Ein Aktions-Button, der E-Mails verschickt, ist ein öffentliches Formular: Wer die Seite findet, kann darüber automatisiert Mails auslösen – über deinen Mailserver. Das Merkmal Captcha schützt davor. Es arbeitet im Hintergrund, braucht keinen Dienst eines Drittanbieters und setzt keine Cookies. Dieser Artikel zeigt, wie du es einrichtest und was es prüft.
So funktioniert das Captcha
configento.app verwendet Altcha, ein Captcha nach dem Prinzip Proof-of-Work:
- Beim Laden des Konfigurators holt der Browser des Kunden eine Rechenaufgabe von configento.app.
- Der Browser löst die Aufgabe selbst. Das dauert je nach Gerät und Schwierigkeit Sekundenbruchteile bis wenige Sekunden.
- Klickt der Kunde auf den Aktions-Button, wird die Lösung mitgeschickt. Der Server prüft sie und führt die Aktion nur dann aus.
Der Kunde muss keine Bilder anklicken und nichts abtippen. Für einen einzelnen Besucher kostet die Aufgabe kaum Zeit, für ein Programm, das tausende Anfragen schicken will, wird sie teuer. Jede Lösung gilt nur einmal und nur für begrenzte Zeit.
Voraussetzung: Frontend-Engine V3
Das Captcha gibt es nur in der Frontend-Engine V3. Der Datentyp heißt deshalb Captcha (nur V3).
Enthält eine Komponente ein Captcha,
- trägt sie in der Komponenten-Übersicht das Kennzeichen V3,
- zeigen die Komponenten-Einstellungen den Hinweis Benötigt Frontend V3,
- lädt Magento 2 sie automatisch mit V3,
- läuft sie in Shopify ohnehin mit V3.
In Shopware 6 und im klassischen HTML5-Snippet läuft immer die Legacy-Engine. Dort kann das Captcha nicht angezeigt werden – und der Server lehnt die Aktionen der Komponente trotzdem ab, weil die Lösung fehlt. Verwende dort kein Captcha. Mehr dazu: Frontend-Engine: Legacy oder V3.
Stelle in den Komponenten-Einstellungen unter Allgemein die Engine auf V3 (Beta). Die Vorschau im Admin richtet sich nach dieser Einstellung – nur mit V3 siehst du das Captcha dort.
Captcha einrichten
- Öffne die Komponente und lege ein neues Merkmal an.
- Wähle unter Frontend den Datentyp Captcha (nur V3).
- Lege es in dieselbe Gruppe wie den Aktions-Button, am besten direkt darüber.
- Wähle unter Captcha-Einstellungen die Captcha-Komplexität (siehe unten).
- Speichere, prüfe die Vorschau und veröffentliche die Komponente.
Als Captcha-Anbieter steht fest Altcha. Ein Captcha pro Komponente genügt, auch bei mehreren Aktions-Buttons.
Captcha-Komplexität
| Captcha-Komplexität | Wirkung |
|---|---|
| Einfach (schnelle Prüfung) | Kaum spürbar, auch auf langsamen Geräten |
| Mittel (Standard) | Für die meisten Shops die richtige Wahl |
| Stark (langsamer, mehr Spam-Schutz) | Etwa viermal so viel Rechenaufwand wie Mittel. Auf älteren Smartphones kann das Lösen spürbar dauern. |
Fang mit Mittel (Standard) an und erhöhe nur, wenn trotzdem Spam ankommt.
Was das Captcha schützt
Sobald eine Komponente ein Captcha enthält, prüft der Server bei jedem Klick auf einen ihrer Aktions-Buttons die Lösung:
| Aktion des Aktions-Buttons | Mit Captcha in der Komponente |
|---|---|
| E-Mail verschicken | Nur mit gültiger Lösung |
| E-Mail mit PDF verschicken | Nur mit gültiger Lösung |
| PDF erzeugen | Nur mit gültiger Lösung |
| Eigene URL | Nur mit gültiger Lösung – geprüft, bevor die Daten an deine Adresse weitergeleitet werden |
Ohne gültige Lösung antwortet der Server mit HTTP 403 und führt die Aktion nicht aus.
Auch im Konfigurator selbst zählt das Captcha: Solange es nicht gelöst ist, zeigt V3 „Bitte löse das Captcha vor dem Absenden.“ und hält den Aktions-Button und den Warenkorb zurück. Da der Browser die Aufgabe beim Laden von selbst löst, merkt der Kunde davon normalerweise nichts. Nach jeder Aktion löst das Captcha eine neue Aufgabe – klickt der Kunde den Aktions-Button ein zweites Mal oder versucht es nach einem Fehler erneut, hat er wieder eine gültige Lösung.
Alles zu den Aktionen selbst: Der Aktions-Button.
Hinweise im Editor
In den Einstellungen eines Aktions-Buttons, der E-Mails verschickt, steht Spam-Risiko: kein Captcha in dieser Komponente, solange die Komponente kein Captcha hat.
Die Prüfung vor dem Veröffentlichen warnt außerdem:
- „Ein Aktions-Button verschickt E-Mails ohne Captcha – Spam-Risiko im öffentlichen Shop.“
- „Es gibt ein Captcha, aber keinen Aktions-Button, der es auslöst – das Captcha wird nie geprüft.“ – wenn kein Aktions-Button E-Mail verschicken, E-Mail mit PDF verschicken oder Eigene URL verwendet.
Die Warnungen blockieren das Veröffentlichen nicht.
Datenschutz
- Die Rechenaufgabe kommt vom Server von configento.app. Es werden keine Skripte, Schriften oder Bilder eines Drittanbieters geladen.
- Das Captcha setzt keine Cookies und verfolgt den Besucher nicht über Seiten hinweg. Es rechnet nur die Aufgabe.
- Übertragen wird nur die Lösung der Aufgabe, zusammen mit den übrigen Daten der Konfiguration.
Weitere Schutzmechanismen
Das Captcha ist nicht der einzige Schutz. Unabhängig davon begrenzt configento.app, wie oft eine Aktion ausgelöst werden kann, und verschickt dieselbe Konfiguration nicht mehrfach kurz hintereinander. Die Grenzen stehen im Artikel Der Aktions-Button.
Fehlersuche
- „Übermittlung fehlgeschlagen: HTTP 403“ – die Lösung fehlte oder war abgelaufen. Warte, bis das Captcha eine neue Aufgabe gelöst hat, und versuche es noch einmal. Tritt der Fehler immer auf, läuft die Komponente vermutlich mit der Legacy-Engine (Shopware 6, klassisches HTML5-Snippet) – dort kann das Captcha nicht gelöst werden.
- „Captcha konnte nicht geladen werden. Bitte Seite neu laden.“ – der Browser konnte die Aufgabe nicht abrufen, etwa wegen eines Werbeblockers oder einer Firewall. Prüfe, ob die Seite configento.app erreichen darf.
- Das Captcha erscheint in der Vorschau nicht – die Engine der Komponente steht auf Legacy (Standard). Stelle sie auf V3 (Beta).
- Das Lösen dauert auf dem Smartphone lange – setze die Captcha-Komplexität auf Mittel (Standard) oder Einfach (schnelle Prüfung).
- Der Warenkorb-Button reagiert erst nach einem Moment – der Browser löst noch die Aufgabe. Bei Stark auf langsamen Geräten kann das spürbar sein.
- Trotz Captcha kommt Spam an – erhöhe die Captcha-Komplexität. Prüfe außerdem, ob die Mails wirklich über diese Komponente kommen und nicht über ein anderes Formular deiner Website.