Güvenlik ve ziyaretçi girdisi

Tek ziyaretçi kapısı

Bir yorum, bir iletişim formu ya da bir üye kaydı, okurun yazmasıdır; yazmanın bir yere ulaşması gerekir. HisarBlok buna dinamik bir siteyle değil, tek bir kapıyla yanıt verir: sitedeki go.php (yalnız POST) ve sayılan bağlantılar için get.php. Sitede başka hiçbir şey istek kabul etmez; tek bir kapı gözetlenebilir bir kapıdır.

Kapıda sırasıyla:

• Aynı köken denetimi: başka bir siteden gönderilen form, hiçbir modül görmeden reddedilir.
• Form jetonu: durumsuz ve imzalı; siteye, eyleme ve sayfaya bağlıdır, yedi gün geçerlidir. Başka bir sayfadan toplanan jeton burada işe yaramaz.
• Süre kapısı ve bal küpü: çok hızlı gönderilen form ve gizli alanı dolduran otomatik doldurucu reddedilir.
• Kabul edilen gönderimler için bütçe: adres başına 15 dakikada 20, site başına 300 gönderim; aşılırsa hiçbir şey saklanmaz. Yoğun bir site kendi sayılarını yapılandırmadan verir.
• İstekte yavaş iş yok: bildirim e-postaları kuyruğa alınır, aynı kişiye gidenler birleştirilir ve yanıt gittikten sonra gönderilir.

Ziyaretçiye oturum ya da çerez verilmez; statik bir sayfa herkes için aynı kalmalıdır. Bulmaca (CAPTCHA) bilerek yok: bulmaca her okurdan vergi alır, yaygın olanlar da okuru üçüncü bir tarafa gönderir. Reddedilen bir form boş bir hata sayfası yerine formun kendisi olarak döner: hatalar alanların yanında, yazılanlar korunmuş olarak.

Jetonun ne olmadığını da söyleyelim: bir insan olduğunun kanıtı ya da tek kullanımlık değildir. Statik bir sayfanın her okuru aynı jetonu alır. Jetonu elinde tutan bir betiği durduran şey jeton değil, bütçedir.