CAPTCHA (Sicherheitsfrage) funktionier in Chrome nicht

[ttcdummy]

Hallo zusammen,

ich habe heute festgestellt, dass der Honeypot-Spamschutz auf einem Projekt nicht korrekt funktioniert.

Eckdaten:
Contao 4.4.7
PHP 7.1
Chrome 62.0.3202.89 (Offizieller Build) (64-Bit)
Contao Leads und Notification-Center installiert

Problem:
Zunächst wird das CAPTCHA wie gewünscht nicht angezeigt. Beim absenden des Formulars erscheint es allerdings mit dem Hinweis, dass es falsch ausgefüllt sei. Füllt man es dann korrekt aus (also löst die Rechenaufgabe) und sendet das Formular ab, bleibt es bei dem Fehler. Das Problem tritt nur im Chrome auf.

Ich habe es noch im IE11 und im Firefox 56.0.2 (64-Bit) getestet. Hier wird das CAPTCHA wie gewünscht nicht angezeigt (Honeypot) und auch das Absenden des Formulars funktioniert einwandfrei.

Was könnte das sein?

Edit:
Einen Hinweis habe ich noch: Das Projekt wurde von 3.5.30 auf 4.4.7 eigentlich erfolgreich soweit geupdated.

[Spooky]

Poste einen Link zur Seite.

[ttcdummy]

Hier einmal ein Screenshot aus den Chrome Developer Tools:
captcha-problem.png

Wie geschrieben. Das Projekt wurde von 3.5.30 auf 4.4.7 hochgezogen und um Leads und dem Notification-Center ergänzt.

[Spooky]

Ohne Link zur Seite wird man nur schwer beurteilen können, was das Problem ist (bzw. ob es überhaupt eines gibt).

[ttcdummy]

Was mir auffällt ist, dass nach dem Absenden und Auslösen des Fehlers das <script>...</script> fehlt:
captcha-problem-noscript.png

[Norbert001]

Hallo,

ein frohes und gesundes neues Jahr 2018.
Contao 4.4.9
Ich habe gestern hier, http://contao4.of-white-avalanche.de/kontakt.html
ein neues Kontaktformular erstellt aber leider wird die Sicherheitsfrage nicht angezeigt,
diese ist aber auf sichtbar gestellt.

[mlweb]

Das soll es ja auch nicht (Stichwort: Honeypot)

[Norbert001]

OK. Danke

[designpilot]

was mlweb damit sagen will, ist das die Sicherheitsabfrage nur dann erscheint wenn innerhalb einer gewissen Zeitspanne vom gleichen Besucher das Formular mehrmals aufgerufen und probiert wird zu versenden (@mlweb: korrigiere mich wenn ich das falsch verstanden habe).

[mlweb]

Ja, genau. Ich denke Norbert hat das auch so verstanden.

[xchs]

das die Sicherheitsabfrage nur dann erscheint wenn innerhalb einer gewissen Zeitspanne vom gleichen Besucher das Formular mehrmals aufgerufen und probiert wird zu versenden

Die Sicherheitsfrage ("Captcha") wird immer dann angezeigt, wenn ein unsichtbares Honeypot-Formularfeld ausgefüllt wurde. Reguläre Seitenbesucher machen das i. d. R. nicht, daher wird denen normalerweise auch kein Captcha mehr angezeigt. Automatische Bots (u. dgl.) greifen aber gerne mal in den Honigtopf. Als Strafe müssten diese dann leider etwas Kopfrechnen, wenn sie das Formular trotzdem versenden wollen. Daran scheiterts dann aber meistens.

[mlweb]

Ich hätte wohl doch bis zu Ende lesen sollen. Ist wohl nicht mein Tag heute. Danke für die Korrektur.

[Norbert001]

Danke Danke für die ausführlichen Erklärungen.
Nach der Antwort von mlweb und Suche über Google war mir das schon klar was gemeint ist.
Danke noch mals.

[RichardR]

Die Sicherheitsfrage ("Captcha") wird immer dann angezeigt, wenn ein unsichtbares Honeypot-Formularfeld ausgefüllt wurde. Reguläre Seitenbesucher machen das i. d. R. nicht, daher wird denen normalerweise auch kein Captcha mehr angezeigt. Automatische Bots (u. dgl.) greifen aber gerne mal in den Honigtopf. Als Strafe müssten diese dann leider etwas Kopfrechnen, wenn sie das Formular trotzdem versenden wollen. Daran scheiterts dann aber meistens.

Was bedeutet das genau?

Daran scheitert es dann aber meistens.

Bezieht sich das auf die Tatsache, dass der Bot den Honigtopf auch unverändert lassen kann?
Weil er zum Beispiel das Label liest und "Dieses Feld nicht ausfüllen" kennt...

Wie ist denn das? Ein Bot kann ja nicht feststellen, ob das Formular mit Erfolg abgeschickt werden konnte, oder?
Also, wenn er das Formular mit verändertem Honigtopf abschickt, dann 'sieht' der Bot die Rechenaufgabe gar nicht mehr, weil er schon URLs später unterwegs ist?

Die Rechenaufgabe lösen kann nämlich zumindest 1 Bot, der unterwegs ist
Die Webseite, bei der das so ist, müsste eh ein update bekommen.
Warum nicht direkt Contao 4 nehmen, wenn das SPAM Problem (und die lästige Rechenaufgabe) damit wegfällt?
Aber wenn das Problem damit nicht wegfällt, weil der Bot im zweiten Versuch die Rechenaufgabe lösen darf (was er ja kann), dann fände ich es sinnvoller gar kein Captcha zu zeigen, sondern einfach das Formular nicht abschicken, wenn der Honigtopf verändert wurde.