CAPTCHAs in Magento 1.7

Mit Version 1.7 nimmt sich Magento ein Problem zur Brust, das viele Website-Betreiber nur zu gut kennen: das Spamming über Webseiten-Formulare. Mit dem nächsten Release des Onlineshops können für verschiedene Formulare des Admin-Backends und des Webshop-Frontends CAPTCHAs aktiviert werden.

Für den Fall, dass jemand mit dem Begriff nichts anfangen kann: CAPTCHA steht für „Completely Automated Public Turing test to tell Computers and Humans Apart“. In 99 Prozent der Fälle sind das verschnörkelte Buchstaben, die man auf Websites eintippen muss.

Admin-Backend

Wer die CAPTCHA-Funktion für das Magento-Backend aktivieren möchte, klickt sich zum Menüpunkt System > Configuration > Advanced > Admin > CAPTCHA durch. Nachdem die Option „Enable CAPTCHA in Admin“ auf „Yes“ gestellt wurde, kommen neue Einstellungsmöglichkeiten zum Vorschein (siehe Screenshot):

Gehen wir die Punkte durch:

• Font
  Die Schriftart, die für die Erzeugung der CAPTCHAs verwendet wird. Aktuell ist nur LinLibertine verfügbar.
• Forms
  Hier wird festgelegt, welche Formulare mit CAPTCHAs versehen werden. Von den Backend-Formularen stehen das Login-Formular und das Passwort-Vergessen-Formular zur Auswahl. Zweiteres ist standardmäßig aktiviert. Wird „Admin Login“ ausgewählt, wird man nach dem Speichern ausgeloggt und muss das CAPTCHA eingebn.
• Displaying Mode
  Eine sehr sinnvolle Funktion: soll das Captcha immer oder erst nach x fehlgeschlagenen Versuchen angezeigt werden? Wer sich für „After number of attempts to login“ entscheidet, kann die Anzahl im darauf folgenden Feld „Number of Unsuccessful Attempts to Login“ einstellen.
• CAPTCHA Timeout (minutes)
  Für wie viele Minuten ist das CAPTCHA gültig?
• Number of Symbols
  Bestimmt, wie viele Buchstaben angezeigt werden. Es kann auch ein von-bis-Wert angegeben werden (z.B. 6 bis 8 Zeichen).
• Symbols Used in CAPTCHA
  Hier wird definiert, welche Zeichen im CAPTCHA vorkommen dürfen. Dieses Feature ist sehr sinnvoll, schließlich besteht bei einigen Zeichen (1 vs. I, 0 vs. O) je nach Schriftart akute Verwechslungsgefahr.
  Erlaubt sind nur alphanumerische Zeichen (A-Z, a-z, 0-9). Sonderzeichen (!, ?, …) sind nicht gestattet.
• Case Sensitive
  Soll die Groß-/Kleinschreibung beachtet werden?

So sieht die CAPTCHA-Abfrage beim Login-Formular aus:

Kunden-Frontend

CAPTCHAs können nicht nur im Backend, sondern auch im Webshop-Frontend eingesetzt werden. Dazu ruft man den Menüpunkt System > Configuration > Customers > Customer Configuration > CAPTCHA auf.

Die weiteren Einstellungen werden wie oben nach Zustimmung zur Frage „Enable CAPTCHA on Frontend“ freigeschalten. Hier gleicht alles bis auf die Formularauswahl der Backend-Konfiguration:

Im Webshop können 5 Formulare mittels CAPTCHA geschützt werden:

• Registrierung
• Login
• Passwort-Vergessen-Funktion
• Bestellen als Gast (Checkout)
• Registrierung während des Bestellvorgangs

Hier sehen wir als Beispiel das Registrierungsformular:

Fazit

Für die Nutzung dieses Features gibt es einige Pro- und Kontra-Argumente. Schön ist meiner Meinung nach, dass eine getrennte Konfiguration möglich ist und somit für den Administrationsbereich und den Kundenbereich unterschiedliche Sicherheitsstufen festlegbar sind. Zudem ist das Modul recht gut konfigurierbar. Wer mit groben Spam-Problemen zu kämpfen hat, könnte hier Verbesserungen feststellen.

Auf der anderen Seite muss man sich fragen, ob man dann am richtigen Hebel ansetzt. Tendenziell sollte man für möglichst geringe Eintrittshürden im Webshop sorgen. Da ist es oft besser, man riskiert Spam-Mails und setzt lieber einen guten Spam-Filter ein. Wie immer hängt es hier vom Einsatzzweck ab: werden die Formulardaten z.B. automatisiert in Datenbanktabellen geschrieben oder an anderen Stellen verarbeitet, wo ein Spam-Filtering nicht möglich ist, dann ist ein CAPTCHA vielleicht schon wieder gerechtfertigt.

Was auf jeden Fall noch fehlt ist die Option, das CAPTCHA auf der Kontaktseite und z.B. beim Rezensionen-Formular einzubinden. Gerade die eigenen sich nämlich auch für Spam.