Glück gehabt ;-) .

>Denn die SPAM-Script schauen sich in der Regel nicht die Site vor komplett an

Falsch. Ein von mir ausgedachte Lösung im Jahr 2004 wurde kaum bekannt gemacht(und selbst wenn, der Value war ja frei wählbar) und hatte kaum 4 Wochen bestand. Die Seiten werden sehr wohl komplett gescannt.

Deine Variante mit der Preview ist noch immer die, die das beste Verhältnis aus Usability und Schutz bildet.
Und das es WP so massiv trifft, dürfte wohl an seiner Verbreitung liegen.

>(…)simplere aber wirkungsvolle Spam-Filter

WP-Hash-Cash und Nachfolger sind gut. Haben aber den Nachteil, das User ohne JS nicht kommentieren können. Doch da könnte man ja eine Captcha-Alternative in den noscript-Bereich packen.

Ich selber nutze s9y und habe ohne Spamkarma und Co. nur mit TB-Spam zu tun, der aber, auf Grund von Regeln(alte Einträge (>5d), werden bei autom. Nachrichten nur moderiert mit mit Comments versorgt) nich öffentlich wird.

>Falsch

Nicht ganz! Mit \”anschauen\” mein ich etwas anderes.
Ein Formular schauen sie sich ggf. an und analysieren es.
Gesetz den Fall ich hab aber auf einer vorhergehenden Seite eine Session-Var gesetzt, wissen die Spider/Bot/Scripte dies nicht, denn die \”attakieren\” direkt die Ziel Seite des Formulars an die die Daten geschickt werden. (Also das File, welches im From als \”action\” (target) definiert ist.

Die Scripts gehen dabei nicht den Weg, den ein User gehen muss, bis er ein Kommentar schreibt.
Der User muss erst auf Seite A einen Link klicken um das Formular auf Seite B zu sehen, welches die Daten an Seite C schickt.
Scripts attakieren direkt Seite C und haben daher nicht die Session aus Seite A!
Bisher hat sich dies jedenfalls sehr bewehrt.
Auf www.drecksmuchte.de z.B. hatte ich arge Probleme im Gästebuch mit SPAM, bis… bis ich die benannte Vorgehensweise dort implementiert habe.

Trotze allem denke ich noch, das die Scipte die Seiten (auch) parsen. Denn meine Lösung aus 2004 arbeitet mit zufälligen Values(8-12 stellig) die in einem hiddenfeld gesetzt und so nat. ausgelesen wurden.

Meine nächste Lösung entsprach in etwa dem von WP-Hash_Cash, nur das sie selber entwickelt war und damit durchhielt.
Auf den Event onSubmit wurde erst beim absenden ein Input-Feld in das Forumlar geschrieben, Feld und Value mussten C vorhanden sein wenn die PostData auf C ankamen. Das klappte bis zum Schluß, erfoderte aber JS auf Userseite.

Jupp, der IE ist sehr beliebt. Aber, selbst wenn sie keinen UA mitbringen, darf man nicht davon ausgehen, das es alles Bots sind. SW wie die Norton Internet Security übermitteln keinen UA-String.

PS: Beim SpamKarma muss ich nun feststellen, es filtert zuverlässig allen Spam raus.
ABER, es filtert z.B. auch deine Comments erstmal raus mit Karma um die 5-8.
Was ich vermisse, ist das man beim SpamKarma direkt den Beitrag nicht freigeben kann, dazu muss ich wieder in die WP Moderation wechseln… naja, solange der positive den negativen Effekt überwiegt, bin ich zufrieden. ;)

Hab nun leider nicht mehr die Stats vor meinem manuellen Eingreifen.
Das nächste Mal aber.

Ich hoffe, wenn ich hier meinen Artikel dazu verlinke, dass mein Kommentar nicht gleich als Spam erkannt wird ;) Also:

Artikel