Bot-geschützte Formulare ohne Drittanbieter-Tracking

Kontaktformulare gehören zu den einfachsten Angriffspunkten für Spam-Bots auf kleinen Websites. Die übliche Antwort ist oft ein externer Challenge-Dienst. Das bringt aber Tracking, Consent-Fragen, visuelle Reibung und eine zusätzliche Abhängigkeit mit sich.

Nibbly geht jetzt einen leiseren Weg: öffentliche Kontaktformulare werden durch mehrere leichte serverseitige Schutzschichten abgesichert, die zur Flat-File-Architektur passen.

Was neu ist

• Lazy-geladenes Formular-HTML — die initiale Seite enthält nur einen Platzhalter. Das eigentliche Formular wird erst nach einer kurzen Verzögerung geladen, sodass einfache Scraping-Bots kein fertiges Formular in der ersten Antwort finden.
• Einmal-Token — jedes gerenderte Formular erhält ein frisches servergeneriertes Token. Tokens werden in einer flachen JSON-Datei gespeichert, laufen automatisch ab und werden nach der Prüfung verbraucht.
• Mindestzeit vor dem Absenden — Einsendungen, die unmittelbar nach der Token-Erstellung eintreffen, werden abgelehnt.
• Honeypot-Feld — Bots, die unsichtbare Felder ausfüllen, werden erkannt, ohne echte Besucher zu stören.
• Rate-Limiting — wiederholte Versuche werden über gehashte Client-Schlüssel gedrosselt, ohne rohe IP-Adressen speichern zu müssen.
• Einfache Inhaltsprüfung — offensichtlicher Link-Spam wird abgefangen, bevor er im Nachrichtenbereich landet.

Keine Datenbank, kein Captcha-Konto

Die Umsetzung bleibt bewusst klein. Laufzeitdaten liegen in content/form-tokens.json und content/form-rate-limit.json; beide Dateien gelten als generiert. Es braucht keine Datenbanktabelle, keinen JavaScript-Challenge-Anbieter und keine externe Datenschutzabhängigkeit.

Entwicklerfreundlich per Standard

Für eigene Formulare stellt Nibbly wiederverwendbare Helfer wie nibblyFormProtectionFields() und nibblyLazyFormPlaceholder() bereit. Menschen, die Templates von Hand schreiben, und LLMs, die Nibbly-Seiten generieren, können damit dasselbe einfache Muster nutzen, statt Anti-Spam-Logik für jedes Formular neu zu bauen.

Die eingebauten Kontaktformulare verwenden den neuen Schutz bereits automatisch.