Wat doet Laposta tegen nep-aanmeldingen?
Openbare aanmeldformulieren zijn een geliefd doelwit van bots. Die vullen automatisch e-mailadressen in, vaak nep of gestolen. Zonder filter belanden die adressen in je lijst en vervuilen ze je relatiebestand. Verstuur je daarna een nieuwsbrief naar adressen die niet bestaan, dan schaadt dat je afzenderreputatie en die van Laposta.
Daarom filtert Laposta zulke aanmeldingen zo goed mogelijk uit. Een bot merkt daar niets van: hij ziet gewoon de bedankpagina of een succesmelding, maar het adres komt niet in je lijst.
Beveiliging per soort formulier
De beveiliging werkt meestal automatisch, zolang het bijbehorende script in het formulier staat.
Voor de kale HTML op je eigen website is het script validate.js belangrijk. Dat haalt een eenmalig token op, lost een rekenpuzzel op en verzamelt gedragssignalen. Zonder dat script is je formulier maar beperkt beveiligd.
Laposta gebruikt bewust geen captcha van derden, zoals reCAPTCHA. Die vraagt vaak toestemming onder de AVG en stuurt gegevens van je bezoekers naar een andere partij. Je hoeft er zelf dus ook geen toe te voegen.
Hoe herkent Laposta bots?
Een bot is vaak een script dat formulieren zoekt en invult, maar steeds vaker ook een gewone browser die door een programma wordt bediend. Daarom combineert Laposta een reeks controles. Eén controle is niet altijd genoeg, maar samen houden ze de meeste bots tegen.
- Snelheidslimiet: vanaf één IP-adres of op één formulier kan maar een beperkt aantal aanmeldingen per minuut en per uur binnenkomen. Bij een plotselinge stortvloed worden de extra pogingen genegeerd.
- Eenmalig token: bij het verzenden vraagt het formulier een unieke, kort geldige code op. Die is gebonden aan je account, je lijst en waar mogelijk het netwerk van de bezoeker. Een eenvoudige bot vraagt die code niet op of gebruikt hem opnieuw.
- Rekenpuzzel: samen met het token krijgt de browser een kleine puzzel die in een fractie van een seconde is opgelost. De bezoeker merkt er niets van, maar een bot moet hem voor elke aanmelding opnieuw oplossen. Dat maakt massaal invullen duur.
- Gedrag in de browser: het systeem kijkt of er echte interactie was, zoals aangeraakte velden, muis- of aanraakbewegingen en de snelheid van verzenden. Ook signalen van een geautomatiseerde browser tellen mee.
- Verborgen veld: in het formulier zit een veld dat een mens niet ziet en dus niet invult. Vult een bot het wel in, dan telt de aanmelding niet.
- Te snel verzonden: een aanmelding die onmenselijk snel na het laden binnenkomt, is vrijwel altijd geautomatiseerd.
- Blokkeerlijsten: Laposta houdt lijsten bij van misbruikte IP-adressen, netwerken en e-maildomeinen, waaronder bekende Tor-uitgangen en wegwerpadressen. De helpdesk kan daar adressen of domeinen aan toevoegen.
- Controle op het e-mailadres: naast de gewone controle op geldigheid let het filter op patronen die vaak bij spam horen, zoals willekeurig ogende adressen.
- Landenregel, op verzoek: heeft een lijst veel last van spam, dan kan de helpdesk een land blokkeren of juist alleen aanmeldingen uit bepaalde landen toelaten.
Heb je nog steeds last van nep-aanmeldingen?
Komen er toch nog vreemde adressen binnen, mail dan naar helpdesk@laposta.nl. Vermeld om welke lijst het gaat en welk formulier je gebruikt: kale HTML, ingebed, zelfstandig, een plugin of de API. Dan kijkt de helpdesk met je mee.