Spam-Schutz & Bot-Abwehr

propform-Formulare sind öffentlich zugänglich — und damit potenziell ein Ziel für Spam-Bots, die wahllos Formulare ausfüllen, um Werbung zu hinterlassen oder die Datenbank zu fluten. Hier ist, was propform automatisch tut, und was du selbst noch ergänzen kannst.


Honeypot-Schutz (automatisch aktiv)

Jedes propform-Formular enthält ein unsichtbares Feld, das echte Menschen nicht sehen und damit auch nicht ausfüllen — Bots aber sehr wohl, weil sie alles ausfüllen, was sie finden.

Was passiert: Wenn das Honeypot-Feld bei einer Absendung ausgefüllt ist, wird der Vorgang abgebrochen, die IP-Adresse wird in unserer Spam-Statistik geloggt, und die Daten landen nicht in onOffice.

Du musst nichts konfigurieren — der Schutz ist standardmäßig in jedem Formular aktiv.


CSRF-Token & Signatur

Jedes Formular bekommt beim Aufruf einen verschlüsselten CSRF-Token mitgegeben. Beim Absenden wird geprüft, ob der Token gültig ist — Bots, die das Formular nicht regulär aufrufen, scheitern hier.

Zusätzlich wird die Formular-Signatur und der Zeitstempel geprüft, um Replay-Angriffe und manipulierte Submits zu blockieren.


Ablaufdatum für Formulare

Wenn du ein Formular nur für einen bestimmten Zeitraum öffnen willst (z.B. eine Bewerbung oder ein zeitlich begrenztes Angebot), kannst du in den Formulareinstellungen ein Ablaufdatum anfordern. Nach Ablauf zeigt propform eine entsprechende Hinweisseite, das Formular ist nicht mehr absendbar.


E-Mail-Reputation der Absender-Domain

Wenn dein Formular Bestätigungsmails verschickt, ist der Spam-Score deiner Absender-Domain entscheidend. Mails, die direkt aus generischen Domains gehen, landen häufiger in Spam-Ordnern oder werden von E-Mail-Anbietern automatisch entfernt (siehe Cluster „Link wird bei E-Mailanbietern gelöscht").

Empfehlung: Wenn du häufig Probleme mit Mail-Zustellung hast oder ein professionelleres Branding möchtest, richte eine eigene externe Domain für deine Formulare ein. Mehr dazu auf Anfrage unter hello@propform.io.


Was du als Formular-Betreiber zusätzlich tun kannst

  • Pflichtfelder sinnvoll setzen — Bots füllen oft nur Standardfelder aus, lassen Spezialfelder leer
  • Validierungen auf Felder packen (z.B. Telefonnummer-Format, Mindestlänge)
  • Bedingungs-Felder verwenden — z.B. ein Folgefeld, das nur erscheint, wenn ein bestimmtes Vorfeld bestimmten Wert hat. Bots haben Schwierigkeiten mit JavaScript-gesteuerter Logik
  • Bei vielen Spam-Einsendungen trotz Honeypot: Schreib uns kurz, wir können IP-Bereiche serverseitig blockieren

Wo sehe ich, ob mein Formular Spam-Bots abfängt?

In der Statistik deines Formulars im propform-Account siehst du sowohl reguläre Einsendungen als auch abgefangene Spam-Versuche. Wenn die Spam-Zahl auffällig hoch ist, schreib uns gerne — wir schauen drüber.