kaffeekasse-saas/app/spam-guard.php

<?php

declare(strict_types=1);

require_once __DIR__ . '/bootstrap.php';
require_once __DIR__ . '/rate-limit.php';

/**
 * Schutz oeffentlicher Formulare gegen automatisierte Massenanlage.
 *
 * Hintergrund: Auf der Testumgebung liefen ab Juli 2026 taeglich 10-20
 * Registrierungen eines Bots, der zufaellige Namen mit *fremden*, echten
 * E-Mail-Adressen kombinierte. Der Server verschickte daraufhin
 * Vertrags- und Verifikationsmail an Leute, die nie etwas bestellt hatten -
 * Mail-Bombing ueber die eigene Domain, auf Kosten der Zustellbarkeit.
 *
 * Das IP-Rate-Limit half dagegen nicht: die Anfragen kamen ueber wechselnde
 * Rechenzentrums-IPs mit je einem Versuch. Deshalb hier bewusst Merkmale,
 * die nicht an der Herkunft haengen - und ohne Drittanbieter, der sonst in
 * den Registrierungspfad und die Datenschutzerklaerung muesste.
 */

// Schneller als das kann niemand acht Felder und drei Checkboxen ausfuellen.
const APP_SPAM_GUARD_MIN_SECONDS = 4;

// Notbremse ueber alle Registrierungen hinweg, unabhaengig von der IP.
const APP_SPAM_GUARD_GLOBAL_MAX = 20;
const APP_SPAM_GUARD_GLOBAL_WINDOW = 3600;

/**
 * Merkt sich, wann das Formular ausgeliefert wurde. Beim Rendern aufrufen,
 * nicht beim Verarbeiten.
 */
function app_spam_guard_mark_form_rendered(string $formKey): void
{
    app_start_session();
    $_SESSION['spam_guard_rendered'][$formKey] = time();
}

/**
 * Kam die Antwort unmenschlich schnell? Fehlt der Zeitstempel ganz, wurde
 * das Formular in dieser Session nie ausgeliefert - das zaehlt ebenfalls als
 * Treffer. (Ein echter Nutzer kommt hier nicht an: ohne funktionierende
 * Session waere schon die CSRF-Pruefung fehlgeschlagen.)
 */
function app_spam_guard_submitted_too_fast(string $formKey, int $minSeconds = APP_SPAM_GUARD_MIN_SECONDS): bool
{
    app_start_session();
    $renderedAt = $_SESSION['spam_guard_rendered'][$formKey] ?? null;
    if (!is_int($renderedAt)) {
        return true;
    }

    return (time() - $renderedAt) < $minSeconds;
}

/**
 * Honigtopf: fuer Menschen unsichtbar, fuer Formular-Bots ein Pflichtfeld.
 *
 * Die Positionierung steht bewusst inline und nicht in public.css - laedt das
 * Stylesheet einmal nicht, waere das Feld sonst sichtbar und ein echter
 * Nutzer koennte es ausfuellen. autocomplete="off" und der neutrale Name
 * halten Passwortmanager davon ab, es selbsttaetig zu befuellen;
 * tabindex="-1" und aria-hidden nehmen es aus Tastaturbedienung und
 * Screenreader heraus.
 */
function app_spam_guard_honeypot_field(): string
{
    return '<div style="position:absolute;left:-9999px;width:1px;height:1px;overflow:hidden" aria-hidden="true">'
        . '<label for="contact_reference">Dieses Feld bitte leer lassen</label>'
        . '<input type="text" name="contact_reference" id="contact_reference" value="" autocomplete="off" tabindex="-1">'
        . '</div>';
}

function app_spam_guard_honeypot_tripped(): bool
{
    return trim((string)($_POST['contact_reference'] ?? '')) !== '';
}

/**
 * Nimmt die Domain der Adresse ueberhaupt Mail an? Ohne MX-Eintrag gilt nach
 * RFC 5321 der A/AAAA-Record als Ziel, deshalb beide als Rueckfallebene.
 *
 * Bewusst fail-open: steht checkdnsrr() nicht zur Verfuegung, wird die
 * Adresse durchgelassen. Eine kaputte DNS-Aufloesung darf keine echten
 * Registrierungen blockieren.
 */
function app_spam_guard_email_domain_resolves(string $email): bool
{
    if (!function_exists('checkdnsrr')) {
        return true;
    }

    $at = strrpos($email, '@');
    if ($at === false) {
        return false;
    }

    $domain = rtrim(substr($email, $at + 1), '.');
    if ($domain === '' || !str_contains($domain, '.')) {
        return false;
    }

    return @checkdnsrr($domain, 'MX')
        || @checkdnsrr($domain, 'A')
        || @checkdnsrr($domain, 'AAAA');
}

/**
 * Ein Treffer wird protokolliert, aber dem Absender gegenueber nicht
 * benannt: er bekommt dieselbe generische Meldung wie bei einem
 * ausgereizten Rate-Limit. So verraet die Antwort nicht, welche Huerde
 * angeschlagen hat, und ein Bot kann sich nicht darauf einstellen.
 */
function app_spam_guard_log(string $formKey, string $reason): void
{
    error_log(sprintf('Spam-Guard: %s abgewiesen (%s), IP %s', $formKey, $reason, app_client_ip()));
}