Zur Diskussion: Spam via .htaccess stoppen?
Ein Beitrag von Franz Too hat mich heute vormittag auf eine Idee zur kollaborativen Spam-Filterung gebracht. Franz hat in den letzten Tagen massenhaften Spam von immer denselben ukrainischen IPs bekommen – also trug er die betreffenden IPs in die .htaccess-Datei mit einer Deny-Regel ein. Somit wird der betreffende Spam solange gesperrt, bis die Spammer die IP-Adressen wechseln. Die Datei steht zum Download bereit.
Technischer Hintergrund: mit der .htaccess Datei werden die Zugriffe auf verschiedene Bereiche des Webservers konfiguriert – hier legt man den Passwortschutz für Verzeichnisse fest und in diese Datei schreibt WordPress auch die Re-Writing Regeln für die Titel-URLs der einzelnen Beiträge. Diese .htaccess Datei kann aber noch eine Menge mehr: via expliziter deny- oder acess-Regeln lässt sich der Zugriff nur für bestimmte IP-Adressen freigeben oder auch gezielt sperren. Eine Beschreibung der entsprechenden Syntax gibt’s hier.
Franz hat die gesammelten IPs für die Verwendung in der eigenen .htaccess-Datei zum Download bereitgestellt und schreibt dazu:
Ich weiss, dass es wahrscheinlich nur eine vorübergehehende Erleichterung sein wird und dass der Versuch wahrscheinlich lächerlich ist. Wer aber will, kann sich die Adressen hier runterladen (falls er keine Angst hat, die ukrainischen Leser beim gleichen Provider auszusperren).
„Lächerlich“ wohl deshalb, weil die Spammer recht häufig ihre IPs wechseln – was aber, wenn man nun ein zentrales Repository programmieren würde, in das „verdächtige“ IP-Adressen eingegeben werden? Die Software müsste täglich oder wöchentlich den entsprechenden .htaccess-Code erstellen, den dann jeder Teilnehmer einbauen kann.
Um Manipulationen zu verhindern, könnte man eine IP nicht nach dem ersten Submitten in die Negativ-Liste aufnehmen, sondern zB erst, wenn mindestens x Teilnehmer dieselbe Adresse eingeben. Weiter gedacht müsste sogar eine Anbindung an Systeme wie Akismet möglich sein mit automatischer Übernahme der häufigsten Spam-IPs.
Folgende Punkte fallen mir auf die Schnell dazu ein:
Vorteile:
+ systemunabhängig: funktioniert mit jedem Apache-Server unabhängig von der verwendeten Hosting-Software
+ gutes Mittel gegen große Spam-Floods
Nachteile:
– bei false positives wird Blog-Zugriff komplett geblockt
– .htaccess muss regelmäßig händisch upgedatet werden (ließe sich aber durch ein cronjob-gesteuertes Plug-In umgehen)
– keine Komplettlösung, sondern nur Teil der Anti-Spam Strategie
Die gängigen Methoden zur Bekämpfung von Spam mit WordPress haben alle ihre Vor- und Nachteile. Als Ergänzung könnte der beschriebene Service aber durchaus Sinn machen – auf Meinungen dazu bin ich gespannt.
![Wordpress-Tutorial: Rechnen mit Spam [update]](https://datenschmutz.net/wp-content/uploads/2013/04/standard-thumb104-180x180.jpg "Wordpress-Tutorial: Rechnen mit Spam [update]")
Diese Liste wär sicher mal ein guter Tipp:
http://www.internetrecht-rostock.de/abmahnung-checkliste.htm
In die Richtung geht aStatSpam: http://www.thetopsites.net/referer_spam/
Habs länger nicht verwendet geht aber glaub ich ganz gut.
Ja, die Idee geht in die gleiche Richtung. Aber viele Seiten haben gar keine öffentlichen Stats, was Referrer-Spam dann von vornherein unattraktiv macht.
So ein zentrales Repository wäre eine wirklich feine Sache. Gibt es nicht schon ähnliche Projekte, die sich mit fetten IP-Blacklists beschäftigen?
Ja, es gibt schon einige Blacklists, aber nix mit direkter WP-Integration. Wobei Spammer teilweise dynamische IP-Adressen verwenden – mir ist übrigens aufgefallen, dass ich der letzten Woche bei gleicher Konfiguration wie immer wesentlich weniger Spam bekommen hab; das ganze scheint recht stark in Wellen zu passieren.