Rechenaufgabe, Sicherheitsprüfung und Blockierseite gestalten

Automatisch erkannte Bots müssen im Modus Durchsetzen nicht zwingend an einer leeren Fehlerseite scheitern: Das Plugin kann ihnen eine kurze Rechenaufgabe (Proof-of-Work) stellen. Der Browser eines echten Besuchers löst sie von selbst in Bruchteilen einer Sekunde bis wenigen Sekunden und wird dann automatisch auf die angeforderte Seite weitergeleitet — Bots ohne echten Browser scheitern. Manuell gesperrte Einträge deiner Sperrliste erhalten dagegen immer die harte 403-Antwort.

Rechenaufgabe einstellen

Auf der Karte Herausforderung · Basic steuerst du:

Statt der harten Sperre eine Rechenaufgabe stellen (Standard: aktiv) — deaktiviert erhält jede automatische Sperre wieder die einfache 403. Ein bereits bestandener Nachweis bleibt für seine verbleibende Gültigkeit bestehen.
Schwierigkeitsgrad der Rechenaufgabe — 2 Byte (empfohlen, ca. 78.000 Versuche) dauert auf einem schnellen Gerät ca. 0,3 Sekunden, auf einem langsamen Smartphone 1–2 Sekunden. 1 Byte (ca. 191 Versuche) bietet kaum Schutz und dient nur zum Beobachten des Ablaufs; 3 Byte (ca. 13 Millionen Versuche) lässt echte Kunden mehrere Sekunden bis eine Minute warten und ist nur für den akuten Angriffsfall gedacht. Eine Änderung wirkt ab der nächsten Rechenaufgabe.
Gültigkeitsdauer eines bestandenen Nachweises (Minuten) (Standard 30) — so lange wird ein Besucher nach bestandener Aufgabe nicht erneut geprüft.

Die Zwischenseite ist suchmaschinenfreundlich gebaut: Sie wird mit Status 503 und einem Noindex-Hinweis ausgeliefert, und der technische Bereich /botshield/ ist in der robots.txt deines Shops für Crawler gesperrt.

Sicherheitsprüfung für unbekannte Besucher

Zusätzlich sichert der Shop aufwendige Seitenaufrufe von unbekannten Besuchern automatisch mit einer kurzen Sicherheitsprüfung ab, bevor überhaupt eine Sperre greift. Du schaltest sie mit Unbekannte Besucher vor regulären Seitenaufrufen kurz automatisch prüfen auf der Karte Herausforderung · Basic ein oder aus. Nach dem Update auf 7.1 ist sie standardmäßig eingeschaltet.

So läuft sie ab:

Sie greift bei allen regulären Seitenaufrufen des Shops — Startseite, Kategorie- und Produktseiten ebenso wie Anmeldung, Registrierung, Warenkorb und Kasse. Bilder, Skripte und andere Dateien sind ausgenommen, ebenso die vier Hintergrundanfragen, die einen eigenen Schutz haben.
Im Modus Durchsetzen sehen unbekannte Besuchende beim ersten Seitenaufruf eine kurze Prüfseite, die in der Regel in weniger als einer Sekunde von selbst durchläuft und danach die angeforderte Seite öffnet. Sie kostet immer gleich wenig (etwa 191 Versuche), unabhängig vom eingestellten Schwierigkeitsgrad.
Sie erscheint in der Regel einmal pro Sitzung: Eine bestandene Prüfung gilt für die Gültigkeitsdauer des Nachweises (Standard 30 Minuten) auch für alle weiteren Seiten. Sie trifft immer den Seitenaufruf, nie das Absenden eines bereits ausgefüllten Formulars.
Im Modus Beobachten wird die Prüfung nur protokolliert, die Seite wird normal ausgeliefert.
Der Nachweis ist an die Browsersitzung und an die IP-Adresse gebunden. Eine bestandene Prüfung lässt sich nicht auf ein anderes Gerät übertragen, auch nicht über dieselbe IP. Wechselt die IP-Adresse während des Besuchs (bei Mobilfunk üblich), wird die kurze Prüfung einmal erneut angezeigt.

Wer übersprungen wird: Besuchende, die eine Prüfung bereits bestanden haben, und bestätigte Suchmaschinen-Crawler — Google, Bing, Apple, DuckDuckGo und Yandex, bestätigt über einen Rückwärts-DNS-Eintrag. Adressen auf der Freigabeliste sind ebenfalls ausgenommen. Auch eingeloggte Kunden lösen die Prüfung einmal, wenn sie noch keinen Nachweis haben.

Kann ein Crawler-Zugriff nicht rechtzeitig per DNS geprüft werden, erhält er statt der Prüfseite eine vorübergehende Antwort „503 — bitte später erneut versuchen“ (siehe Häufige Fragen). Ob die Sicherheitsprüfung wirksam ist, zeigt php bin/console coe:bot-shield:config:doctor.

Cookies der Sicherheitsprüfung

Das Plugin setzt bis zu vier Cookies. Sie sind für die Sicherheitsprüfung unbedingt erforderlich und brauchen deshalb keine Einwilligung; sie erscheinen in den Cookie-Einstellungen deiner Storefront in der Gruppe der notwendigen Cookies mit Namen und Beschreibung:

Sicherheitsprüfung bestanden — merkt sich, dass dieser Browser die Prüfung gelöst hat.
Sitzung der Sicherheitsprüfung — erlaubt dem Shop, die Browser-Sitzung für seine Prüfungen und den Schutz der Hintergrundanfragen wiederzuerkennen.
Kunden-Verschonungs-Token — merkt sich, dass ein eingeloggter Kunde als vertrauenswürdig gilt; läuft nach 30 Minuten ab.
Eingaben im Registrierungsformular — hält deine Eingaben fest, während die Prüfung gelöst wird; wird kurz auf dem Server gehalten und einmal verwendet. Das Passwort wird nicht gespeichert.

Keines der Cookies enthält personenbezogene Daten. Nimm sie dennoch in deine Datenschutzerklärung auf.

Erscheinungsbild und Texte anpassen

Auf der Karte Herausforderung — Erscheinungsbild · Basic hinterlegst du ein Logo der Sicherheitsprüfung aus der Medienbibliothek und eine Akzentfarbe (Hex-Wert, Standard #0b539b; andere Eingaben fallen auf den Standard zurück). Das Logo wird im Rahmen des jeweiligen Verkaufskanals geladen — nur öffentlich zugängliche Medien erscheinen auf der Seite, private Medien bleiben ausgeschlossen.

Überschrift und Text der Sicherheitsprüfung, die Hinweisseite für nicht prüfbare Crawler und die Meldung bei HTTP 429 passt du unter Einstellungen → Shop → Snippets an: Suche dort nach coe-bot-shield. Die Texte folgen der Sprache des Verkaufskanals, unter dem der Besucher unterwegs ist, nicht der Spracheinstellung seines Browsers — ein englischsprachiger Verkaufskanal antwortet also auch deutschsprachigen Besuchern auf Englisch.

Eigene Blockierseite zeigen (ab Basic)

Statt der leeren 403-Antwort kannst du gesperrten Besuchern eine eigene CMS-Seite zeigen — etwa mit einer Erklärung und deinen Kontaktdaten:

Lege die Seite als Erlebniswelt bzw. CMS-Seite an.
Aktiviere auf der Karte Blockierseite · Basic die Option Informative Seite für gesperrte Besucher anzeigen.
Wähle die Seite im Feld CMS-Seite für gesperrte Besucher.

Die Blockierseite wirkt nur im Betriebsmodus Durchsetzen — beim Beobachten wird die Sperre nur protokolliert. Die Weiterleitung führt auch bei Shops in einem Unterverzeichnis oder mit Sprachpfad in der Domain (z. B. /de) auf die Blockierseite des richtigen Verkaufskanals — ebenso bei Antworten aus dem HTTP-Cache und bei Domains mit Umlauten (internationalisierte Domainnamen). Kann das Plugin die Domains nicht laden, steht ein Hinweis im Shop-Log.

Ist keine Seite ausgewählt oder lässt sie sich nicht laden, fällt das Plugin automatisch auf die schlichte 403 zurück. Scheitert die Darstellung der gewählten Erlebniswelt, schreibt das Plugin den Fehler zusätzlich in das Shop-Log, damit du die Ursache findest; der Besucher sieht weiterhin nur die einfache 403.

Von Hand gesperrte Adressen erhalten statt der Prüfseite die normale Sperrantwort: Eine Sperre, die du selbst gesetzt hast, bleibt absolut, und es wird kein Weg daran vorbei angeboten.