Разделите публикацию и отображение
Проверяйте комментарий на сервере до сохранения, ограничивайте размер и число ссылок, а HTML пропускайте только через разрешённый список. Не выводите непроверенный пользовательский текст как доверенную разметку.
Если модерация обязательна, не отправляйте уведомление на каждую подозрительную попытку: иначе бот сможет перегрузить почтовый канал.
Сочетайте лимиты и модерацию
Ограничивайте повторные отправки по нескольким сигналам, учитывая общие сети и мобильные адреса. Honeypot, CAPTCHA и поведенческие признаки используйте как слои, а не как единственную защиту.
Для отзывов полезно связать публикацию с заказом или подтверждённым контактом, если это соответствует продукту и правилам конфиденциальности.
Следите за качеством контента
Контролируйте повторяющиеся фразы, ссылки, всплески по страницам и долю ручных отклонений. Храните минимум данных, нужных для расследования, и задайте сроки удаления журналов.
Проверьте, что реальные пользователи могут отправить комментарий с клавиатуры и вспомогательными технологиями.
Частые вопросы
Нужно ли закрывать комментарии полностью?
Нет, если комментарии важны для продукта. Сначала включите модерацию, лимиты и серверную фильтрацию на наиболее атакуемых страницах.
Удаляет ли CAPTCHA весь комментарий-спам?
Нет. Она снижает часть автоматических отправок, но не заменяет проверку содержимого, лимиты и модерацию.