Warum ich das CAPTCHA von meinem eigenen Kontaktformular entfernt habe

Eine Zeit lang zwang mein Kontaktformular jeden Besucher, ein „Beweise, dass du ein Mensch bist"-Kästchen anzuklicken, bevor er mich erreichen konnte. Der Spam kam trotzdem. Nicht mehr so viel, aber genug, dass ich morgens denselben Kauderwelsch im Posteingang fand, jetzt mit einem kleinen Abzeichen, dass ein Roboter ihn als Nicht-Roboter zertifiziert hatte. Eines Morgens, beim Löschen der nächsten Nachricht, fiel mir die Absurdität auf: Ich verlangte einen Wegzoll von genau den Menschen, von denen ich am liebsten hören wollte, und störte die, für die der Zoll gedacht war, kaum.

Also nahm ich das Kästchen weg. Der Spam ging zurück, nicht hoch. Und die Menschen, die ich wirklich erreichen wollte, mussten sich das Recht, mir zu schreiben, nicht mehr verdienen. Das klingt verkehrt herum, deshalb will ich die Entscheidung genau beschreiben, denn die Mechanik zählt weniger als die Abwägung dahinter.

Das Wichtigste in Kürze

• Ein Rätsel, das jeden echten Besucher besteuert, um ein paar Bots zu fangen, ist ein schlechter Tausch, und eine „Stell mich ein"-Seite kann es sich nicht leisten, die echten Nachrichten zu verlieren.
• Ich habe die Hürde entfernt, statt eine weitere hinzuzufügen, und der Spam ging trotzdem zurück: Die leise Verteidigung, die sie ersetzt hat, ist für echte Menschen unsichtbar.
• Ich habe mich außerdem geweigert, das Formular einem Drittanbieter-Widget zu überlassen: Die Haustür ist zu wichtig, um sie zu mieten.

Was mich das Häkchen tatsächlich kostete

Diese „Beweise, dass du ein Mensch bist"-Prüfungen sind nie umsonst. Manche Besucher geben unterwegs auf. Manche können sie gar nicht lösen, eine echte Barriere für jeden mit einer Seh- oder Motorikeinschränkung. Und sie werden immer schwerer, je schlauer die Bots werden.

Für eine persönliche Website, die existiert, um Gespräche anzustoßen, ist das der schlechteste Ort, Menschen zu verlieren. Das Kontaktformular ist der eine Moment, in dem ein Fremder entscheidet, dass ich die Mühe des Schreibens wert bin. Ich verschlechterte das Erlebnis für die Besucher, die ich wollte, um die, die ich nicht wollte, milde zu ärgern.

Der leisere Weg

Sobald ich es so formuliert hatte, war die Antwort offensichtlich. Hör auf, den Menschen irgendetwas beweisen zu lassen. Lass stattdessen den Bot sich selbst verraten.

Der sauberere Ansatz dreht um, wer die Last trägt. Ein echter Mensch mit einem normalen Browser segelt geradewegs hindurch und merkt nie, dass eine Verteidigung da war. Ein Bot verhält sich wie ein Bot, und genau das verrät ihn. Das genaue Rezept lasse ich weg: Eine veröffentlichte Schritt-für-Schritt-Anleitung lehrt die Spammer nur, was sie umgehen müssen, und um das Rezept ging es ohnehin nie. Es ging um die Abwägung: Ein Rätsel zwingt alle zu beweisen, dass sie keine Roboter sind; der leisere Ansatz lässt nur die Roboter sich selbst entlarven.

Perfekt ist das nicht; die cleversten Bots können lernen, einen bekannten Trick zu umgehen. Aber es stoppt die überwältigende Masse an automatischem Müll, ohne meine echten Besucher einen Cent zu kosten, ein weit besserer Deal, als alle für immer Rätsel lösen zu lassen.

Der Teil, über den ich mehr nachdenke: Miete nicht deine eigene Haustür

Es gab eine zweite Entscheidung, und die würde ich in einem Meeting tatsächlich verteidigen.

Der einfache Weg wäre gewesen, ein beliebtes Drittanbieter-Verifikations-Widget einzubauen und weiterzumachen. Kostenlos, ein paar Minuten Arbeit, alle benutzen es. Aber ein Kontaktformular ist der Ort, durch den die Nachrichten meiner Besucher und ein Teil ihrer Daten auf dem Weg zu mir laufen. Das einem externen Dienst zu überlassen heißt, dass jetzt ein Fremder zwischen mir und den Menschen sitzt, die mich erreichen wollen. Geht ihr Widget kaputt, geht mein Formular kaputt. Ändern sie ihre Bedingungen, ändert sich meine Haustür mit. Und ich würde stillschweigend Besucherdaten an einen Dritten füttern, dem meine Besucher nie zugestimmt haben.

Also behielt ich es in meinen eigenen Händen. Nicht weil Selberbauen clever ist, sondern weil manche Berührungspunkte zu wichtig sind, um sie auszulagern. Die Regel, die ich jedem mitgeben würde, der eine Website oder ein Produkt betreibt: Miete die Dinge, bei denen es egal ist, wenn sie wackeln, und besitze die wenigen, die dich ernsthaft treffen würden, wenn ein Anbieter den Teppich wegzieht.

Was das heißt, wenn du eine Website oder ein Produkt betreibst

Schau dir an, wo du ehrliche Kunden zwingst, sich zu beweisen. Wenn dein Kontaktformular, deine Registrierung oder dein Checkout auf Verifikationsrätsel setzt, verlierst du wahrscheinlich echte Menschen an Reibung, die du einfach entfernen könntest. Die bessere erste Frage ist, ob du eine Hürde wegnehmen und die schlechten Akteure trotzdem an dem erkennen kannst, was sie anders machen.

Der Reflex bei Spam, wie bei den meisten Problemen, ist, alle mehr tun zu lassen. Der bessere Zug war, meine echten Besucher weniger tun zu lassen und die Tür, an die sie klopfen, in meinen eigenen Händen zu behalten. Also schau auf deine eigenen Formulare und Abhängigkeiten: Wo verlangst du von deinen besten Kunden einen Wegzoll, um hereingelassen zu werden, und welche deiner kritischen Haustüren hast du stillschweigend jemand anderem überlassen?