垃圾詢問・驗證碼（CAPTCHA）

詢問表單的垃圾訊息要怎麼擋？有哪些方法？

防垃圾訊息與其靠單一機制，不如多種方法搭配使用，效果更好。先用客人看不到的方法，垃圾訊息還是很多時再加上驗證碼，這樣的順序最能減少客人的不便。

不管用哪種方法，最後都要在伺服器端再確認一次。如果只在畫面上放驗證碼、伺服器卻不檢查結果，自動程式就會跳過畫面，直接把內容送到伺服器。

垃圾訊息的來源不只有詢問表單。直接寫在網站上的Email地址，很容易被自動程式抓走，列進垃圾郵件名單。如果一定要公開Email地址，請同時提供詢問表單，並開啟郵件服務的垃圾郵件過濾功能。

蜜罐（Honeypot）怎麼擋垃圾訊息？

蜜罐是在表單裡藏一個人眼看不到的輸入欄位，只要這個欄位被填寫，就把那筆詢問丟掉。人看不到，自然會留空；會自動填滿所有欄位的程式就會上鉤。

優點是客人什麼都不用做，完全沒有不便。不過要處理成連輔助科技也看不到這個欄位，以免使用螢幕報讀軟體的客人讀到並填寫它。

蜜罐對簡單的自動程式很有效，但像真實瀏覽器一樣讀取畫面的程式可能會避開。所以通常會和限制送出次數或驗證碼一起使用。

如果收到的垃圾訊息大多是簡單的自動廣告，光靠蜜罐和限制送出次數，就可能減少不少。對客人完全沒有不便，很值得在加驗證碼之前先試試看。

reCAPTCHA和Turnstile有什麼不同？

兩者都是用來分辨真人和自動程式的驗證碼服務。reCAPTCHA由Google提供，Turnstile由Cloudflare提供，兩者都支援在背後判斷、讓大多數客人不用解題就能通過的方式。

reCAPTCHA的說明正逐步轉移到Google Cloud服務，可用的功能和收費條件可能會改變。Turnstile則表示，沒有經過Cloudflare的網站也能使用。不管選哪一個，套用前都請到官方文件確認目前的條件。

兩種服務在驗證過程中都會處理訪客資訊。所以加裝時，也要一併評估是否需要在隱私權政策中寫明使用了外部服務。

詢問表單加裝防垃圾訊息的步驟是什麼？

防垃圾訊息最好先看「現在來的是哪種垃圾訊息、有多少」，再依需要適度加裝。一開始就裝最強的機制，可能連真正的客人都擋掉。

加裝之後，也要不時確認真正的詢問有沒有被擋下。如果聽到客人說「送出詢問了卻沒有回音」，請先檢查是不是被驗證碼設定或內容檢查規則擋住了。

1. 01看看最近的詢問，整理出一天有幾則垃圾訊息、內容是什麼。
2. 02先加上蜜罐和限制送出次數這類客人看不到的方法。
3. 03垃圾訊息還是很多的話，再加上Turnstile或reCAPTCHA這類驗證碼。
4. 04設定讓伺服器再次確認驗證碼的結果。
5. 05用手機和電腦親自送出真正的詢問，確認有沒有正常收到。
6. 06也確認詢問通知信沒有跑到垃圾郵件匣。
7. 07觀察幾週的垃圾訊息數量，再調整設定。

怎麼分辨垃圾詢問裡的詐騙？

詐騙詢問大多會恐嚇您或催您趕快行動。像是「你侵害著作權，我要提告，請查看附件」、「保證搜尋第1名」、「我發現你網站的漏洞，付錢就告訴你」這類詢問，就是常見的例子。

很多詐騙的目的是讓您打開附件或點擊連結。就算內容看起來很像真的，也不要從詢問裡的連結進去，請透過您原本就知道的官方網站或電話號碼直接確認。

詐騙詢問大多是把類似的句子一模一樣地寄給許多店家。拿收到的句子的一部分去搜尋，常常會找到其他人說自己也收到同樣內容的文章。

如果收到可疑的簡訊・Email，或是已經點了連結，可以打KISA網路保護網的諮詢專線118詢問。如果有維護廠商，也請一併通知，請他們確認網站端有沒有問題。

加裝防垃圾訊息時常犯哪些錯誤？

最危險的錯誤，是放著詢問表單的「自動回覆信」不管。自動程式填入別人的Email地址送出表單後，我們的網站就會寄信給那個人，我們的信箱也可能被標記成垃圾郵件發送來源。

交給廠商處理時，請問清楚不只詢問表單，預約表單・會員註冊・留言這些接收內容的地方是不是都有防護。Google也建議，在使用者可以留下內容的地方加上驗證碼和審核等機制。

如果詢問通知只寄到一個代表信箱，真正的詢問很容易被埋在垃圾訊息裡。讓詢問也以清單形式留在管理後台，或再多設一個接收通知的地方，就能減少漏掉的詢問。

• 只在畫面上加驗證碼，伺服器卻沒有檢查
• 設定太嚴格，真正的客人送不出詢問
• 只擋了詢問表單，預約表單・會員註冊・留言都沒處理
• 自動回覆信直接帶入客人填寫的內容寄出
• 設定完沒有親自送出詢問測試