Антиспам для форм без обязательной капчи: защита до сохранения заявок и журнал причин

Сделайте резервную копию сайта и базы данных. По документации версии 1.2.11 модулю требуется PHP 8.0 или новее; для собственного пазла — расширение GD. Для бесшумной защиты ключи Google и Яндекса не нужны.

Способ обработки форм зависит от шаблона и компонентов сайта. Проверяйте модуль в демо-режиме до покупки.

1. Установите решение topman.antibot через Маркетплейс в административной части 1С-Битрикс.
   
2. Откройте раздел «Top Man Digital» → «Защита от ботов и спама».
   
3. Выберите нужный сайт, если используется многосайтовость. Настройки защиты задаются отдельно для каждого сайта.
   

Кнопка «Настройки» в списке установленных решений открывает права доступа. Основные параметры защиты находятся на странице самого модуля.

После установки защита выключена. Само скачивание модуля ещё не включает фильтрацию заявок.

1. На вкладке «Бесшумная защита» включите «Модуль включён» и «Бесшумная защита форм».
   
2. Просмотрите включённые проверки. Если посетители пишут на иностранных языках, отключите проверку длинных сообщений без кириллицы. Подберите лимит ссылок и минимальное время заполнения под свои формы.
   
3. Сохраните настройки.
   

Не включайте одновременно все дополнительные ограничения на действующем сайте. Начните с базовой защиты и проверьте результат.

1. Откройте публичную часть сайта в режиме инкогнито, без административной авторизации.
   
2. Отправьте каждую важную форму с обычными данными клиента. Проверьте формы в модальных окнах и AJAX-формы.
   
3. Убедитесь, что сообщение об успехе появилось, письмо дошло и обращение сохранилось там, где его ждёт менеджер.
   
4. Повторите проверку с телефона и для регистрации или подписки, если используете их на сайте.
   
5. Посмотрите вкладку «Журнал». Для диагностики можно временно включить запись всех проверенных отправок на вкладке «Состояние».
   

Режим «пишется всё» расширяет журнал, но не отключает блокировку. Это не режим наблюдения без вмешательства в работу форм.

1. На вкладке «Проверка» выберите пазл, арифметический пример, логический вопрос или внешнюю капчу.
   
2. Для Yandex SmartCaptcha или Google reCAPTCHA укажите ключ сайта и секретный ключ. Собственному пазлу ключи не нужны.
   
3. На вкладке «Формы» включите «Явная защита форм» и отметьте только те формы, которым нужна дополнительная проверка.
   
4. Сохраните настройки и пройдите весь путь отправки в новом сеансе инкогнито.
   

Список форм наполняется при открытии страниц сайта. Если нужной формы пока нет, сначала откройте страницу с ней.

Форму можно определить по существующему id или name. Другой вариант — добавить собственный ключ в разметку:

Тот же ключ request-form укажите на вкладке «Формы». Этот способ относится к явной проверке формы и не заменяет проверку работы её серверного обработчика.

Для стандартного сохранения в инфоблок у модуля есть отдельный обработчик. Но сторонний компонент может записывать заявку напрямую в собственную таблицу, не вызывая события Битрикса.

1. Определите точный адрес, на который форма отправляет POST-запрос.
   
2. На вкладке «Формы» в разделе «Защита страниц» включите «Проверять до обработки страницы» и добавьте нужный адрес. Не начинайте с общей маски для всего сайта.
   
3. Для AJAX-обработчика, который возвращает данные, в поле «Что требовать на этих адресах» оставьте только бесшумные проверки. Не требуйте прохождения видимой проверки на адресе, где её невозможно показать.
   
4. Проверьте обычную отправку, обработку отказа и отсутствие записи спам-заявки в хранилище компонента.
   

Не добавляйте без отдельной проверки платёжные уведомления, вебхуки, обмен с 1С и другие машинные интеграции. Они могут законно отправлять запросы без браузера. Нестандартная форма может потребовать дополнительной настройки отображения ошибки.

Если конкретная форма несовместима с добавлением скрытых полей, внесите её в поле «Формы-исключения» на вкладке «Бесшумная защита». Пример фрагмента открывающего тега:

Страницы-исключения задаются масками адресов, по одной в строке. Например: /personal/*. Чем шире исключение, тем больше запросов окажется вне проверки.

По умолчанию журнал хранит отказы 30 дней. Значения полей формы не записываются. Сохранение содержимого отклонённых отправок включается отдельно на вкладке «Состояние»; перед включением оцените допустимость дополнительного хранения пользовательских данных.

Для передачи журнала подрядчику можно включить маскировку IP-адресов. Не отправляйте журнал с пользовательскими данными в публичные обсуждения.

На вкладке «Состояние» проверьте строку «Ваш адрес глазами модуля». Если определяется адрес балансировщика вместо адреса посетителя, настройте доверенные прокси. Не объявляйте доверенными произвольные сети: от этого зависит достоверность IP-адреса для лимитов и списков.

1. Найдите соответствующее событие в журнале и посмотрите причину отказа.
   
2. Проверьте настройки сработавшей проверки и совместимость формы. При необходимости скорректируйте именно её, а не ослабляйте все проверки сразу.
   
3. Если нужно немедленно восстановить приём заявок, выключите модуль общим переключателем и обратитесь в поддержку.
   
4. Для разработчика предусмотрено аварийное отключение константой TOPMAN_ANTIBOT_DISABLE. Не редактируйте системные файлы сайта без резервной копии и понимания порядка подключения кода.
   

По вопросам установки и совместимости пишите на marketplace@topman.dev. Укажите версию модуля, версию PHP, используемый шаблон, адрес страницы и причину из журнала. Пароли и секретные ключи в публичные сообщения не присылайте.

Почта: marketplace@topman.dev.

Telegram: t.me/tmd_svosko.

Рабочее время: понедельник — пятница, 10:00–18:00 МСК, по производственному календарю. Срок ответа — до двух рабочих дней.

• Код решения: topman.antibot, версия модуля и PHP.
  
• Адрес страницы с формой, название шаблона или компонента.
  
• Что происходит: спам проходит, обычная заявка блокируется или проверка не завершается.
  
• Последовательность действий, время ошибки и причина из журнала.
  
• Скриншот, если проблема связана с отображением формы.
  

Не присылайте пароли, секретные ключи капчи и пользовательские данные в публичные обсуждения. Если для диагностики потребуется доступ, согласуем его отдельно.