Formularz kontaktowy chroni się przed spamem pięcioma metodami: reCAPTCHA, Cloudflare Turnstile, polem pułapką (honeypot), analizą zachowania oraz limitem liczby zgłoszeń. Różnią się skutecznością, nakładem wdrożenia i tym, ile wymagają od użytkownika. Najlepszy wynik daje połączenie dwóch lub trzech metod, które działają w tle, zamiast jednego testu obrazkowego.
Ochrona formularza przed spamem: porównanie pięciu metod
| Metoda | Skuteczność | Wpływ na użytkownika | Nakład wdrożenia |
|---|---|---|---|
| reCAPTCHA (Google) | Wysoka | Od zerowego (wersja oceniająca w tle) do dużego (zadania obrazkowe) | Średni: skrypt, weryfikacja po stronie serwera, konto Google Cloud |
| Turnstile (Cloudflare) | Wysoka | Zwykle zerowy, czasem pole do zaznaczenia | Średni: widżet i weryfikacja po stronie serwera |
| Honeypot | Niska do średniej, zatrzymuje proste boty | Zerowy przy poprawnym wdrożeniu | Mały |
| Analiza zachowania | Średnia do wysokiej, zależna od reguł | Zerowy, o ile reguły nie blokują ludzi | Duży: własne reguły i ich strojenie |
| Limit zgłoszeń | Wysoka wobec masowych wysyłek, niska wobec pojedynczych | Zerowy dla większości osób | Mały do średniego |
Oceny w tabeli są jakościowe i opisują typowy formularz kontaktowy. Rzeczywista skuteczność zależy od tego, czy spam wysyłają proste skrypty, czy narzędzia sterujące prawdziwą przeglądarką.
Co to jest reCAPTCHA?
Opis i działanie
reCAPTCHA to usługa Google, która ocenia ryzyko, że formularz wypełnia bot. Występuje w dwóch głównych wariantach. Wersja z polem wyboru (znana jako v2) pokazuje pole „Nie jestem robotem” i w razie wątpliwości zadanie obrazkowe. Wersja oparta na ocenie (v3) działa w tle i zwraca wynik liczbowy, a decyzję, co zrobić ze zgłoszeniem o niskiej ocenie, podejmuje właściciel formularza.
Usługa jest dziś częścią Google Cloud. Według dokumentacji Google nie można już tworzyć nowych kluczy w starej wersji (Classic), a każdy klient ma 10 000 bezpłatnych ocen miesięcznie.
Zalety
- Wysoka skuteczność wobec zautomatyzowanych wysyłek.
- Wersja oparta na ocenie nie wymaga od użytkownika żadnego działania.
- Regularne aktualizacje i obszerna dokumentacja.
Wady
- Zadania obrazkowe przerywają wysyłkę i zniechęcają część osób, zwłaszcza na telefonie.
- Testy wizualne i dźwiękowe są barierą dla osób z niepełnosprawnościami.
- Dane o zachowaniu użytkownika trafiają do zewnętrznego dostawcy, co wymaga oceny pod kątem RODO i zgód na pliki cookie.
- Po przekroczeniu bezpłatnego limitu usługa jest płatna.
Co to jest Turnstile?
Opis i działanie
Turnstile to usługa Cloudflare, która sprawdza przeglądarkę w tle zamiast pokazywać zagadki. Według dokumentacji Cloudflare działa na dowolnej stronie, bez kierowania ruchu przez sieć Cloudflare. Widżet ma trzy tryby: zarządzany, w którym pole do zaznaczenia pojawia się tylko przy podwyższonym ryzyku, nieinteraktywny oraz niewidoczny.
Zalety
- Brak zadań obrazkowych, większość osób nie zauważa weryfikacji.
- Bezpłatny plan obejmuje do 20 widżetów na koncie i nie ogranicza liczby weryfikacji.
- Cloudflare deklaruje zgodność widżetu z WCAG 2.2 na poziomie AA.
Wady
- Wdrożenie wymaga weryfikacji tokenu po stronie serwera, tak jak przy reCAPTCHA. Sam widżet w formularzu niczego nie blokuje.
- To również zewnętrzny dostawca, więc trzeba go uwzględnić w dokumentacji przetwarzania danych.
Metoda honeypot
Opis i działanie
Honeypot to dodatkowe pole formularza ukryte przed ludźmi, które proste boty wypełniają automatycznie. Zgłoszenie z wypełnionym polem pułapką jest odrzucane.
Zalety
- Wdrożenie zajmuje niewiele czasu i nie wymaga zewnętrznej usługi.
- Użytkownik niczego nie widzi i niczego nie musi robić.
- Żadne dane nie trafiają do podmiotów trzecich.
Wady
- Boty, które uruchamiają prawdziwą przeglądarkę i pomijają ukryte pola, przechodzą bez przeszkód.
- Źle ukryte pole odczyta czytnik ekranu albo uzupełni menedżer haseł, a wtedy formularz odrzuci zgłoszenie od człowieka. Pole trzeba wyłączyć z kolejności tabulacji, ukryć przed technologiami wspomagającymi i wyłączyć w nim autouzupełnianie.
Analiza zachowania
Opis i działanie
Analiza zachowania, w pierwotnej wersji wpisu nazwana filtracją akcji, polega na ocenie zgłoszenia według własnych reguł: czasu od otwarcia strony do wysyłki, liczby zgłoszeń z jednego adresu IP, obecności linków w treści, zgodności języka wiadomości z językiem strony.
Zalety
- Reguły odpowiadają rzeczywistemu spamowi, który trafia na dany formularz.
- Całość działa po stronie serwera, bez zewnętrznego skryptu i bez wpływu na interfejs.
Wady
- Reguły trzeba napisać, obserwować i poprawiać.
- Zbyt ostre progi odrzucają prawdziwe zgłoszenia. Reguła minimalnego czasu wypełnienia odrzuci osobę, która korzysta z autouzupełniania.
Limit liczby zgłoszeń (rate limiting)
Opis i działanie
Limit zgłoszeń ogranicza liczbę wysyłek z jednego adresu IP albo jednej sesji w określonym czasie. Gdy z jednego adresu w kilka minut przychodzą setki zgłoszeń, kolejne są odrzucane.
Zalety
- Skutecznie zatrzymuje masowe wysyłki i chroni serwer oraz skrzynkę przed zalaniem.
- Progi ustawia się osobno dla każdego formularza.
Wady
- Nie zatrzymuje spamu wysyłanego powoli albo z wielu adresów.
- Osoby korzystające ze wspólnego adresu, na przykład pracownicy jednej firmy, mogą trafić na blokadę przy zbyt niskim progu.
Dostępność i prywatność przy wyborze metody
Test obrazkowy zatrzymuje nie tylko boty. W nocie „Inaccessibility of CAPTCHA” W3C opisuje, że zadania wizualne wykluczają osoby niewidome i słabowidzące, dźwiękowe osoby głuche i słabosłyszące, a jedne i drugie są trudne dla osób z niepełnosprawnościami poznawczymi. Wniosek autorów: im mniej interakcji, tym większa dostępność, dlatego w pierwszej kolejności zalecają metody działające w tle. Czy wybrane zabezpieczenie nie blokuje czytnika ekranu ani obsługi klawiaturą, pomagają sprawdzić narzędzia do testów dostępności. Dla firm objętych wymaganiami dostępności, które opisujemy we wpisie o EAA, formularz zablokowany zagadką jest też ryzykiem prawnym.
Druga kwestia to dane. reCAPTCHA i Turnstile przekazują informacje o przeglądarce użytkownika zewnętrznemu dostawcy. Google podaje, że od 2 kwietnia 2026 r. działa przy reCAPTCHA jako podmiot przetwarzający, a nie niezależny administrator. Administratorem pozostaje właściciel formularza, więc to on odpowiada za podstawę prawną, umowę powierzenia i informację w polityce prywatności. Wybór dostawcy najlepiej rozstrzygnąć już na etapie projektu, zgodnie z zasadą privacy by design.
Którą metodę wybrać?
Dla formularza kontaktowego w serwisie B2B rozsądny zestaw to honeypot i limit zgłoszeń jako podstawa oraz Turnstile albo reCAPTCHA w wersji działającej w tle jako druga warstwa. Zadania obrazkowe są uzasadnione dopiero wtedy, gdy mimo tych zabezpieczeń spam nadal przechodzi. Po wdrożeniu sprawdza się dwie liczby: ile spamu dociera do skrzynki oraz ile osób zaczyna wypełniać formularz i go nie wysyła. Spadek pierwszej kosztem wzrostu drugiej oznacza, że zabezpieczenie odstrasza klientów.
Formularz jako część ścieżki klienta
Formularz kontaktowy jest ostatnim krokiem ścieżki, na której firma pozyskuje zapytania, więc każde zabezpieczenie oceniamy także po tym, ilu osobom utrudnia wysyłkę. Gdzie na tej ścieżce użytkownicy rezygnują, pokazuje rozrysowany user flow produktu. To samo dotyczy formularzy zamówienia i kroku płatności, o którym piszemy przy wyborze bramki płatniczej. Takie miejsca sprawdzamy w Audycie UX/UI, a zabezpieczenia formularzy konfigurujemy w ramach Wdrożenia.
Najczęstsze pytania
Jak zabezpieczyć formularz kontaktowy przed spamem?
Spam z formularza kontaktowego najlepiej ogranicza połączenie dwóch lub trzech metod działających w tle. Podstawą są pole pułapka (honeypot) i limit zgłoszeń, a drugą warstwą Turnstile albo reCAPTCHA w wersji oceniającej bez udziału użytkownika. Zadania obrazkowe mają uzasadnienie dopiero wtedy, gdy mimo tych zabezpieczeń spam nadal dociera do skrzynki.
Czy reCAPTCHA jest zgodna z RODO?
Sama usługa o tym nie przesądza. reCAPTCHA przekazuje informacje o przeglądarce użytkownika do Google, które od 2 kwietnia 2026 r. działa jako podmiot przetwarzający. Administratorem pozostaje właściciel formularza, więc to on odpowiada za podstawę prawną, umowę powierzenia, informację w polityce prywatności oraz ocenę zgód na pliki cookie.
