Bedienung für Shop-Betreiber

Diese Anleitung richtet sich an Shop-Betreiber und OXID-Admin-Benutzer ohne Server- oder Programmierzugriff. Installation und technische Updates sind unter Installation für Agenturen beschrieben.

Wo sich das Modul befindet

MatheCaptcha wirkt im Shop-Frontend: Die geschützten Formulare erhalten ein zusätzliches Eingabefeld mit einer Rechenaufgabe. Einen eigenen Menüpunkt im Admin gibt es nicht; alle Optionen stehen in den Moduleinstellungen.

Die Moduleinstellungen erreichen Sie unter Erweiterungen ‣ Module über den Eintrag „eComStyle.de: MatheCaptcha“ im Tab Einstell. in der Gruppe „Grundeinstellungen“.

Welche Formulare geschützt sind

In der Voreinstellung schützt das Modul diese Bereiche des Shops:

  • Kontaktformular (contact)

  • Newsletter-An- und -Abmeldung (newsletter)

  • Artikeldetailseite / Preisalarm (details)

  • Passwort vergessen (forgotpwd)

  • Registrierung und Kontoeröffnung (register, user)

  • Private-Sales-Einladung (invite)

Der Besucher sieht im Formular eine Gleichung mit einer Unbekannten, etwa „7 + x = 12“, und trägt den fehlenden Wert ein. Der Shop prüft die Eingabe ausschließlich serverseitig. Bei einer falschen oder fehlenden Antwort wird das Formular nicht angenommen; der Kunde erhält den Hinweis, die Gleichung sei nicht korrekt gelöst worden.

Moduleinstellungen

Einstellung

Wirkung

Alle Formulare sperren (Notfall-Schalter)

Sperrt sämtliche geschützten Formulare komplett, etwa bei einer akuten Spamflut. Formulare nehmen dann auch mit richtiger Antwort nichts mehr an – auch keine Neuregistrierung. Besucher erhalten den Hinweis, das Absenden sei derzeit nicht möglich. Standard: deaktiviert.

Captcha deaktivieren bei eingeloggten Kunden

Angemeldete Benutzer lösen keine Aufgabe mehr; nur Gäste und Bots erhalten die Abfrage. Standard: aktiv.

CSS für Mathe Captcha einfügen

Bindet das mitgelieferte Stylesheet für das Captcha-Feld ein. Deaktivieren, wenn Ihr Theme das Feld selbst formatiert. Standard: aktiv.

Falscheingaben in Logdatei schreiben

Protokolliert jede abgelehnte Eingabe mit Zeitstempel und betroffenem Formular in source/log/eascap.log. Standard: deaktiviert.

Erfolgreiche Eingaben in Logdatei schreiben

Protokolliert zusätzlich jede richtig gelöste Aufgabe in dieselbe Datei. Standard: deaktiviert.

Zweistellige Rechenergebnisse verwenden

Statt einstelliger Aufgaben (Zahlen 1–9, Plus oder Minus) werden Additionsaufgaben mit zweistelligen Ergebnissen gestellt. Erhöht die Hürde für Bots, aber auch für Kunden. Standard: deaktiviert.

In diesen Shopclassen das Captcha einfügen

Liste der geschützten Shop-Klassennamen, einer je Zeile. Vorgabe: contact, newsletter, details, forgotpwd, register, user, invite.

IP-Rate-Limitierung aktivieren

Sperrt Absender nach wiederholten Fehleingaben für einen einstellbaren Zeitraum vorübergehend. Wirkt nur zusammen mit dem Fehleingaben-Protokoll. Standard: deaktiviert.

Maximale Versuche pro IP

Anzahl der Fehleingaben, ab der die Sperre greift, Vorgabe 5.

Zeitraum für Rate-Limit (Sekunden)

Zeitfenster, in dem die Versuche gezählt werden, Vorgabe 300 (fünf Minuten).

Warnung

Der Notfall-Schalter „Alle Formulare sperren“ deaktiviert auch die Registrierung und den Kontakt für echte Kunden. Setzen Sie ihn nur kurzzeitig bei akutem Spam-Befall und nehmen Sie ihn danach wieder zurück.

Das Rate-Limit verstehen

Das Rate-Limit arbeitet auf Basis des Protokolls und greift daher nur, wenn zusätzlich „Falscheingaben in Logdatei schreiben“ aktiviert ist. Ist beides eingeschaltet, zählt das Modul bei jeder Formularprüfung die Fehlversuche des Absenders innerhalb des eingestellten Zeitfensters. Ab der eingestellten Höchstzahl wird der Absender mit einer entsprechenden Meldung vorübergehend blockiert, bis die Versuche aus dem Zeitfenster herausfallen.

Tipp

Empfohlene Grundeinstellung: Fehleingaben-Protokoll und IP-Rate-Limit aktivieren, Erfolgs-Protokoll aus lassen. So erkennen Sie Spam-Wellen im Log und bremsen Angreifer, ohne den Shop mit Logdaten legitimer Kunden zu füllen.

Ablauf aus Kundensicht

  1. Der Kunde öffnet ein geschütztes Formular und sieht die Rechenaufgabe samt Eingabefeld.

  2. Er löst die Gleichung und sendet das Formular ab.

  3. Bei richtiger Antwort läuft das Formular normal weiter (E-Mail, Registrierung, Passwort-Mail).

  4. Bei falscher oder fehlender Antwort erscheint die Fehlermeldung, die Eingaben im Formular bleiben erhalten, und er kann es erneut versuchen.

  5. Eingeloggte Kunden sehen – bei aktivierter Ausnahme – gar keine Aufgabe.

Empfohlene Arbeitsweise

  • Lassen Sie „Captcha deaktivieren bei eingeloggten Kunden“ aktiv: Stammkunden werden nicht belästigt, Bots kommen ohnehin ohne Konto.

  • Erhöhen Sie bei anhaltendem Bot-Druck zuerst auf zweistellige Ergebnisse und aktivieren Sie das Rate-Limit, bevor Sie den Notfall-Schalter ziehen.

  • Prüfen Sie nach Änderungen jedes geschützte Formular einmal als Gast mit falscher und richtiger Antwort.

  • Werten Sie eascap.log bei Spam-Verdacht aus: Sie sehen, welche Formulare zu welchen Zeiten angegriffen werden.

Grenzen und Hinweise

  • Das Captcha ist eine Hürde gegen einfache Bots, kein vollständiger Spam-Schutz: Gezielte Angriffe, manuell ausgefüllte Formulare oder Captcha-Lösedienste kommen daran vorbei.

  • Es ersetzt keine weiteren Maßnahmen wie serverseitige Rate-Limits, Double-Opt-in beim Newsletter, Moderation oder eine WAF.

  • Rechenaufgaben sind für manche Besucher eine echte Barriere – etwa für Menschen mit eingeschränkter Rechenfähigkeit oder bei schwer lesbarer Darstellung. Beobachten Sie Abbruchraten und bieten Sie alternative Kontaktwege an.

  • Das Captcha setzt funktionierende Browser-Sitzungen voraus; Besucher, die Cookies und Sitzungen vollständig blockieren, können geschützte Formulare nicht absenden.

  • Das Modul schützt nur die Formulare, deren Klassennamen eingetragen sind; andere selbst gebaute Formulare oder Module fangen Spam eigenständig ab oder bleiben ungeschützt.

Häufige Anwenderfragen

Ein Formular zeigt keine Rechenaufgabe

Der zugehörige Klassenname fehlt in der Liste „In diesen Shopclassen das Captcha einfügen“ oder das Formular gehört zu einem eigenen Modul. Prüfen Sie die Liste und wenden Sie sich bei eigenen Formularen an Ihre Agentur.

Kunden melden „Absenden derzeit nicht möglich“

Der Notfall-Schalter „Alle Formulare sperren“ ist aktiv. Nehmen Sie ihn zurück, sobald die Spamflut nachlässt.

„Zu viele Versuche von Ihrer IP“ bei echten Kunden

Das Rate-Limit ist zu eng gesetzt oder mehrere Kunden teilen eine IP-Adresse (Firmennetz, Mobilfunk). Erhöhen Sie die maximale Versuchszahl oder das Zeitfenster herabsetzen.

Das Protokoll bleibt leer

Beide Log-Schalter sind deaktiviert, oder das Schreibrecht auf source/log/ fehlt. Aktivieren Sie zumindest das Fehleingaben-Protokoll; bei fehlenden Schreibrechten hilft Ihre Agentur.