın ve veritabanınız temiz kalsın.
DOM'da kalan ama insanlar tarafından görülmeyen bir off-screen alan kullanın; klavye ile erişilemez, ekran okuyuculara duyurulmaz ve otomatik doldurmayı çekmesin. Doldurulursa güçlü bir spam sinyali olarak değerlendirin, ancak nadir gerçek otomatik doldurma hatalarını cezalandırmamak için eşiği sert blok yerine doğrulama gibi bir yükseltme yapın.
IP tek başına yeterli değildir; paylaşılan ağlar yaygındır. Mümkünse IP dışında cihaz (cookie veya localStorage ID) ve hesap sinyalleri ekleyin. Sert bloklar yerine kısa soğuma süreleri ve gecikmeler tercih edin, böylece gerçek kullanıcılar hızlıca toparlanır.
Bir ikinci adım olarak yalnızca açık sinyaller görüldüğünde gösterin: kısa zamanda çok sayıda deneme, imkânsız yazma hızı, tekrar eden hatalar veya şüpheli user agent'lar. Mesaj sakin ve yönlendirici olsun: e-postanızı kontrol edin gibi açık bir adım gösterin.
Zaman, form adı, karar (izin verildi, yumuşak blok, sert blok) ve hangi sinyallerin tetiklendiği gibi küçük ve tutarlı bir set kaydedin. Dönüşüm ve hata oranını izleyin ki yeni kuralın spamı azaltıp azaltmadığını ve meşru kayıtları etkileyip etkilemediğini görün.
Koruma akışın bir parçası olsun ve tek seferlik bir yamadan öteye gidin. Koder.ai üzerinde form adımlarını sohbetle ayarlayabilir, değişiklikleri hızlıca dağıtabilir ve yanlış pozitifler artarsa snapshot ve rollback ile hızlıca geri alabilirsiniz.