Dal 2004 il blog di Antonio Troise

Qualche mese fa, stanco di aver un captcha grafico poco accessibile (anche a detta del W3C), ho introdotto nell’area commenti del mio blog, un captcha matematico, in grado di reggere le ondate di spam che imperversano sulla rete. L’idea era semplice e originale: installando un semplice plugin per WordPress (Math Comment Spam Protection Plugin) e aggiungendo del semplice codice php nella posizione voluta nel file comments.php, era possibile vincolare l’inserimento di nuovi commenti alla risposta di una semplice domanda che richiedeva elementari conoscenze matematiche: “Quanto fa 3+5?”.

Ebbene, nonostante la semplicità dell’operazione, prendendo spunto dal geniale Daniele, ho introdotto una ulteriore facilitazione: se il vostro browser ha abilitato il supporto per Javascript (e se anche prima era quasi sempre consigliata la disattivazione, oggi con tutte le applicazioni Ajax che girano, è quasi d’obbligo averlo attivo) potrete vedere che il campo in cui dovevate scrivere il risultato della somma algebrica, risulta ora già precompilato con la risposta esatta.

Ho deciso di adottare anche io questo metodo, perché, ho ipotizzato che un classico bot di spam non usa un browser per inviare commenti, e quindi non dovrebbe mai avere accesso a questa funzione javascript. Certo il codice potrebbe essere semplicemente bypassabile dato che i numeri vengono compresi in un 2 tag SPAN; inoltre dato che i bot usano soluzioni di massa, una soluzione “amatoriale e di nicchia” potrebbe risultare molto efficace.

Al momento sono ancora in fase di test per valutare se questa soluzione è apprezzata e se vi è un eventuale incremento dello spam: al momento in cui scrivo e dopo una settimana di prove mi pare che lo spam sia rimasto sempre lo stesso.

Come funziona

Adesso è arrivato il momento di spiegare come implementare questa semplice soluzione. Unico prerequisito è avere installato il plugin per WordPress Math Comment Spam Protection Plugin (anche se, opportunamente adattato, funzione senza problemi con altri plugin simili o soluzioni proprietarie).

Sul sito dell’autore del plugin, viene riportato il codice da inserire nel file comments.php del proprio tema.
A questo codice, occorre inserire il seguente codice js:

<br /> <script type="text/javascript"> var commentform; commentform=document.commentform; commentform.mcspvalue.value=eval((document.getElementById('num1')).innerHTML)+eval((document.getElementById('num2')).innerHTML); </script><br />

Quindi, occorre separare ogni numero generato casualmente attraverso i TAG SPAN e assegnandogli un ID univoco:

<br /> <label for="mcspvalue"><small>Protezione Spam: Quanto fa<br /> <span id="num1">< ?php echo $mcsp_info['operand1'] . '</span> + </span><br /> <span id="num2">‘ . $mcsp_info[‘operand2’] . ‘ </span> ?’ ?></small></label><br />

In questo modo ogni operatore della somma è identificato univocamente: il primo sarà il valore dello span con ID “num1” e il secondo quello con ID “num2“. Il codice Javascript sopra riportato, quindi, non fa altro che prendere questi due valori (attraverso l’uso di document.getElementById) e sommarli tra di loro. Il risultato andrà poi scritto nel valore del campo testuale document.commentform.mcspvalue.

Occorre, ora, fare una precisazione: quasi tutti i temi per WordPress, quando dichiarano il form dei commenti, usano assegnare solo l’ID e non il NAME. Per far funzionare il codice Javascript e non incorrere nel terribile errore di Warning “commentform has no properties“, occorre aggiungere dopo id=”commentform” anche questa stringa: name=”commentform” per ottenere quindi la seguente riga:

</p> <form action="<?php echo get_option('siteurl'); ?>/wp-comments-post.php” method=”post” id=”commentform” name=”commentform”><br /> […]<br /> </form> <p>

Quindi, in definitiva, il codice da aggiungere al file comments.php del vostro tema (nel tema del mio sito è, invece, comments-paged.php perché uso il plugin per la paginazione Paged Comments) è:

<br /> /****** Math Comment Spam Protection Plugin ******/<br /> get_currentuserinfo();<br /> if ( $user_login != ‘admin’ && function_exists(‘math_comment_spam_protection’) ) {<br /> $mcsp_info = math_comment_spam_protection();<br /> ?> </p> <p><input type="text" name="mcspvalue" id="mcspvalue" value="" size="22" tabindex="4" /><br /> <label for="mcspvalue"><small>Protezione Spam: Quanto fa <span id="num1">< ?php echo $mcsp_info['operand1'] . '</span> + </span><span id="num2">‘ . $mcsp_info[‘operand2’] . ‘ </span> ? (Se Javascript è abilitato, sarà precompilato)’ ?></small></label><br /> <input type="hidden" name="mcspinfo" value="<?php echo $mcsp_info['result']; ?/>” /><br /> <script type="text/javascript"> var commentform; commentform = document.commentform; commentform.mcspvalue.value=eval((document.getElementById('num1')).innerHTML)+eval((document.getElementById ('num2')).innerHTML); </script> </p> <p>< ?php } // if function_exists... ?><br />

e nella dichiarazione del form occorre aggiungere:

<br /> name=”commentform”<br />

Ed il gioco è fatto.

Alcuni consigli

Ora, però, non mi resta che darvi alcuni consigli.
Il primo potrebbe essere di personalizzare l’ID dei due tag SPAN in modo da rendere la vita difficile ai bot di spam: una standardizzazione di questa procedura potrebbe facilitare loro l’acquisizione del risultato della somma numerica.
Il secondo è che, così come è fatto il codice javascript, non permette l’uso di somme del tipo: “Quanto fa cinque + sette?” (cosa comunque permessa dal plugin, che però si aspetta che si immetta solo un risultato numerica). Se si ha necessità, occorre aggiungere un piccolo array di equivalenze (1=uno, ecc…): io non l’ho implementato perché non uso la notazione letterale dato che secondo me può generare confusione su come scrivere la risposta (potrei scrivere “undici” o “11” ma il plugin accetterebbe solo una risposta numerica anche se nulla vieta di implementare un hack per accettare anche risposte testuali).

Spero che questa guida vi sia stata utile e sono pronto ad accettare consigli e suggerimenti.