Offuscare o non offuscare?
Mercoledì 7 Novembre 2007 - 08:41
di Cesare Lamanna
L’articolo uscito appena ieri su A List Apart, Graceful E-Mail Obfuscation di Kevin Cornell, presenta una tecnica basata su Javascript, PHP e il mod_rewrite di Apache per offuscare gli indirizzi e-mail presenti in una pagina web e renderli pertanto (quasi) invulnerabili ai bot degli spammer. Garantita anche la graceful degradation in caso di Javascript disabilitato. Il ‘quasi’ è doveroso perché l’autore stesso, in conclusione, evidenzia come sotto questo aspetto nessun indirizzo e-mail presente sul web può davvero considerarsi sicuro.
Vi lascio comunque all’articolo e allo studio della tecnica, che di fatto è in grado di trasformare un link mailto del tipo <a href="mailto:sales@yourcompany.com"> in un URL normale del tipo <a href="contact/sales+yourcompany+com" che però svolge la stessa funzione dei link mailto (demo). È disponibile per il download tutto il codice necessario per l’implementazione.
rel="nofollow">
Ciò detto, mi chiedo e vi chiedo: ma ne vale la pena? Io a questa cosa dell’offuscamento ci ho rinunciato da tempo, preferendo attrezzarmi con difese a livello di client di e-mail e filtri antispam.
Categoria: Scripting | Permalink
Commenti
1
Cesare concordo con te sul fatto che, sicuramente la tecnica piu efficace sia quella di difendersi a livello client con un buon filtro anti spam o comunque usare una mail dedicaya per seeviI a rischio. Nonostante cio’ credo che male non faccia affiancare tecniche di “precauzione” come l’offuscamento o i classici [at] etc…
p.s. Chiedo scua per gli errori di battitura ma l’iphone si impalla quando xommento qui…
2
Io ancora mi affido al buon vecchio uso di utilizzare un’immagine al posto dell’indirizzo mail scritto :-)
3
Beh, non vedo particolari difficoltà ad utilizzare l’una o l’altra tecnica, anche perchè sono altrettanto efficaci
4
Non ho mai ricevuto spam codificando la mail in html, ad esempio:
“a@n.it” diventa “a@n.it”# - postato da Erich - 07 Novembre 2007 - 10:04
5
Per ora trovo che una protezione con un’immagine o con un piccolo javascript con l’aggiunta di un pò di setup sui filtri dei server, stiano funzionando. Sentendo i miei clienti sembrerebbe che ricevano poca spam. Rimangono comunque sempre interessanti nuove (e meglio se poco conosciute) soluzioni.
# - postato da Anto - 07 Novembre 2007 - 12:10
6
Pepo, sai quando mi sono arreso? Tempo fa ho creato un blog tutto nuovo e ho adottato le tecniche ritenute più efficaci per proteggere quell’indirizzo che avevo messo sulla pagina principale. Dopo una settimana ho iniziato a ricevere spam a tonnellate. L’indirizzo è infatti finito nella rubrica di una mia amica che aveva preso una specie di worm. Insomma, non è che fa male prendere precauzioni, anzi, ma di fronte a situazioni in cui non puoi intervenire c’è poco da fare.
7
Immagini e javascript non sono completamente accessibili (browser testuali).
Non tutti le persone hanno le conoscenze o la voglia di attrezzarsi con filtri anti spam, configurare qui e li etc…
A me sembra una buona soluzione.# - postato da Grab - 07 Novembre 2007 - 14:58
8
Perchè complicare la vita a chiunque voglia contattarmi costringendolo a ricopiare la mia email sul proprio client di posta (se usassi un’immagine al posto di un link) o a togliere del testo in più all’indirizzo (es: addr_NOSPAM_@email.it)?
O perchè dovrei complicarmi io la vita, perdendo anche del tempo, x trovare o implementare soluzioni come questa?
Insomma… preferisco anche io, come dicevi tu Cesare, affidarmi al mio client di posta… Ed in particolare a Google per risolvere questi problemi: facile per me e facile per chi mi vuole contattare :)
9
1. usare un modulo contatti nel sito e far inviare la mail da li (puntanto ad una mail al punto 2)?
2. usare alternativamente una mail da pubblicare virtuale (non lavorativa) come ad esempio cicciociaccio@mail.com in modo che lo spam arrivi li’ e non nella casella di lavoro?
3. mettere un msn hotmail o uno skype per farsi contattare direttamente via IM?ciao :)
10
Io uso gia da molto tempo una funzione js molto simile. Cè solo un porblema, quando richiamo la funzione due o tre volte nella stessa pagina, il browser fa i capricci, o meglio la pagina carica un po’ piu’ lentamente.
C’è da dire che nei siti dove utilizzo la funzione i clienti non ricevono spamming. Quindi per me funziona. Consigliata.# - postato da Antonio - 20 Novembre 2007 - 11:04
11
Questo mi sembra un ottimo modo, forse uno dei pochi a non richiedere javascript, anche se in effetti poi non si può copiare il link e non si può mostrare l’indirizzo email (comodo anche per chi stampa le pagine).
Io tempo fa ho realizzato questo servizio
http://www.emaildefender.eu
che genera un codice javascript univoco per ogni richiesta (ovvero, per ogni email ti fai dare un codice diverso) e non richiede nè configurazioni del server nè codice javascript in altri punti della pagina. E’ forse il metodo più paranoico che abbia mai visto - ed in futuro farò di peggio - ma funziona bene, l’indirizzo creato si può formattare come normale html anche con i css.
E’ vero che con i browser testuali ci possono essere problemi… ma davvero parliamo dello 0.01% dei navigatori!Devo dire infine una cosa sul metodo “tradizionale”, quello usato da moltissime persone, ovvero codificare tutti i caratteri con le relative entità html.. ci vuole troppo poco a fregarlo (in php è una riga), figuriamoci se qualche spammer non sta già scandagliando la rete pronto a leggerli!
12
da un punto di vista squisitamente tecnico la soluzione di ALA non è male, un tantino elaborata, ma funziona.
Dal punto di vista utente la difesa contro lo spam sarà sempre una lotta aperta. Visto che la natura di un indirizzo email è quello di essere condiviso tra n persone basta che una sola di queste n sia veicolo di propagazione dell’indirizzo che il malcapitato si ritroverà tra le liste di spam più diffuse.
Un consiglio che do a molti è quello di mettere un indirizzo particolare sui propri siti, per capire quante di queste mail di spam provengono dal sito e quante da altri sistemi.
per esempio io metterei: “uno#dr.tarr@xxxx.xx” per identificare quanto spam proviene da questo sito.
L’altro lato della medaglia è che poi questi dati vanno raccolti ed analizzati.Comunque finchè ci saranno questi “servizi”: http://www.ciao-germania.it/so.....-email.php
le nostre caselle di posta non saranno mai sicure.