Turnstile

Turnstile is een controle van Cloudflare die op je formulieren echte mensen van spamrobots onderscheidt, zonder dat bezoekers puzzels oplossen. Dat houdt spam uit je formulieren en laat bezoekers met rust. Het is een alternatief voor de bekende CAPTCHA’s met vervormde letters.

Wat is Turnstile?

Je plaatst een kleine widget op een pagina en die voert op de achtergrond een controle uit. Slaagt die, dan geeft de widget het formulier een token dat je server kan controleren. De bezoeker ziet meestal weinig of niets, en dat is de bedoeling.

Klassieke CAPTCHA’s vragen mensen op stoplichten te klikken of vervormde letters te lezen. Turnstile probeert vast te stellen dat een bezoeker een echt mens is met signalen uit de browser, en toont alleen een zichtbare stap als dat nodig is. Cloudflare presenteert het als alternatief voor traditionele CAPTCHA’s, en het kan worden gebruikt op pagina’s die verder niet via Cloudflare lopen.

Om het te gebruiken maak je in je Cloudflare-account een widget. Daarmee krijg je twee sleutels: een sitesleutel, die in de pagina komt en openbaar is, en een geheime sleutel, die je alleen aan de serverkant bewaart. De namen en de exacte stappen kunnen veranderen, dus volg de actuele documentatie van Cloudflare als je het instelt.

Wat Turnstile betekent voor je PHP-site

Contactformulieren, reactieformulieren en inlogformulieren trekken geautomatiseerde inzendingen aan. Op een PHP-site start elke inzending PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt. en schrijft mogelijk naar een database of verstuurt een e-mail, dus een stortvloed spam kost servertijd en vult inboxen. Een controle vooraan het formulier vermindert dat.

Op een statische websiteEen statische website bestaat uit kant-en-klare pagina's die de server alleen hoeft af te geven, zonder dat er bij elk bezoek iets wordt berekend. staat er geen PHP achter het formulier, dus de controle verhuist naar een kleine functie. Die ontvangt de formuliergegevens en het token, vraagt Cloudflare of het token geldig is en geeft het bericht pas daarna door. Een serverlessServerless is een manier om kleine stukjes code te laten draaien op het platform van een aanbieder, zonder dat je zelf een server beheert. functie is daar een logische plek voor. Hetzelfde idee geldt voor XML-RPCXML-RPC is een oude manier waarop apps en diensten op afstand met WordPress praten, via het bestand xmlrpc.php. en andere inlogeindpunten van WordPressWordPress is een programma waarmee je een website maakt en beheert zonder te hoeven programmeren., waar geautomatiseerde pogingen veel voorkomen, al vragen die ook andere beschermingen.

Zo voeg je het veilig toe

1. Maak de widget in je Cloudflare-account en noteer de sitesleutel en de geheime sleutel.
2. Zet de widgetcode met de sitesleutel op de pagina met het formulier.
3. Lees in je formulierverwerker het token dat met de inzending meekomt.
4. Stuur vanaf je server het token en de geheime sleutel naar het verificatie-eindpunt van Cloudflare.
5. Accepteer de inzending alleen als Cloudflare bevestigt dat het token geldig is.

Houd de geheime sleutel buiten de pagina en buiten elke openbare coderepository. Bewaar hem in de geheime opslag van je platform. Valideer ook de formuliervelden zelf, want een geldig token zegt niet dat de inhoud veilig is.

De opzet testen

Verstuur het formulier als gewone bezoeker en controleer of het aankomt. Verstuur het daarna zonder token, bijvoorbeeld door de verwerker rechtstreeks aan te roepen, en controleer dat het wordt geweigerd. Doen beide wat je verwacht, dan is de controle goed aangesloten. Kijk na een paar dagen in je logs om te zien hoeveel inzendingen worden geblokkeerd.

Wanneer onderneem je actie

Voeg een controle als Turnstile toe als je formulier spam aantrekt, als je naar een statische site gaat en de verwerking op de server vervangt, of als je een oudere CAPTCHA wilt laten vallen. Onze aanpak voor een headless website bevat formulieren die werken zonder PHP op de server.