Was Really Simple CAPTCHA auf deiner Website macht
Really Simple CAPTCHA ist ein Modul, das kleine Bilder zum Abtippen erzeugt, damit andere Plugins prüfen können, ob ein Mensch das Formular ausfüllt. Entwickelt wird es von Takayuki Miyoshi und seiner Firma Rock Lobster Inc., dem Team hinter Contact Form 7, für das es ursprünglich entstand. Es ist komplett kostenlos, eine Bezahlversion gibt es nicht. Allein tut es nichts: Das Plugin hat weder ein Menü noch eine Einstellungsseite und bleibt untätig, bis ein anderes Plugin es aufruft.
Mit Contact Form 7 fügst du zwei Formular-Tags in die Formularvorlage ein: [captchac captcha-1] zeigt das Bild, [captchar captcha-1] das Antwortfeld. Bei jeder Anzeige wählt das Modul vier Zeichen (Großbuchstaben und Ziffern, ohne leicht verwechselbare wie I, O, 0 oder 1), zeichnet ein PNG-Bild mit der mitgelieferten Schrift Gentium und schreibt zwei gleichnamige Dateien: das Bild und eine Textdatei mit dem Hash der richtigen Antwort. Seit Version 2.4 ist dieser Hash ein HMAC SHA-256 mit zufälligem Salt.
Beim Absenden vergleicht Contact Form 7 die Antwort (ohne Rücksicht auf Groß- und Kleinschreibung oder Leerzeichen) mit dem Hash und löscht dann beide Dateien. Liegengebliebene Dateien, die älter als eine Stunde sind, werden nach und nach bei späteren Aufrufen entfernt. Alles passiert auf deinem Server, in wp-content/uploads/wpcf7_captcha: kein externer Dienst, kein Cookie, keine PHP-Session.
Für welche Websites Really Simple CAPTCHA noch passt
- Websites mit Contact Form 7, die auf Drittdienste verzichten wollen: Das Bild entsteht lokal, ohne Anfrage an Google oder Cloudflare.
- Kleine, selten angegriffene Formulare, bei denen eine einfache Hürde reicht, um die simpelsten Bots abzuhalten.
- Entwickler, die ein minimales CAPTCHA über die Klasse
ReallySimpleCaptchaaus ihrem eigenen Plugin aufrufen möchten.
Keine gute Wahl ist es für Formulare, die stark mit Spam bombardiert werden, oder wenn Barrierefreiheit zählt: Der Entwickler warnt selbst, dass das Plugin „nicht besonders sicher“ ist, und Contact Form 7 empfiehlt seit Version 4.3 andere Lösungen. Simple Cloudflare Turnstile oder die Turnstile-Integration von Contact Form 7 schützen besser, setzen aber einen externen Dienst voraus.
Stärken und Grenzen von Really Simple CAPTCHA
Stärken
- Kein Drittdienst. Kein externes Skript, kein Cookie: Die Daten deiner Besucher verlassen deinen Server nicht.
- Kostenlos und schlank. Wenig PHP-Code, vier Schriftdateien und keine Einstellungen, die du pflegen musst.
- Antwort nur einmal gültig. Der Hash ist gesalzen, wird in konstanter Zeit verglichen, und die Datei wird nach der Prüfung gelöscht.
- Anpassbares Aussehen. Contact Form 7 bietet drei Bildgrößen sowie frei wählbare Text- und Hintergrundfarben.
Grenzen
- Schwacher Schutz. Vier kaum verzerrte Zeichen: Der Entwickler rät selbst zu einer anderen Lösung, wenn du echte Sicherheit brauchst.
- Kaum barrierefrei. Die Aufgabe ist nur ein Bild, ohne Audio-Variante; sehbehinderte Besucher können sie nicht lösen.
- Serveranforderungen. Nötig sind die PHP-Bibliotheken GD und FreeType und ein beschreibbarer Ordner, sonst erscheint kein Bild.
- Ordnerschutz nur für Apache gedacht. Die
.htaccess-Datei, die das Lesen der Antworten verhindert, ignoriert Nginx. - Hohe Anforderungen. Seit Version 2.5 sind WordPress 7.1 und PHP 8.3 Pflicht.
Die Einstellungen, die wir mit Contact Form 7 empfehlen
Really Simple CAPTCHA hat keine Einstellungsseite: Alles läuft über die Formular-Tags von Contact Form 7 (Formulare > Kontaktformulare, dann das Formular öffnen) und über den Server. Der Tag-Generator hat keine CAPTCHA-Schaltfläche, du schreibst die Tags also von Hand.
| Einstellung | Empfohlener Wert | Warum |
|---|---|---|
| CAPTCHA-Tags Formulare > Kontaktformulare > Tab Formular | [captchac captcha-1] und [captchar captcha-1] mit demselben Namen | Weichen die Namen ab, passt die Antwort nie zum Bild. |
| Bildgröße Option des Tags captchac | size:l (84 x 28 Pixel) | Die Standardgröße (72 x 24) ist auf dem Smartphone klein; meide size:s (60 x 20). |
| Farben Optionen fg:# und bg:# des Tags captchac | Dunkler Text auf hellem Grund, etwa fg:#000000 bg:#ffffff (Standard) | Wenig Kontrast lässt eher Menschen scheitern als Bots. |
| Feldbeschriftung Tab Formular | Ein sichtbarer Text vor dem Feld, etwa „Gib den Code aus dem Bild ein“ | Der einzige Alternativtext des Bildes ist „captcha“: Die Beschriftung führt deine Besucher. |
| Temporärer Ordner Server, wp-content/uploads/wpcf7_captcha | Für PHP beschreibbar; die Konstante WPCF7_CAPTCHA_TMP_DIR nur nutzen, wenn du ihn verlegen musst | Contact Form 7 zeigt im Formular-Bildschirm eine Warnung, wenn der Ordner, GD oder FreeType fehlt. |
| Zugriff auf die Antworten unter Nginx Serverkonfiguration | .txt- und .php-Dateien in diesem Ordner sperren, Bilder zulassen | Unter Apache übernimmt das die vom Plugin angelegte .htaccess; Nginx ignoriert sie. |
| Zusätzlicher Filter Tab Formular | Optionen akismet:author und akismet:author_email mit aktivem Akismet | Ein CAPTCHA stoppt manche Bots, aber keine menschlichen Spammer. |
| Updates Plugins > Installierte Plugins | Automatische Updates aktiviert | Das Plugin entwickelt sich mit Contact Form 7 weiter, das es bei jeder Anzeige des Formulars aufruft. |
- Öffne die Formularseite in einem privaten Fenster und prüfe, ob das Bild erscheint.
- Sende einmal mit falschem und einmal mit richtigem Code ab: Nur der zweite Versuch darf durchgehen.
- Mit Seiten-Cache: Lade die gecachte Seite neu und teste erneut. Contact Form 7 fordert beim Laden ein frisches Bild an, wenn die Konstante
WP_CACHEaktiv ist. - Unter Nginx: Rufe die Adresse einer
.txt-Datei aus dem Ordner auf. Der Server muss den Zugriff verweigern.
Wie du mehrere Abwehrmaßnahmen gegen Bots kombinierst, zeigt unsere Seite Anti-Spam für WordPress.
Sicherheit von Really Simple CAPTCHA: schlanker Code, begrenzter Schutz
Zum Zeitpunkt der Erstellung verzeichnen die Datenbanken von Patchstack und WPScan keine Sicherheitslücke für dieses Plugin. Sein Code ist kurz, fügt keine Admin-Seite hinzu und nimmt keine Besucherdaten direkt entgegen: Contact Form 7 reicht die Antwort weiter. Das eigentliche Risiko liegt daher vor allem bei Contact Form 7, dessen Verlauf unser Artikel zu den Sicherheitslücken von Contact Form 7 nachzeichnet.
Im Auge behalten solltest du den Ordner mit den temporären Dateien: Jede Textdatei enthält Salt und Hash einer vierstelligen Antwort, also wenige Kombinationen für einen Bot, der sie lesen kann. Halte den Ordner für Lesezugriffe gesperrt und beide Plugins aktuell. WP Masquerade Pro verbirgt den Namen des Plugin-Ordners (really-simple-captcha) und die Adresse /wp-content/uploads/wpcf7_captcha/ seiner Bilder: Das Verbergen erschwert die Erkennung, ersetzt aber keinen echten Spamfilter.
Was WP Masquerade bei Really Simple CAPTCHA verbirgt
Pro Nur von WP Masquerade Pro abgedeckt
Die Gratisversion kennt die eigenen Spuren von Really Simple CAPTCHA nicht: Ohne Pro werden nur Generator-Tags entfernt, wie bei jedem Plugin.
Gratisversion
Nur von WP Masquerade Pro abgedeckt
Mit Pro
- Ordnername
- Ordner erzeugter Dateien
Bleibt sichtbar
Keine bekannte Spur
Häufige Fragen zu Really Simple CAPTCHA
Wo finde ich die Einstellungen von Really Simple CAPTCHA?
Nirgends: Das Plugin hat keine Einstellungsseite. Größe und Farben legst du über die Tag-Optionen von Contact Form 7 fest oder im Code des Plugins, das es aufruft.
Warum wird das CAPTCHA-Bild nicht angezeigt?
Meist fehlen die PHP-Bibliotheken GD oder FreeType, oder der Ordner wp-content/uploads/wpcf7_captcha ist nicht beschreibbar. Contact Form 7 meldet das im Formular-Bildschirm; bitte deinen Hoster, GD und FreeType zu aktivieren, oder korrigiere die Ordnerrechte.
Sollte ich lieber Turnstile oder reCAPTCHA nutzen?
Bei einem Formular, das Spam anzieht, ja: Contact Form 7 selbst empfiehlt seit Version 4.3 andere Lösungen, und seine Integrationen für Turnstile und reCAPTCHA richtest du unter Formulare > Integration ein. Really Simple CAPTCHA behält den Vorteil, von keinem externen Dienst abzuhängen.
Sendet Really Simple CAPTCHA Daten an Dritte?
Nein. Bild und erwartete Antwort werden auf deinem Server erzeugt und geprüft, ohne externes Skript und ohne Cookie.
Funktioniert es auch mit anderen Plugins als Contact Form 7?
Ja, wenn das Plugin es aufruft: Die Klasse ReallySimpleCaptcha erzeugt Wort und Bild, prüft die Antwort und löscht die Dateien. Der Entwickler nennt allerdings nur Contact Form 7.