powermailrecaptcha für TYPO3

Powermail ohne Spam-Schutz wird innerhalb von Wochen zur Müllhalde

Powermail ist neben dem Core-Formular die meistgenutzte Formular-Extension für TYPO3. Über 2,7 Millionen Abrufe (Stand: Packagist, September 2026), von Kontaktformularen über Bewerbungsformulare bis zu komplexen mehrstufigen Anfragestrecken. Das Problem: Jedes öffentlich erreichbare Formular ohne CAPTCHA wird früher oder später von Bots gefunden. Typische Folge: 200 bis 500 Spam-Einträge pro Tag, volle Postfächer, verrauschte Statistiken und Formulare, die Mitarbeitende irgendwann ignorieren, auch die echten Anfragen darin.

powermailrecaptcha ist die offizielle Ergänzung zu Powermail, die Google reCAPTCHA v2 in Powermail-Formulare integriert. Die Extension wird von in2code (dem Powermail-Entwickler) selbst gepflegt und in jeder Version auf die passende Powermail-Reihe abgestimmt.

Typische Einsatzszenarien

Kontaktformulare auf Unternehmenswebsites. Das Standard-Szenario: ein Formular mit Name, E-Mail, Nachricht und Absenden-Button. Ohne CAPTCHA kommen täglich 50 bis 300 Spam-Nachrichten rein, meist mit Links zu Pharma- oder Casino-Seiten. powermailrecaptcha setzt hier die Checkbox von reCAPTCHA v2 ein: ein Klick für den Nutzer, bei verdächtigem Verhalten stellt Google zusätzlich eine Bildaufgabe. Wer die Prüfung nicht besteht, wird als Bot gewertet und die Absendung blockiert.

Bewerbungsformulare mit Dateiupload. Karriereseiten, auf denen Bewerber Lebenslauf und Anschreiben hochladen, sind besonders Spam-anfällig, weil Bots über die Upload-Funktion Malware verteilen. reCAPTCHA filtert die automatisierten Anfragen. Zusätzlich sollte eine serverseitige Dateityp-Prüfung (nur PDF, DOCX) und eine Größenbeschränkung (max. 10 MB) aktiv sein.

Mehrstufige Formulare mit Conditional Logic. Mit der Zusatz-Extension powermail_cond kann Powermail Formulare mit Bedingungen bauen: Wenn “Branche = Immobilien” gewählt wird, erscheinen zusätzliche Felder. Bei solchen Formularen reicht ein CAPTCHA auf der letzten Seite vor dem Absenden. powermailrecaptcha bringt dafür einen eigenen Feldtyp mit, der sich auf diese letzte Seite legen lässt, und funktioniert so auch bei Multi-Step-Formularen.

Technische Architektur

powermailrecaptcha erweitert Powermail über dessen Spamschutz: eine eigene Spam-Shield-Methode und seit Version 13.1.0 zusätzlich einen Validator, beide per TypoScript registriert. Beim Rendern des Formulars wird das reCAPTCHA-JavaScript eingebunden (von google.com/recaptcha/api.js). Beim Absenden wird das reCAPTCHA-Token serverseitig validiert: TYPO3 ruft https://www.google.com/recaptcha/api/siteverify mit dem Token und dem Secret Key als URL-Parametern auf. Google antwortet mit einer Bestätigung (success).

Die Konfiguration erfolgt über TypoScript-Konstanten: Site Key und Secret Key (aus der Google reCAPTCHA Admin Console) sowie die Sprache des Widgets. Die Keys werden im TYPO3-Backend unter Constants gepflegt, idealerweise über Environment-Variablen, damit sie nicht im Git-Repository landen.

powermailrecaptcha rendert nur die Checkbox von reCAPTCHA v2, unsichtbare Varianten wie v3 oder v2 Invisible unterstützt es nicht. Es erscheint das bekannte “Ich bin kein Roboter”-Widget. Bei verdächtigem Verhalten zeigt Google nach dem Klick zusätzlich eine Challenge (Bildauswahl) an.

Häufige Probleme und Lösungen

DSGVO-Bedenken wegen Google-Verbindung. reCAPTCHA lädt JavaScript von Google-Servern und überträgt die IP-Adresse des Nutzers an Google. Ohne Einwilligung ist das ein reales Risiko. Lösung: reCAPTCHA nur laden, wenn der Nutzer per Cookie-Banner zugestimmt hat (Consent-Integration). Oder komplett auf Alternativen umsteigen: Friendly Captcha (Anbieter aus Deutschland, kein Tracking, EU-Endpunkt ab dem Tarif Advanced), hCaptcha (US-Anbieter, verarbeitet Daten in den USA) oder eine reine Honeypot-Strategie ohne externe Dienste.

reCAPTCHA v3 blockiert echte Nutzer. Der Score-Algorithmus ist eine Blackbox. Manche echte Nutzer (z.B. hinter VPN, mit Adblocker, auf älteren Geräten) erhalten niedrige Scores und werden fälschlich blockiert. Lösung: Bei einer eigenen v3-Anbindung den Threshold nicht auf 0.5 setzen, sondern auf 0.3, und zusätzlich ein Honeypot-Feld einbauen; powermailrecaptcha selbst nutzt die Checkbox von v2. Alternativ: Bei niedrigem Score ein Fallback auf reCAPTCHA v2 Checkbox anzeigen, statt direkt zu blockieren.

Extension-Konflikt mit Content Security Policy. Seit TYPO3 v12 unterstützt der Core Content Security Policies (CSP). reCAPTCHA-JavaScript von google.com muss in der CSP erlaubt werden, sonst wird es blockiert. Lösung: In der CSP-Konfiguration script-src für https://www.google.com/recaptcha/ und https://www.gstatic.com/recaptcha/, frame-src für https://www.google.com/recaptcha/ und https://recaptcha.google.com/recaptcha/ sowie connect-src für https://www.google.com/recaptcha/ ergänzen.

Migration und Versions-Kompatibilität

powermailrecaptcha unterstützt TYPO3 v11 und v12 mit der Reihe 5.2.x und TYPO3 v13 seit Version 13.0.0. Die Extension folgt dem Release-Zyklus von Powermail: für TYPO3 v13 erschien powermailrecaptcha vier Wochen nach Powermail, für v12 sieben Monate danach. Für TYPO3 v14 gibt es beide bisher nur im Early Access Programm von in2code; die freien Versionen sind für Januar 2027 angekündigt.

Für Projekte, die von reCAPTCHA auf eine DSGVO-freundlichere Alternative wechseln wollen, ist der Umbau überschaubar. Friendly Captcha bietet mit der Extension friendlycaptcha_official von Studio Mitte ein eigenes Powermail-Feld, das an die Stelle des reCAPTCHA-Felds tritt: Extension installieren, Keys eintragen, im Formular das Feld tauschen, powermailrecaptcha deaktivieren. Die übrige Formular-Konfiguration in Powermail bleibt unverändert. Gosign empfiehlt Friendly Captcha als Standard für neue Projekte und bietet die Umstellung bestehender Formulare als Pauschalleistung an.

Ein oft übersehener Aspekt ist die Spam-Prävention jenseits von CAPTCHAs. Powermail bietet nativ ein Honeypot-Feld (ein unsichtbares Formularfeld, das nur Bots ausfüllen). In Kombination mit einer Zeitprüfung (Formular muss mindestens 3 Sekunden geöffnet sein, bevor es abgesendet werden kann) lässt sich ein Großteil des automatisierten Spams ohne externe Dienste filtern. Gosign setzt in Projekten, bei denen DSGVO-Konformität Priorität hat, eine dreistufige Strategie ein: Honeypot und Zeitprüfung als erste Schicht (0 externe Requests), Friendly Captcha als zweite Schicht (EU-Server) und serverseitige Inhaltsanalyse als dritte Schicht (Link-Dichte, Sprache, bekannte Spam-Muster). Diese Kombination erreicht eine Spam-Erkennungsrate von über 99 % ohne Google-Dienste.

Für den Umstieg von powermailrecaptcha auf Friendly Captcha rechnet Gosign mit 2 bis 4 Stunden pro Website, inklusive Installation, Konfiguration, Test aller Formulare und Deaktivierung der alten Extension.