E-Mail Adresse verschleiern

[Oliver]

Hallo,

kennt jemand eine sichere Methode E-Mail Adressen zu verschleiern?
Unter [Link:http://www.willmaster.com/possibilities/demo/aelgwase.html] habe ich zwar etwas gefunden, aber ich könnte mir vorstellen, dass man das leicht knacken kann oder?
Die Adresse sähe dann so aus:
mailto:test@test.de

Gruß

[mati]

Hallo,

Hi,

Die Adresse sähe dann so aus:
mailto:test@test.de

also so:  mailto:[e-mail]

Gruß

gruß
mati

[Oliver]

Ja, richtig. Aber sie steht halt anders im Quelltext.

[Gunnar Bittersmann]

@@Oliver:

Ja, richtig. Aber sie steht halt anders im Quelltext.

Na und? Was macht ein SGML-/XML-Parser? Er wandelt numerische Zeichenreferenzen in die entsprechenden Zeichen um; für ihn ist es völlig egal, ob im Quelltext 'm' oder 'm' steht, er kann beides gleich gut lesen.

Diese Art der „Verschleierung“ bringt also rein gar nichts – jedenfalls gegenüber Maschinen; bestenfalls gegenüber Quelltext lesenden Menschen, und auch das nur kurzzeitig.

Live long and prosper,
Gunnar

[Længlich]

Merhaba!

Na und? Was macht ein SGML-/XML-Parser? Er wandelt numerische Zeichenreferenzen in die entsprechenden Zeichen um; für ihn ist es völlig egal, ob im Quelltext 'm' oder 'm' steht, er kann beides gleich gut lesen.

Die Frage ist, ob Spambots überhaupt SGML-/XML-Parser sind bzw. haben. Für einen ganz einfachen Bot würde es schon genügen, mit einem regulären Ausdruck nach dem typischen Format von eMail-Adressen zu suchen. Derart kümmerliche Bots könnte man schon mit der genannten Methode aussperren, sofern diese nicht vor ihrer Suche die Zeichenreferenzen auflösen (was ich an Stelle der Spammer auf jeden Fall implementieren würde).

Diese Art der „Verschleierung“ bringt also rein gar nichts – jedenfalls gegenüber Maschinen; bestenfalls gegenüber Quelltext lesenden Menschen, und auch das nur kurzzeitig.

Wegen obiger Überlegung denke ich, sie bringt nicht nichts, sondern sehr wenig. Es gibt aber auf jeden Fall bessere Methoden: Auf meiner Kontaktseite wird die eMail-Adresse erst sichtbar, wenn der Benutzer ein Formular abschickt, das nur aus einem einzigen Submit-Button besteht. Da es derzeit keine Bots zu geben scheint, die sowohl Formulare ausfüllen als auch eMail-Adressen einsammeln, klappt das wunderbar.

Klar ist: Keine der möglichen Methoden ist absolut zukunftssicher. Je verbreiteter eine davon ist, desto mehr lohnt es sich für die Spammer, ihre Bots entsprechend nachzurüsten. Man kann also immer nur die schlechteren Bots aufhalten und wird die Methode auch immer mal wieder überarbeiten müssen.

Viele Grüße vom Længlich

[Matze]

Hallo,

Es gibt aber auf jeden Fall bessere Methoden: Auf meiner Kontaktseite wird die eMail-Adresse erst sichtbar, wenn der Benutzer ein Formular abschickt, das nur aus einem einzigen Submit-Button besteht. Da es derzeit keine Bots zu geben scheint, die sowohl Formulare ausfüllen als auch eMail-Adressen einsammeln, klappt das wunderbar.

als Zusatz noch eine Zeitabfrage nach dem Submit, und ein Feld mit CSS ausserhalb des sichtbaren Bereichs gerückt und welches leer bleiben muss. Als Name bietet sich email, recipient, text o.ä. als für Bots verführerisch an.

Ergebnis: Die Spammails die ich in den letzten 5 Jahren bekommen hab kann ich an 2 Händen abzählen und haben meine Adresse nicht über meine Seite raus bekommen.

Gedankensprung: Es ist völlig egal wie sicher ich meine Mail-Adresse auf meiner Seite für Bots verberge. Solange ich sie in Foren, Gästebüchern, Blogs oder anders im Internet veröffentliche ist es aus mit der Ruhe.

Klar ist: Keine der möglichen Methoden ist absolut zukunftssicher.

Oben genannte läuft schon ziemlich lange Problemlos. Ich kenne allerdings nicht den Verbreitungsgrad. Mal sehn wann sie geknackt wird. Ich sag dann bescheid ;)

Grüße, Matze

[Længlich]

سلام!

als Zusatz noch eine Zeitabfrage nach dem Submit, und ein Feld mit CSS ausserhalb des sichtbaren Bereichs gerückt und welches leer bleiben muss. Als Name bietet sich email, recipient, text o.ä. als für Bots verführerisch an.

Die Zeitabfrage wird meine nächste Maßnahme, wenn der jetzige Schutz nicht mehr ausreicht. Und viel Aufwand ist das ja auch nicht. :-) Das leere Feld habe ich in meinem Kontaktformular im Einsatz - klappt auch wunderbar.

Der Name scheint übrigens (zumindest zur Zeit) auch egal zu sein. Das leere Feld heißt bei mir »spamtrap« - auffälliger geht's nimmer, und trotzdem hat noch kein Bot was gemerkt. Ich glaube wirklich, daß die meisten Bots sehr einfache Programme sind, die sich recht leicht austricksen lassen.

Außerdem habe ich noch eine Teergrube: Eine Seite, die sehr langsam lädt und über 200 zufällig generierte ungültige eMail-Adressen enthält sowie 20 Links auf zufällige URLs, die alle wieder auf dieses Script umgeleitet werden. Das bringt zwar wahrscheinlich nicht viel gegen Spam, aber jedesmal, wenn sich wieder ein Bot ein paar tausend Mülladressen geholt hat, überkommt mich das wohlige Gefühl gelungener Rache. ;-)

Gedankensprung: Es ist völlig egal wie sicher ich meine Mail-Adresse auf meiner Seite für Bots verberge. Solange ich sie in Foren, Gästebüchern, Blogs oder anders im Internet veröffentliche ist es aus mit der Ruhe.

Da ich in verschiedenen Kontexten verschiedene eMail-Adressen verwende (und in Foren etc. tendenziell gar keine), kann ich ziemlich gut nachvollziehen, wie die Bots mich gefunden haben. ;-)

Klar ist: Keine der möglichen Methoden ist absolut zukunftssicher.

Oben genannte läuft schon ziemlich lange Problemlos. Ich kenne allerdings nicht den Verbreitungsgrad. Mal sehn wann sie geknackt wird. Ich sag dann bescheid ;)

Tu das! Dann können wir hier im Forum gemeinsam neue Genialitäten gegen die Spammer entwickeln. :-)

Viele Grüße vom Længlich

[Matze]

Hallo,

Außerdem habe ich noch eine Teergrube: Eine Seite, die sehr langsam lädt und über 200 zufällig generierte ungültige eMail-Adressen enthält sowie 20 Links auf zufällige URLs, die alle wieder auf dieses Script umgeleitet werden. Das bringt zwar wahrscheinlich nicht viel gegen Spam, aber jedesmal, wenn sich wieder ein Bot ein paar tausend Mülladressen geholt hat, überkommt mich das wohlige Gefühl gelungener Rache. ;-)

lol wenn man zu wenig Traffic hat...
Naja aber allein des Gefühls wegen überleg ich mir das auch mal^^
Dann allerdings etwas heftiger mit ab 1000 Adressen :)
Sollen die sich ruhig ihre Datenbanken damit vollstopfen hehe

Oben genannte läuft schon ziemlich lange Problemlos. Ich kenne allerdings nicht den Verbreitungsgrad. Mal sehn wann sie geknackt wird. Ich sag dann bescheid ;)

Tu das! Dann können wir hier im Forum gemeinsam neue Genialitäten gegen die Spammer entwickeln. :-)

Ich glaub der Spammer ist immer nur wenig dümmer als der "Bespammte".
Das erklärt auch warum Zeitabfragen und der Name des Feldes _noch_ egal sind. Allerdings muss man nicht auf den Ernstfall warten und wie das Beispiel zeigt bedarf es gar nicht mal so viel Genialität oder Aufwand :)

Grüße, Matze

[Længlich]

Vanakkam!

lol wenn man zu wenig Traffic hat...

Tja, das ist der Haken an der Sache. ;-) Genau deswegen habe ich die vielen sleep-Anweisungen im Code, obwohl ich den Bots am liebsten mehr Müll unterjubeln würde. So würde es ziemlich lange dauern, bis die Bots mein Trafficlimit erreichen könnten, und ich kann sie gegebenenfalls rechtzeitig mit einer 404 verscheuchen.
Hmm, vielleicht könnte man auch einen Automatismus einbauen, daß sich das Script pro Monat nur so-und-so-oft aufrufen läßt... mal schauen.

Naja aber allein des Gefühls wegen überleg ich mir das auch mal^^
Dann allerdings etwas heftiger mit ab 1000 Adressen :)
Sollen die sich ruhig ihre Datenbanken damit vollstopfen hehe

Mein "bester" Bot bisher war mehrere Stunden beschäftigt und hat insgesamt ca. 900.000 Adressen gefressen. Hoffentlich hat er die wirklich alle gespeichert! >:-)
Wenn Du sowas nicht selbst scripten willst, gibt es das auch schon fertig: http://www.monkeys.com/wpoison/
Kannst Du entweder bei Dir installieren, oder deren Exemplar verlinken. In letzterem Fall kommt auch das Traffic-Problem nicht auf.

Ich glaub der Spammer ist immer nur wenig dümmer als der "Bespammte".
Das erklärt auch warum Zeitabfragen und der Name des Feldes _noch_ egal sind. Allerdings muss man nicht auf den Ernstfall warten und wie das Beispiel zeigt bedarf es gar nicht mal so viel Genialität oder Aufwand :)

Ich halte die Spammer selbst gar nicht mal für sonderlich dumm. Ich vermute nur, daß die sich eher damit beschäftigen, wie sie fremde Mailserver hacken und ihren Spam bei den Empfängern durch die Filter bekommen, als mit der Verbesserung der Bots. Da inzwischen fast jeder einen Spamfilter hat, ist das für die Spammer ein dringendes Thema. Auf der anderen Seite stehen immer noch so viele eMail-Adressen unverschleiert auf Webseiten, daß selbst die primitivsten Bots ordentlich was reinholen und hier (momentan) praktisch kein Handlungsbedarf besteht.

Viele Grüße vom Længlich

[Shadowcrow]

hi $name,

Da ich in verschiedenen Kontexten verschiedene eMail-Adressen verwende (und in Foren etc. tendenziell gar keine), kann ich ziemlich gut nachvollziehen, wie die Bots mich gefunden haben. ;-)

für foren etc gibts ja verfallsadressen:
z.b.
http://www.spamgourmet.com/
link:http://www.antispam.de]
http://temporarily.de/

gruss
shadow

[Ingo Turski]

Hi,

als Zusatz noch eine Zeitabfrage nach dem Submit, und ein Feld mit CSS ausserhalb des sichtbaren Bereichs gerückt und welches leer bleiben muss.

Das leere Feld - bzw. sogr drei - verwende ich auch - mit Erfolg.
Allerdings ist zweierlei dazu zu sagen:

1. Die Namenswahl ist - anders als von Længlich vermutet - relevant. Die meisten Bots füllen zwar alles aus, was ihnen unterkommt und nicht hidden ist, aber es gibt auch genug cleverer programmierte, die "email" und "author" ausfüllen, "auth0r" hingegen nicht oder mit "none" oder "unknown". Dies verwende ich als zusätzliche Maßnahme für Pflichtfelder.

2. Für echte Besucher sollten Spamfallen über display:none (natürlich im externen Stylesheet) ausgeblendet werden. Die Rücksichtnahme auf sehbehinderte Nutzer gebietet dies in diesem Fall, damit die Ausblendung möglichst auch mit ihren Programmen funktioniert.

freundliche Grüße
Ingo

[Længlich]

Aloha!

1. Die Namenswahl ist - anders als von Længlich vermutet - relevant. Die meisten Bots füllen zwar alles aus, was ihnen unterkommt und nicht hidden ist, aber es gibt auch genug cleverer programmierte, die "email" und "author" ausfüllen, "auth0r" hingegen nicht oder mit "none" oder "unknown". Dies verwende ich als zusätzliche Maßnahme für Pflichtfelder.

Danke für den Hinweis! Dann ist es wohl Zufall, daß von den cleveren Bots noch keiner bei mir war. Macht aber nix: Die Namen der Felder "email" und "spamtrap" sind ja schnell vertauscht. ;-)

2. Für echte Besucher sollten Spamfallen über display:none (natürlich im externen Stylesheet) ausgeblendet werden. Die Rücksichtnahme auf sehbehinderte Nutzer gebietet dies in diesem Fall, damit die Ausblendung möglichst auch mit ihren Programmen funktioniert.

Und die Spamfalle sollte ein Label haben, das unmißverständlich klarmacht, daß und warum dieses Feld nicht ausgefüllt werden soll. Das Label wird natürlich genauso ausgeblendet.

Viele Grüße vom Længlich

[Gunnar Bittersmann]

@@Ingo Turski:

1. Die Namenswahl ist - anders als von Længlich vermutet - relevant. Die meisten Bots füllen zwar alles aus, was ihnen unterkommt und nicht hidden ist, aber es gibt auch genug cleverer programmierte, die "email" und "author" ausfüllen, "auth0r" hingegen nicht oder mit "none" oder "unknown". Dies verwende ich als zusätzliche Maßnahme für Pflichtfelder.

2. Für echte Besucher sollten Spamfallen über display:none (natürlich im externen Stylesheet) ausgeblendet werden. Die Rücksichtnahme auf sehbehinderte Nutzer gebietet dies in diesem Fall, damit die Ausblendung möglichst auch mit ihren Programmen funktioniert.

Wo du gerade diese Nutzergruppe ansprichst: Die Benennung von Formularfeldern ist ein wichtiges Navigationsmittel für Blinde. Mach das einem Blinden klar, dass er seine E-Mail-Adresse keinesfalls in das Eingabefeld eintragen darf, bei welchem ihm sein Screenreader „E-Mail“ vorliest; sondern in jenes, welches der Screenreader „none“ nennt (wie immer der das ausspricht).

Das Auslegen von Fallen für Spambots kann der Barrierrefreiheit arg zuwiderlaufen.

Live long and prosper,
Gunnar

[Ingo Turski]

Hi,

Wo du gerade diese Nutzergruppe ansprichst: Die Benennung von Formularfeldern ist ein wichtiges Navigationsmittel für Blinde. Mach das einem Blinden klar, dass er seine E-Mail-Adresse keinesfalls in das Eingabefeld eintragen darf, bei welchem ihm sein Screenreader „E-Mail“ vorliest; sondern in jenes, welches der Screenreader „none“ nennt (wie immer der das ausspricht).

Das mache ich doch: "Ihre eMail wird nicht abgefragt, tragen Sie auch hier bitte NICHTS ein:".
Und da ich das label mitsamt Formularfeld über display:none ausblende, ist die Wahrscheinlichkeit sehr hoch, dass auch Blinden diese Falle eben nicht vorgesetzt wird.

freundliche Grüße
Ingo

[noscript]

Diese Art der „Verschleierung“ bringt also rein gar nichts – jedenfalls gegenüber Maschinen; bestenfalls gegenüber Quelltext lesenden Menschen, und auch das nur kurzzeitig.

muss dir leider widersprechen. Von mir stehen 2 Mail-Adressen im Netz, eine so wie hier leicht verschleiert, die andere (leider - ist nicht meine Seite) im Klartext.
Ergebnis: kein Spam über die erste, haufenweise Spam über die zweite.

[mati]

Ja, richtig. Aber sie steht halt anders im Quelltext.

wenn ich ein spamrobot schreiben würde, würde er dieses quelltext "verstehen" und als plain text in der entsprechenden DB speichern.

[Klaus]

Hallo!

Ja, richtig. Aber sie steht halt anders im Quelltext.

wenn ich ein spamrobot schreiben würde, würde er dieses quelltext "verstehen" und als plain text in der entsprechenden DB speichern.

Ja, genau das ist der Ansatz. Wenn _du_ ihn schreiben würdest.
Da zumindest eine Vielzahl der Crawler solche Daten nicht "versteht", kann man wenigstens diese dadurch ausschließen.

Also zu behaupten es würde nichts bringen ist falsch.
Eine Lösung für das Problem ist es deshalb natürlich immernoch nicht.

Grüße
Klaus

[mati]

Hallo!

hi

Da zumindest eine Vielzahl der Crawler solche Daten nicht "versteht", kann man wenigstens diese dadurch ausschließen.

Worau hast Du diese Informationen?

gruß
mati

[Cheatah]

Hi,

Da zumindest eine Vielzahl der Crawler solche Daten nicht "versteht", kann man wenigstens diese dadurch ausschließen.

eine Vielzahl der in der Vergangenheit oder in der Zukunft benutzten?

Also zu behaupten es würde nichts bringen ist falsch.

E-Mail-Adressverschleierung in homöopathischen Dosen. Cool.

Cheatah

[Cheatah]

Hi,

kennt jemand eine sichere Methode E-Mail Adressen zu verschleiern?

eine sichere Methode, die sie einem Automaten A nutzbar macht, jedoch vor einem Automaten B, der exakt die selbe Funktionsweise hat, verschleiert? Bedaure, Magie ist im World Wide Web noch nicht implementiert.

Unter [Link:http://www.willmaster.com/possibilities/demo/aelgwase.html] habe ich zwar etwas gefunden, aber ich könnte mir vorstellen, dass man das leicht knacken kann oder?

Exakt so leicht, wie es der Browser kann. Also trivial. Die gängige Methode ist es, einen Link bzw. ein Formular technisch so aussehen zu lassen, als hätte es nicht das geringste mit E-Mail zu tun, den Server dann aber einen Redirect auf das mailto-Protokoll zurücksenden zu lassen. Auch das ist jedoch nicht sicher.

Cheatah

[Ingo Turski]

Hi,

kennt jemand eine sichere Methode E-Mail Adressen zu verschleiern?

Ja, wenn Du: eMail-Adresse vor Spam-Robots schützen meinst. Das funktioniert - weil es genügend ungeschützte Adressen im Netz gibt - bei mir seit langem.

freundliche Grüße
Ingo

[Schuer]

kennt jemand eine sichere Methode E-Mail Adressen zu verschleiern?

»Graceful E-Mail Obfuscation« - A List Apart
http://www.alistapart.com/articles/gracefulemailobfuscation

Aber bedenken:
  »No e-mail address that appears online is entirely safe. Until all
   spam is banned from this world, we have to try our best not to make it
   too easy for spam harvesters to steal our addresses«

Viele Grüße!
_Dirk

[imho_tep]

Hallo zusammen,
jetzt mal 'ne doofe Frage:
Wenn ich meine Mailadresse mit einem Haufen <span>s zerhacke, kann das helfen?
Best wishes, imho_tep