Em desenvolvimento web, proteger formulários contra envios automáticos de bots é essencial. Uma das soluções mais eficazes, discretas e leves é o honeypot. Neste post, vamos detalhar o conceito, funcionamento e implementação prática.
O que é Honeypot?
Honeypot é um campo invisível adicionado ao formulário que usuários humanos nunca preenchem, mas que bots, ao tentar completar todos os campos do HTML, acabam preenchendo automaticamente. Quando o servidor detecta que este campo foi preenchido, o envio é rejeitado.
A ideia principal é simples: diferenciar comportamento humano de comportamento automatizado sem impactar a experiência do usuário.
Por que usar Honeypot?
- Não impacta a UX: Diferente de captchas tradicionais, o usuário humano não precisa interagir com ele.
- Baixo custo: É apenas mais um campo HTML e uma validação no backend.
- Compatível com qualquer formulário: Pode ser usado junto com validação já existente e outros mecanismos de proteção.
- Reduz envios automáticos: Bots comuns, sem lógica avançada, geralmente preenchem todos os campos e são facilmente detectados.
Implementação prática
HTML
Você adiciona um campo escondido no formulário:
<form action="processa_form.php" method="post">
<label for="name">Nome</label>
<input type="text" name="name" id="name" required>
<label for="email">E-mail</label>
<input type="email" name="email" id="email" required>
<!-- Honeypot invisível -->
<div style="display:none;">
<label for="hp_field">Deixe este campo vazio</label>
<input type="text" name="hp_field" id="hp_field" value="">
</div>
<input type="submit" value="Enviar">
</form>
O campo hp_field está escondido do usuário, mas visível no HTML para bots.
Backend (PHP)
No servidor, você valida o honeypot antes de processar o envio:
<?php
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
// Verifica honeypot
if (!empty($_POST['hp_field'])) {
die("Bot detectado.");
}
$nome = strip_tags($_POST['name']);
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);
if (!$email) {
die("E-mail inválido.");
}
// Processa envio de e-mail ou salva dados
$mensagem = strip_tags($_POST['message'] ?? '');
mail("[email protected]", "Contato do site", $mensagem, "From: $nome <$email>");
echo "Mensagem enviada com sucesso!";
}
Boas práticas
- Use nomes genéricos para o campo (ex:
website,phone) para enganar bots mais sofisticados. - Combine honeypot com captcha simples ou lógica de tempo de preenchimento para aumentar a eficácia.
- Evite usar honeypot como única proteção em formulários críticos; ele é mais eficiente em conjunto com outros mecanismos.
Vantagens do Honeypot
- Transparente para usuários legítimos.
- Reduz significativamente spam sem complicações.
- Fácil de implementar e manter.