Registrierungsschutz einrichten (Basic)

Der Registrierungsschutz bremst Konto-Farmen, ohne echte Neukunden auszusperren. Er prüft Registrierungen — Gast-Bestellungen zählen mit, weil sie dasselbe Formular absenden — und teilweise den Bestellabschluss. Du stellst ihn in der Plugin-Konfiguration auf der Karte Registrierungsschutz · Basic ein. Wähle zuerst eine Schutzstufe; die Einzelwerte gelten nur unter Benutzerdefiniert.

Alle Prüfungen greifen nur im Betriebsmodus Durchsetzen. Im Modus Beobachten wird nur protokolliert. Adressen auf der Freigabeliste sind von allen Prüfungen an der Registrierung ausgenommen. Jede Entscheidung erscheint im Protokoll — es wird nichts automatisch storniert oder abgelehnt, und keine Adresse wird dauerhaft gesperrt.

Die Reaktionen

Für die meisten Prüfungen wählst du, was bei einem Treffer passiert:

• Rechenaufgabe (Proof-of-Work) — die nächste Registrierung erhält die vorhandene Rechenaufgabe. Echte Kundschaft löst sie und wird durchgelassen; automatisierte Massenanlagen scheitern daran.
• Mit HTTP 429 beantworten — die Registrierung wird mit „Zu viele Anfragen“ abgewiesen, auch wenn schon eine Rechenaufgabe gelöst wurde, denn eine gelöste Aufgabe beweist einen Browser, keine echte Adresse.
• Nur markieren — der Treffer wird protokolliert, die Registrierung läuft durch.

Wo eine Rechenaufgabe nicht gestellt werden kann — bei Headless-/Store-API-Aufrufen, bei im Hintergrund abgeschickten Formularen oder wenn du die Rechenaufgabe abgeschaltet hast —, fällt die Reaktion je nach Prüfung auf HTTP 429 oder nur auf Markieren zurück; der Hilfetext am Feld nennt den Fall. Ein im Hintergrund abgeschicktes Formular bekommt keine unlösbare Prüfung vorgesetzt, sondern wird protokolliert und durchgelassen.

Unterbricht eine Prüfung eine Registrierung, stehen deine Angaben danach wieder im Formular; das Passwort wird bewusst nicht zwischengespeichert und ist erneut einzugeben. Eine bestandene Rechenaufgabe deckt genau einen erfolgreichen Vorgang ab. Ein abgebrochener oder fehlerhafter Versuch (z. B. vertippte E-Mail) verbraucht die Freigabe nicht.

Den Text der Abweisung bei HTTP 429 passt du über die Snippets an (siehe Sicherheitsprüfung); er nennt neben dem erneuten Versuch den direkten Kontakt zum Shop.

Registrierungslimits pro Minute

Der Konto-Tempo-Schutz begrenzt die Registrierungen pro Minute (Standard: an):

• Registrierungslimit pro Minute (Standard 30) — das Maximum für den ganzen Shop. Es wirkt sofort, ohne Lernphase.
• Registrierungslimit pro Adresse und Minute (Standard 3) — wie viele Registrierungen eine einzelne Adresse senden darf.
• Überschreitungsreaktion (Standard: Mit HTTP 429 beantworten).

Die Reaktion trifft nur eine Adresse, die über ihrem eigenen Limit liegt, und nur solange der Shop insgesamt über seinem Limit liegt. Wer eine einzelne Registrierung absendet, bleibt unbehelligt. Die Meldung bei HTTP 429 trägt eine Wartezeit für den erneuten Versuch.

Registrierungswellen pro Netzbereich

Das Registrierungs-Zeitfenster erkennt Wellen aus einem einzelnen Netzbereich (bei IPv4 ein /24, bei IPv6 ein /64), die über Stunden laufen und pro Minute nicht auffallen:

• Registrierungs-Zeitfenster (Stunden) (Standard 24) — die Länge des gleitenden Fensters.
• Konten pro Netzbereich im Zeitfenster (Standard 40) — wie viele Konten ein Bereich im Fenster anlegen darf. Die nächste Registrierung aus einem Bereich über dieser Obergrenze erhält die gewählte Reaktion.
• Reaktion bei überschrittener Obergrenze (Standard: Rechenaufgabe) — wer die Aufgabe einmal gelöst hat, wird nicht erneut gefragt. Bei HTTP 429 gilt die Abweisung für Storefront und Store-API.
• Baseline-Lernfenster (Tage) (Standard 7) — sobald der Shop genug eigene Historie hat, steigt die Obergrenze auf den gemessenen Normalwert deines Shops, falls dieser höher liegt. Sie sinkt nie unter den eingestellten Wert.

In der Übersicht zeigt eine Zeile unter den Kennzahlen, welche Obergrenze gerade gilt und wie viele Auffälligkeiten es in den letzten 24 Stunden gab.

Der Schalter Konto-Tempo-Schutz aktivieren (Standard: an) steuert das Registrierungslimit pro Minute und das Zeitfenster gemeinsam; das Zeitfenster hat zusätzlich einen eigenen Schalter.

Neue E-Mail-Domains

Werden in kurzer Zeit auffällig viele Konten auf einer Domain angelegt, die im Shop erst seit Kurzem auftaucht, erhält die Registrierung die Rechenaufgabe. Die Erkennung wertet die tatsächlichen Konten im Shop aus — sie greift sofort, ohne Lernphase, und etablierte Domains wie große Freemail-Anbieter lösen die Prüfung nicht aus. Keine Domain wird dauerhaft gesperrt: Eine echte Firmen-Domain wird nach einmaligem Lösen normal bedient und gilt nach kurzer Zeit als bekannt.

• Domain-Neuheit-Schutz aktivieren (Standard: an).
• Neuheit-Altersschwelle (Tage) (Standard 14) — eine Domain, die seit weniger Tagen im Registrierungs-Stream auftaucht, gilt als neu.
• Neuheit-Volumen-Schwellenwert (24 h) (Standard 10) — mehr Konten als diese Zahl innerhalb von 24 Stunden lösen die Reaktion aus. Gemessen liegt das Maximum auf einer legitimen neuen Firmendomain bei 7.
• Neuheit-Reaktion (Standard: Rechenaufgabe, alternativ nur markieren).

Store-API-Registrierungen deckt dieses Signal nicht ab.

Nicht-Browser-Clients

Meldet sich ein Client als App-Laufzeitumgebung (z. B. Electron) statt als echter Browser, kann bei Registrierung und Bestellabschluss die Rechenaufgabe gestellt werden. Headless-/Store-API-Aufrufe werden gedrosselt (HTTP 429). Die Kennung von Desktop-Apps wie Discord oder anderen Electron-Anwendungen zählt dabei nie allein als Hinweis gegen ein ganzes Netz: Ein Netzbereich, aus dem viele Besucher mit einer solchen App kommen, wird nicht allein deswegen als Bot-Flotte gesperrt — weder von der automatischen Flotten-Erkennung noch vom KI-Analysten.

• Client-Signatur-Schutz aktivieren (Standard: an).
• Nicht-Browser-Client-Reaktion (Standard: Rechenaufgabe, alternativ nur markieren).

Adress-Duplikate und Adress-Cluster

Betrüger legen viele Konten an derselben Lieferadresse an. Zwei Prüfungen arbeiten hier zusammen; beide speichern nur nicht rückverfolgbare Kennungen, nie die Adresse im Klartext.

Adress-Duplikat-Erkennung (Standard: an) — wird dieselbe Lieferadresse von einer einstellbaren Zahl verschiedener Kundinnen und Kunden genutzt, erhalten alle betroffenen Konten automatisch ein frei wählbares Schlagwort (Tag). Es ist ein Hinweis-Marker für dich, auf den das Plugin selbst nicht handelt; du kannst es für eigene Flow-Builder-Regeln oder Kundensegmente nutzen. Das Tag wird wieder entfernt, sobald der Beobachtungszeitraum ohne neuen Treffer endet. Die Erkennung greift bei Registrierung und Bestellabschluss und erfasst auch Gast-Registrierungen.

• Markierungs-Tag — das Tag; leer lassen, um Treffer nur aufzuzeichnen.
• Schwellenwert für unterschiedliche Kunden (Standard 3).
• Erkennungsfenster (Tage) (Standard 30).

Adress-Cluster (Reaktion bei der Registrierung, Standard: an) — Hat eine Adresse im Erkennungsfenster bereits den Schwellenwert für Adress-Cluster (Standard 20) an unterschiedlichen Konten erreicht, erhält die nächste Registrierung von dieser Adresse die Adress-Cluster-Reaktion (Standard: Mit HTTP 429 beantworten). Das gilt für Neuregistrierungen und Gast-Bestellungen; ein eingeloggter Kunde ist nie betroffen, und Adressen mit weniger Konten als der Schwellenwert auch nicht. Store-API-Registrierungen sind nicht abgedeckt.

Bestellungen erweitern den Spielraum einer Adresse:

• Bot Shield prüft die tatsächlichen Bestellungen des Shops an dieser Adresse, auch solche vor der Installation und von Gastkunden. Gültig ist eine abgeschlossene oder (teilweise) bezahlte Bestellung; storniert ist eine Bestellung im Status „Abgebrochen“, und sie zählt nie als gültig. Maßgeblich ist der aktuelle Stand, nicht ein offener Bearbeitungsentwurf.
• Jede gültige Bestellung erlaubt an der Adresse so viele weitere Konten, wie der Schwellenwert angibt — mit einer Bestellung mehr als stornierten also das Doppelte, mit zweien das Dreifache und so weiter. Jede stornierte Bestellung nimmt diesen Spielraum wieder weg; gibt es mindestens so viele stornierte wie gültige, gilt wieder der einfache Schwellenwert.
• Eine einzelne Bestellung hebt den Schutz also nicht dauerhaft auf: Darüber hinaus erhalten Registrierungen von dieser Adresse wieder die Cluster-Reaktion — auch die eines echten Bewohners.

Treffer erscheinen im Protokoll unter der Regel address_cluster, jeweils mit einer kurzen Adress-Kennung. So erkennst du, wie viele verschiedene Adressen betroffen sind.