Kontaktformular-Spam stoppen ohne Captcha

Was Formlane bei jeder Einsendung prüft

Kein Captcha, keine KI, kein Skript von Dritten. Deine Besucher sehen nur ein normales Formular.

Warum ein Honeypot funktioniert (und wo nicht)

Ein Honeypot ist ein Feld, das echte Menschen nie sehen oder anfassen. Einfache Bots lesen das HTML, füllen jedes Eingabefeld aus und kreuzen jede Checkbox an. Ein ausgefüllter Honeypot ist deshalb ein starkes Zeichen für einen Bot. Deine Besucher kostet das nichts: kein Rätsel, kein zusätzlicher Klick, kein Skript.

Eine Mauer ist er aber nicht. Ein Bot, der gezielt für deine Seite geschrieben wurde, oder ein Mensch, der Spam von Hand einfügt, lässt den Honeypot in Ruhe. Deshalb kombiniert Formlane ihn mit dem Rate-Limit und den Inhaltsregeln. Was die Inhaltsregeln markieren, landet in einem Spam-Tab, den du prüfen kannst, statt gelöscht zu werden; Honeypot-Treffer werden gar nicht gespeichert.

Tipps, die mit jedem Formular-Backend helfen:

• Benenne den Honeypot nicht sichtbar nach seinem Zweck (kein „Bitte leer lassen“-Label, das Screenreader vorlesen). Versteck ihn mit CSS und tabindex="-1" wie im Code oben.
• Markier Pflichtfelder mit required und nutz type="email". Das hilft echten Besuchern. Bots überspringen Browser-Prüfungen, ein Spamfilter ist das allein also nicht.
• Veröffentliche deine E-Mail-Adresse nicht neben dem Formular. Dafür ist das Formular ja da.
• Schau nach dem Start ein paar Tage in den Spam-Tab. Landet dort einmal eine echte Nachricht, siehst du sie.

Optional: per JavaScript senden

Für eine Bestätigung ohne Seitenwechsel schickst du das Formular als JSON und lässt den Honeypot im Formular. message in der Antwort ist immer englisch, deshalb zeigt das Snippet je nach error-Code einen eigenen Text. Die Texte im Snippet sind englisch; ersetz sie für eine deutsche Seite:

<script>
  const MESSAGES = {
    limit_reached: "This form can't take more messages this month. Please email us directly.",
    rate_limited: "Too many messages in a short time. Please try again in a few minutes.",
    origin_not_allowed: "This form only accepts messages from its own website.",
  };
  const form = document.querySelector('form[action*="formlane"]');
  if (form) form.addEventListener("submit", async (event) => {
    event.preventDefault();
    // Keep the honeypot in the form: FormData skips it while unchecked, a bot that ticks it gets caught.
    const data = Object.fromEntries(new FormData(form));
    try {
      const res = await fetch(form.action, {
        method: "POST",
        headers: { "Content-Type": "application/json", Accept: "application/json" },
        body: JSON.stringify(data),
      });
      const json = await res.json();
      form.outerHTML = json.success
        ? "<p>Thanks! Your message has been sent.</p>"
        : "<p>" + (MESSAGES[json.error] || "Sorry, that didn't work. Please try again later.") + "</p>";
    } catch {
      alert("Network error. Please try again.");
    }
  });
</script>

Du nutzt React oder Vite? Der React-Guide hat denselben Honeypot in einer fertigen Komponente.

Andere Wege (ehrlicher Vergleich)

Formlane passt, wenn du ein reines HTML-Formular auf einer statischen Seite willst, Spamschutz ohne Captcha und Einsendungen, die in Frankfurt gespeichert werden. Brauchst du heute Datei-Uploads, Autoresponder, Webhooks oder ein Captcha, nimm einen Dienst, der das schon kann: Formlane kann es noch nicht.

Preise

Free: 250 Einsendungen im Monat und bis zu 5 Formulare. Starter: 9 € im Monat für 2.500 Einsendungen. Pro: 19 € im Monat für 25.000 Einsendungen. Preise inkl. MwSt. Spam zählt nicht zum Monatskontingent. Ist das Kontingent aufgebraucht, werden neue Nachrichten abgelehnt, bis der nächste Monat beginnt oder du upgradest.

Weitere Anleitungen

• Kontaktformular für jede HTML-Seite
• Kontaktformular auf Vercel ohne Backend
• Kontaktformular für Hugo

Häufige Fragen