powermailrecaptcha dla TYPO3

Powermail bez ochrony antyspamowej w ciągu tygodni zmienia się w wysypisko

Powermail to obok formularza z core najczęściej używane rozszerzenie formularzy dla TYPO3. Ponad 2,7 mln pobrań (stan: Packagist, wrzesień 2026) - od formularzy kontaktowych przez formularze rekrutacyjne po złożone wieloetapowe ścieżki zapytań. Problem: każdy publicznie dostępny formularz bez CAPTCHA prędzej czy później zostaje odnaleziony przez boty. Typowa konsekwencja: od 200 do 500 wpisów spamowych dziennie, przepełnione skrzynki pocztowe, zaszumione statystyki i formularze, które pracownicy w końcu ignorują - łącznie z prawdziwymi zapytaniami.

powermailrecaptcha to oficjalne uzupełnienie Powermail, które integruje Google reCAPTCHA v2 z formularzami Powermail. Rozszerzenie jest utrzymywane przez in2code (twórcę Powermail), a każda wersja jest dopasowana do odpowiedniej serii Powermail.

Typowe scenariusze zastosowań

Formularze kontaktowe na stronach firmowych. Standardowy scenariusz: formularz z imieniem, e-mailem, wiadomością i przyciskiem wysyłania. Bez CAPTCHA codziennie wpada od 50 do 300 wiadomości spam, głównie z linkami do stron farmaceutycznych czy kasynowych. powermailrecaptcha używa tu checkboxa reCAPTCHA v2: jedno kliknięcie dla użytkownika, a przy podejrzanym zachowaniu Google dodaje zadanie z obrazkami. Kto nie przejdzie weryfikacji, jest klasyfikowany jako bot i wysyłka jest blokowana.

Formularze aplikacyjne z uploadem plików. Strony karierowe, na których kandydaci przesyłają CV i list motywacyjny, są szczególnie podatne na spam, ponieważ boty rozpowszechniają malware przez funkcję uploadu. reCAPTCHA filtruje automatyczne zapytania. Dodatkowo powinna być aktywna serwerowa weryfikacja typu pliku (tylko PDF, DOCX) i ograniczenie rozmiaru (maks. 10 MB).

Wieloetapowe formularze z logiką warunkową. Z dodatkowym rozszerzeniem powermail_cond Powermail może budować formularze z warunkami: gdy wybrano “Branża = Nieruchomości”, pojawiają się dodatkowe pola. Przy takich formularzach wystarczy CAPTCHA na ostatniej stronie przed wysłaniem. powermailrecaptcha dostarcza do tego własny typ pola, który można umieścić na tej ostatniej stronie, więc działa również przy formularzach Multi-Step.

Architektura techniczna

powermailrecaptcha rozszerza Powermail przez jego ochronę antyspamową: własną metodę Spam Shield i od wersji 13.1.0 dodatkowo walidator, oba rejestrowane przez TypoScript. Przy renderowaniu formularza jest dołączany JavaScript reCAPTCHA (z google.com/recaptcha/api.js). Przy wysyłaniu token reCAPTCHA jest walidowany po stronie serwera: TYPO3 wywołuje https://www.google.com/recaptcha/api/siteverify z tokenem i Secret Key jako parametrami URL. Google odpowiada potwierdzeniem (success).

Konfiguracja odbywa się przez stałe TypoScript: Site Key i Secret Key (z Google reCAPTCHA Admin Console) oraz język widżetu. Klucze są zarządzane w backendzie TYPO3 pod Constants, idealnie przez zmienne środowiskowe, aby nie trafiały do repozytorium Git.

Częste problemy i rozwiązania

Obawy dotyczące RODO z powodu połączenia z Google. reCAPTCHA ładuje JavaScript z serwerów Google i przesyła adres IP użytkownika do Google. Bez zgody to realne ryzyko. Rozwiązanie: ładowanie reCAPTCHA tylko po zgodzie użytkownika przez baner cookie (integracja consent). Lub całkowite przejście na alternatywy: Friendly Captcha (niemiecki dostawca, bez śledzenia, endpoint w UE od planu Advanced), hCaptcha (amerykański dostawca, przetwarza dane w USA) lub czysta strategia honeypot bez zewnętrznych usług.

reCAPTCHA v3 blokuje prawdziwych użytkowników. Algorytm score to czarna skrzynka. Niektórzy prawdziwi użytkownicy (np. za VPN, z adblockerem, na starszych urządzeniach) otrzymują niskie score i są fałszywie blokowani. Rozwiązanie: przy własnej integracji v3 ustawienie progu nie na 0,5, lecz na 0,3, i dodanie pola honeypot; powermailrecaptcha używa checkboxa v2. Alternatywnie: przy niskim score wyświetlenie fallbacku na reCAPTCHA v2 Checkbox, zamiast bezpośredniego blokowania.

Konflikt rozszerzenia z Content Security Policy. Od TYPO3 v12 Core wspiera Content Security Policies (CSP). JavaScript reCAPTCHA z google.com musi być dozwolone w CSP, inaczej jest blokowane. Rozwiązanie: uzupełnienie w konfiguracji CSP script-src o https://www.google.com/recaptcha/ i https://www.gstatic.com/recaptcha/, frame-src o https://www.google.com/recaptcha/ i https://recaptcha.google.com/recaptcha/ oraz connect-src o https://www.google.com/recaptcha/.

Migracja i kompatybilność wersji

powermailrecaptcha wspiera TYPO3 v11 i v12 w serii 5.2.x oraz TYPO3 v13 od wersji 13.0.0. Rozszerzenie podąża za cyklem wydań Powermail: dla TYPO3 v13 powermailrecaptcha pojawiło się cztery tygodnie po Powermail, dla v12 siedem miesięcy później. Dla TYPO3 v14 oba są na razie dostępne tylko w Early Access Program in2code; wolne wydania zapowiedziano na styczeń 2027.

Dla projektów, które chcą przejść z reCAPTCHA na alternatywę przyjazną RODO, przebudowa jest przejrzysta. Friendly Captcha oferuje w rozszerzeniu friendlycaptcha_official od Studio Mitte własne pole Powermail, które zastępuje pole reCAPTCHA: instalacja rozszerzenia, wpisanie kluczy, zamiana pola w formularzu, dezaktywacja powermailrecaptcha. Reszta konfiguracji formularzy w Powermail się nie zmienia. Gosign zaleca Friendly Captcha jako standard dla nowych projektów.

Często pomijanym aspektem jest zapobieganie spamowi poza CAPTCHA. Powermail natywnie oferuje pole honeypot (niewidoczne pole formularza, które wypełniają tylko boty). W połączeniu ze sprawdzaniem czasu (formularz musi być otwarty przez co najmniej 3 sekundy przed wysłaniem) można odfiltrować większość automatycznego spamu bez zewnętrznych usług. Gosign stosuje w projektach, gdzie zgodność z RODO jest priorytetem, trzystopniową strategię: honeypot i sprawdzanie czasu jako pierwsza warstwa (0 zewnętrznych żądań), Friendly Captcha jako druga warstwa (serwery UE) i serwerowa analiza treści jako trzecia warstwa (gęstość linków, język, znane wzorce spamu). Ta kombinacja osiąga wskaźnik wykrywania spamu powyżej 99% bez usług Google.