Una protezione antispam che non dovete mai superare.

In NumoForms le risposte vengono inserite direttamente dal browser nel database. Ne consegue che qualsiasi regola scritta soltanto nell’interfaccia ha valore di consiglio. Uno script che invia direttamente all’API non esegue mai il vostro JavaScript, quindi non vede mai il controllo.

Perciò i tre controlli vengono eseguiti in un trigger di database. Ogni inserimento vi passa attraverso, che provenga dalla pagina ospitata del questionario, da un questionario incorporato in un altro sito o da uno script scritto da qualcuno alle tre di notte. È lo stesso ragionamento che sta dietro alle date di chiusura e ai tetti massimi di risposte, anch’essi applicati a livello di database e non nascondendo un pulsante.

Dove vengono eseguiti i controlli conta più di quanto siano astuti. Due dei tre segnali — il valore dell’honeypot e il tempo trascorso — sono inviati dal browser, quindi uno script su misura può lasciare vuoto il campo nascosto e non inviare alcun dato temporale. Il limite di frequenza non richiede nulla dal client, ed è per questo che è il livello che regge ancora quando gli altri due vengono eliminati.

È la decisione che più facilmente emerge in fase di gara, quindi ecco l’argomento per intero.

Rende Google un sub-responsabile della vostra consultazione

Mettere reCAPTCHA su un modulo di consultazione pubblica significa che ogni cittadino che lo apre invia dati a Google prima ancora di rispondere a una domanda. Qualcuno nella vostra organizzazione dovrà poi registrare quel trasferimento, giustificarlo e difenderlo in un’informativa sulla privacy, per un modulo che esiste per raccogliere opinioni sulla raccolta dei rifiuti. NumoForms tiene i contenuti dei questionari e le risposte nella regione londinese di Supabase, e la pagina su GDPR e protezione dei dati spiega che cosa questo significhi in pratica. Aggiungere un’azienda pubblicitaria alla catena del trattamento per intercettare una manciata di righe spazzatura è un pessimo scambio per un ente locale che conduce consultazioni pubbliche.

Penalizza chi ha una disabilità

Le prove basate su immagini e audio sono una causa ampiamente documentata di invii falliti per le persone con disabilità. La nostra pagina sull’accessibilità argomenta contro esattamente quel modello. Distribuire un CAPTCHA contraddirebbe una posizione che pubblichiamo, e un questionario che chi usa uno screen reader non riesce a portare a termine non è un questionario con una buona protezione antispam. È un questionario con un campione distorto.

I tre controlli che NumoForms esegue sono invisibili. A nessuno viene chiesto di dimostrare qualcosa, di riconoscere un autobus o di trascrivere un audio distorto. Non c’è alcuna prova da fallire.

Detto chiaramente, perché prima o poi lo scoprireste.

• Nessun Cloudflare Turnstile. È la prova rispettosa della privacy più spesso suggerita come alternativa a reCAPTCHA, e oggi non è integrata.
• Nessun blocco basato sull’IP. Qui nulla blocca o limita per indirizzo, quindi chi attacca con determinazione, distribuendo gli invii su molte sorgenti e mantenendone il ritmo sotto la soglia, non viene fermato da questi tre livelli.
• Due dei tre segnali arrivano dal browser. Il valore dell’honeypot e il tempo trascorso sono forniti dal client, quindi uno script scritto apposta per il vostro questionario può rifiutarsi di inviarli. Fermano i compilatori automatici di serie, non un attaccante mirato; il limite di frequenza è il livello che non dipende dalla cooperazione altrui.
• Nessun filtro sui contenuti. I controlli guardano come è arrivata una risposta, non che cosa dice. Il testo libero offensivo è un problema di moderazione; le approvazioni a passaggio singolo trattengono le risposte finché qualcuno non le esamina.

Ciò in cui questi livelli sono bravi è il caso ordinario: i compilatori automatici, gli invii in massa da un singolo script e il doppio invio accidentale.