Wenn Sie eine Benachrichtigung im Dashboard sehen, die besagt: „Charitable hat festgestellt, dass einige kürzliche Spendenversuche über das Spendenformular aufgrund ungültiger Sicherheitsprüfungen fehlgeschlagen sind“, erklärt dieser Leitfaden, was das bedeutet und wie Sie es beheben können.

Das Wichtigste zuerst: Diese eine Benachrichtigung kann auf zwei sehr unterschiedliche Situationen hinweisen. Eine davon kann echte Spender blockieren und erfordert Ihre Aufmerksamkeit. Die andere ist, dass Charitable automatisierte Spam-Nachrichten korrekt blockiert und normalerweise harmlos ist. Bevor Sie Einstellungen ändern, identifizieren Sie, womit Sie es zu tun haben.

• Was diese Benachrichtigung bedeutet
• Identifizieren Sie zuerst die Ursache
• Ursache 1: Caching und Sicherheitstoken (nonce_failed)
• Ursache 2: Spam-Bots vom Honeypot erfasst (honeypot_failed)
• Die Benachrichtigung ausblenden
• Benötigen Sie noch Hilfe?

Was diese Benachrichtigung bedeutet

Jedes Mal, wenn Ihr Spendenformular geladen wird, fügt Charitable versteckte Sicherheitsprüfungen hinzu, um sicherzustellen, dass die Übermittlung echt ist. Zwei dieser Prüfungen sind:

• Ein Sicherheitstoken (Nonce) – ein eindeutiger, zeitlich begrenzter Code, der beweist, dass das Formular normal geladen und von Ihrer Website übermittelt wurde.
• Ein Honeypot – ein verstecktes Feld, das echte Besucher nie sehen oder ausfüllen. Automatisierte Bots füllen routinemäßig jedes Feld aus, das sie finden. Ein ausgefüllter Honeypot ist daher ein zuverlässiges Zeichen für Spam.

Wenn eine dieser Prüfungen fehlschlägt, blockiert Charitable diese Übermittlung und protokolliert sie. Wenn in einem kurzen Zeitraum genügend blockierte Übermittlungen stattfinden, erscheint die Benachrichtigung im Dashboard. Da die Benachrichtigung für beide Prüfungen die gleiche Formulierung verwendet, ist der einzige Weg, um zu wissen, was tatsächlich passiert, zu prüfen, welche Prüfung fehlgeschlagen ist.

Identifizieren Sie zuerst die Ursache

Charitable protokolliert jede blockierte Übermittlung, damit Sie den genauen Grund sehen können. Um das Protokoll anzuzeigen:

1. Gehen Sie in Ihrem WordPress-Admin zu Charitable > Tools > Systeminformationen.
2. Suchen Sie den Abschnitt Formularfehler, der die Anzahl der Fehler heute und diese Woche anzeigt. Sie können das vollständige Protokoll auch in eine CSV-Datei exportieren.
3. Sehen Sie sich den Fehlercode für jeden Eintrag an.

Der Fehlercode gibt an, welchen Pfad Sie verfolgen müssen:

• nonce_failed – das Sicherheitstoken stimmte nicht überein. Dies ist fast immer ein Caching-Problem und kann echte Spender abweisen. Folgen Sie Ursache 1.
• honeypot_failed – das versteckte Anti-Spam-Feld wurde ausgefüllt. Das bedeutet, dass ein automatisierter Bot blockiert wurde, kein echter Spender. Folgen Sie Ursache 2.

Zwei Kontextinformationen in jedem Protokolleintrag helfen, den Honeypot-Fall zu bestätigen: Die Übermittlung stammt normalerweise von einem nicht angemeldeten Besucher, und der User-Agent ist oft ein veralteter oder automatisierter Browser und kein normaler, aktueller.

Ursache 1: Caching und Sicherheitstoken (nonce_failed)

Wenn Ihr Log nonce_failed-Einträge anzeigt, ist die Ursache fast immer Caching. Wenn eine Seite mit einem Spendenformular zwischengespeichert wird, können Besuchern alte Kopien der Seite mit einem abgelaufenen Sicherheitstoken angezeigt werden. Das Formular schlägt dann fehl bei der Verifizierung und der Spender sieht: „Leider konnten wir Ihre Formularübermittlung nicht verifizieren. Bitte laden Sie die Seite neu und versuchen Sie es erneut.“

Andere, seltenere Ursachen sind ein widersprüchliches Plugin oder Theme oder ein aggressiver Browser-Cache.

Gehen Sie diese Schritte durch:

1. Auf Caching-Plugins prüfen. Überprüfen Sie, ob Caching aktiv ist, entweder über ein Plugin, Ihren Hosting-Provider oder ein CDN (wie Cloudflare).
2. Schließen Sie Ihre Spendenseiten vom Caching aus. Fügen Sie in Ihrem Caching-Plugin oder Ihren Host-Einstellungen die URLs jeder Seite, die ein Spendenformular enthält (wie Ihre Kampagnen- und Spendenseiten), zur Ausschluss- oder Umgehungsliste des Caches hinzu. Schließen Sie sowohl das Caching auf Server-Ebene als auch das CDN-Caching aus, nicht nur das Plugin.
3. Auf Plugin-Konflikte testen. Wenn Caching ausgeschlossen wurde, deaktivieren Sie vorübergehend andere Plugins (nachdem Sie ein Backup erstellt haben), um zu prüfen, ob ein anderes Skript das Formular beeinträchtigt.
4. Löschen Sie Ihren Browser-Cache. Dies ist getrennt vom serverseitigen Caching und es lohnt sich, es auszuschließen.

Als letzte Möglichkeit, wenn Ihr Hoster das Caching auf bestimmten Seiten nicht umgehen kann, kann ein WPCode-Snippet die Sicherheitsprüfung des Formulars lockern. Dies wird nicht empfohlen und sollte nur verwendet werden, wenn die oben genannten Schritte nicht möglich sind: https://library.wpcode.com/snippet/7oq3yl5w/

Ursache 2: Spam-Bots vom Honeypot erfasst (honeypot_failed)

Wenn Ihr Log honeypot_failed-Einträge anzeigt, sind das gute Nachrichten. Dies sind automatisierte Spam-Bots, die Ihr Spendenformular untersucht und vom versteckten Honeypot-Feld abgefangen wurden. Charitable hat sie blockiert, bevor sie Ihr Zahlungs-Gateway erreichten. Ihre echten Spenden sind nicht betroffen und kein echter Spender wird abgewiesen.

Ein kleiner, stetiger Strom blockierter Bots ist normal für jedes öffentliche Spendenformular und es reicht aus, um die Dashboard-Benachrichtigung auszulösen. In diesem Fall informiert Sie die Benachrichtigung lediglich darüber, dass der Schutz funktioniert.

Sie müssen nichts tun. Wenn Sie die Bot-Versuche und die Häufigkeit, mit der die Benachrichtigung erscheint, reduzieren möchten, fügen Sie eine weitere Schutzschicht vor dem Formular hinzu:

1. CAPTCHA aktivieren. Gehen Sie zu Charitable > Einstellungen > Sicherheit und aktivieren Sie eine der CAPTCHA-Optionen, wie Google reCAPTCHA oder Cloudflare Turnstile. Ein CAPTCHA stoppt die meisten Bots, bevor sie absenden können, was diese blockierten Versuche reduziert.
2. Zusätzlichen Bot-Schutz aktivieren. In denselben Sicherheitseinstellungen können Sie zusätzliche Maßnahmen wie den Honeypot- und Zeitfallen-Bot-Schutz, Ratenbegrenzung und E-Mail-Validierung für eine stärkere Abdeckung aktivieren.

Die Benachrichtigung ausblenden

Die Benachrichtigung kann mehrere Tage bestehen bleiben, auch nachdem die zugrunde liegende Ursache behoben wurde. Sie löscht sich von selbst, sobald keine neuen Fehler auftreten, und Sie können sie jederzeit manuell vom Dashboard aus ausblenden.

Benötigen Sie noch Hilfe?

Wenn Sie den Fehlercode identifiziert und die obigen Schritte durchgearbeitet haben und Spenden immer noch fehlschlagen, wenden Sie sich an den Charitable-Support. Es hilft uns, wenn Sie den Fehlercode aus Ihrem Formularfehlerprotokoll (nonce_failed oder honeypot_failed) angeben, da dies uns sofort mitteilt, mit welcher Ursache wir es zu tun haben.