В последнее время много спам-заявок. Какие решения лучше использовать?
Да, антиспам для форм подключать нужно — если спам уже пошёл, он будет расти и начнёт ломать аналитику, перегружать колл-центр/CRM и портить качество лидов. Правильная защита обычно даёт заметный эффект без потери конверсии, если сделать её многоуровневой, а не «одной капчей на всё».
Как это работает и от чего зависит выбор
Спам в формах бывает разный: простые боты, «умные» боты, ручной спам, а также повторные отправки через скрипты. Поэтому эффективнее всего работает комбинация механизмов:
- Фильтрация на клиенте (быстро отсекает часть мусора, но не является защитой сама по себе).
- Проверки на сервере (главное место защиты: то, что не обойти подменой запросов).
- Поведенческие/капча-решения (отсекают автоматизацию и часть фрода).
- Ограничения и репутация (rate limit, блокировки по IP/ASN, WAF-правила).
Риски и ограничения: капчи и антибот-сервисы часто используют стороннюю обработку данных (IP, device, поведение). Если у вас строгие требования по 152-ФЗ/политикам безопасности, это нужно согласовать с юристами и ИБ и корректно описать в документах по обработке данных.
Практическая рекомендация: что поставить в реальности
Базовый набор, который я рекомендую почти всегда (минимум влияния на конверсию):
- Honeypot-поле (скрытое поле, которое человек не заполняет, а бот часто заполняет) + серверная проверка.
- Time-to-submit check: если форма отправлена, например, быстрее 2–3 секунд после загрузки — помечать как подозрительную/отклонять.
- Rate limiting на endpoint формы: лимит на IP/подсеть/устройство (например, N запросов за 5–10 минут) + временная блокировка.
- Серверная валидация: обязательные поля, длины, формат телефона/email, запрет HTML/URL в полях «Комментарий», нормализация символов.
- Логи и метки в CRM: сохранять признаки (IP, user-agent, время заполнения, score) и класть лид в отдельный статус «Подозрение», чтобы не мешать продажам.
Если спам агрессивный или «умный» (обходит простые проверки):
- CAPTCHA/антибот в «невидимом» или мягком режиме (показывать челлендж только при высоком риске).
- WAF/anti-DDoS на уровне периметра: правила на частые сигнатуры спама, ограничение по гео/ASN (аккуратно, чтобы не резать реальных клиентов).
- Подтверждение контакта для части потоков: OTP по SMS/звонку или подтверждение email (особенно для регистраций/личного кабинета). Это снижает конверсию, поэтому включать точечно.
Как внедрять без потери заявок: сначала включите сбор метрик и «мягкий режим» (пометка/скоринг), через 3–7 дней — пороги блокировок, затем добавляйте капчу только на подозрительные сессии/источники.
Типичные ошибки, из-за которых спам не уходит (или падает конверсия)
- Только капча на фронте без серверных проверок: бот шлёт запросы напрямую в API и обходит UI.
- Капча всем подряд на первом шаге: режет конверсию и ухудшает UX, особенно на мобильных.
- Нет rate limit: даже простые боты забивают CRM тысячами заявок за часы.
- Отсутствие разметки в CRM: sales тратит время, а маркетинг не видит, какие источники дают мусор.
- Блокировка по IP без осторожности: корпоративные сети/мобильные операторы могут давать общий IP и вы случайно режете реальных клиентов.
Если скажете, на чём у вас формы (сайт/лендинги, Tilda/WordPress/самопис, есть ли API) и куда падают лиды (amoCRM/Bitrix24/своя CRM), я предложу конкретную схему внедрения и порядок работ с минимальным риском для конверсии.