Spam, bot e invii duplicati: fermarli senza rompere l'anonimato

Due richieste arrivano insieme in quasi ogni progetto di modulo. « Assicuratevi che i bot non possano riempirlo di spam » e « assicuratevi che nessuno possa inviare due volte ». Poi, spesso nella stessa riunione, una terza: « e deve essere anonimo ». Queste tre frasi sono in tensione, e la tensione non è un limite del prodotto: è aritmetica. Per sapere che questo invio non proviene dalla stessa persona di quello, serve qualcosa che distingua le persone. Quel qualcosa è un identificatore, e un identificatore è l'opposto dell'anonimato.

Questo articolo è la versione pratica di quel bilanciamento: cosa usare contro lo spam, quanto costa davvero ogni meccanismo anti-duplicato, come funziona lo schema « anonimo ma verificato » e quando richiedere un accesso con account è la risposta giusta invece di quella pigra.

Come impedisco spam e bot?

Partiamo da qui, perché questa metà è davvero semplice e non costa alcun anonimato. Quasi tutto lo spam nei moduli è automatizzato, non mirato ed economico: script che trovano un endpoint pubblico e vi inviano richieste in serie. Quattro livelli bastano.

1. Limiti di frequenza. Un tetto al numero di invii che una sorgente può fare al minuto, all'ora e al giorno trasforma un'ondata in rumore di fondo. I limiti devono essere abbastanza generosi da sopravvivere agli usi legittimi — un ufficio condiviso, una scuola, un tablet-chiosco a un evento, un Cantone dietro NAT — e devono fallire in modo aperto: un limitatore guasto non deve mai bloccare traffico reale.
2. Un campo trappola. Un campo invisibile per le persone ma presente nel markup. Gli esseri umani lo lasciano vuoto; i bot ingenui riempiono tutto. Non costa nulla, intercetta una quota sorprendente e non aggiunge nessun identificatore.
3. Limiti strutturali. La difesa più sottovalutata. Chiudete il modulo a una data. Fissate un tetto al numero totale di risposte. Mettetegli un codice di sblocco. Un modulo che accetta 200 risposte e poi si ferma non può essere inondato fino a 20 000, e nessuno di questi tre controlli ha bisogno di sapere chi sta inviando.
4. Validazione e campi obbligatori. Controlli di formato, regole di plausibilità e risposte richieste filtrano la spazzatura che sopravvive al resto, e migliorano comunque la qualità dei vostri dati.

A questi si aggiunge il livello di escalation: dopo un numero sufficiente di richieste rifiutate da una sorgente, quella sorgente viene bloccata temporaneamente. Il dettaglio progettuale decisivo è che i blocchi automatici devono scadere. Un blocco automatico permanente finisce per punire una rete condivisa — un albergo, un ospedale, un'università — per il comportamento di una sola persona al suo interno.

Ogni meccanismo anti-duplicato è un identificatore

I duplicati sono un problema diverso, e qui conta un'impostazione onesta. Non esiste modo di imporre « un invio per persona » senza sapere nulla della persona. Ciò che varia è quanto apprendete, per quanto tempo lo conservate e se è ricollegabile a un essere umano. Secondo la nLPD un indirizzo IP riferito a una persona identificabile è un dato personale: ogni riga della tabella seguente è dunque una decisione di trattamento che richiede una finalità e una durata di conservazione.

La regola che ne segue: scegliete il meccanismo più debole che risolve il problema che avete davvero. Un'indagine di gradimento in cui una manciata di risposte doppie non cambierebbe alcuna decisione si accontenta della prima riga. Una votazione associativa che decide un bilancio ha bisogno della terza. Ricorrere all'account perché è definitivo, in un contesto in cui i duplicati non avrebbero contato, trasforma un insieme di dati anonimo in dati personali senza alcun guadagno analitico.

Come impediamo gli invii duplicati?

Una volta per dispositivo — chiamandolo con il suo nome

Un contrassegno archiviato nel browser del rispondente impedisce a quello stesso browser di inviare due volte. È per costruzione una misura « al meglio possibile »: un browser nuovo, un altro dispositivo o una finestra privata la azzerano, e chi vuole può cancellarla. È quindi esattamente adatta al problema reale più comune — cliccare due volte su Invia, o ricompilare il modulo per il dubbio che non fosse andato a buon fine — ed esattamente inadatta a qualsiasi contesto avversariale. Gli strumenti che la vendono come « una risposta per persona » promettono troppo; la descrizione corretta è « una risposta per browser, a meno che qualcuno non ci provi ».

Una volta per IP — lato server, con due riserve

Verificare se dalla stessa rete è già arrivato un invio avviene sul server, quindi resiste ai trucchi del browser. Le due riserve sono guasti opposti, e contano entrambe. Una connessione condivisa — un ufficio, una scuola, una famiglia, il NAT di un operatore mobile — fa apparire più persone legittime come una sola, e la seconda viene rifiutata. E le reti mobili ruotano gli indirizzi, così una persona appare come diverse. È un buon controllo per situazioni « uno per nucleo familiare » e per i chioschi agli eventi, ed è scadente per « un voto per socio » in un luogo di lavoro.

Due dettagli la rendono difendibile in pratica: archiviare un'impronta con salt per modulo e pepper lato server invece dell'indirizzo, e cancellare l'impronta quando l'invio viene cancellato — così rimuovere una risposta libera di nuovo quella rete e l'identificatore non sopravvive ai dati che doveva proteggere.

Token monouso — la risposta giusta per una platea nota

Se sapete chi ha diritto di rispondere — soci, dipendenti, nuclei invitati, partecipanti iscritti — consegnate a ciascuno un codice o un link a uso singolo e contrassegnatelo come usato all'invio. È preciso, resistente ai duplicati e, soprattutto, governabile nelle sue proprietà di riservatezza: che riveli o no l'identità dipende unicamente dal fatto che conserviate la corrispondenza fra token e persona. Conservatela e avete un'indagine pseudonima. Distruggetela all'emissione e ottenete qualcosa di molto più vicino all'anonimato — vedi la sezione seguente.

La misura che si dimentica: rendere inutile il duplicato

Gran parte dell'ansia da invii duplicati è in realtà ansia per un premio: posti limitati, un buono, la partecipazione a un concorso, un voto che ribalta un esito. Dove non potete verificare in modo forte, togliete invece l'incentivo — fissate un tetto complessivo, assegnate per estrazione fra tutte le candidature invece che a chi arriva prima, deduplicate a posteriori in fase di esame invece che all'ingresso, o rendete la ricompensa indipendente dal numero di invii. Rileggere 300 risposte per individuare i duplicati evidenti costa un pomeriggio; identificare 300 persone costa una base giuridica.

Come verifico i rispondenti senza perdere l'anonimato?

È il requisito che sembra impossibile ed è soltanto scomodo. Ricorre continuamente: un'associazione in cui ogni socio vota una volta ma nessun voto deve essere attribuibile; un canale di segnalazione che deve accettare rapporti solo dai dipendenti; un'indagine interna che deve raggiungere tutti una volta e non identificare nessuno. Lo schema che lo risolve ha un'idea al centro: separare la verifica dell'idoneità dall'invio e non archiviarli mai insieme.

Devo richiedere un account o un indirizzo e-mail?

A volte, e vale la pena decidere con consapevolezza da quale parte state. Richiedere l'identità è la risposta giusta quando il processo è comunque nominativo: una domanda di prestazioni, un dossier di finanziamento, un'accettazione di paziente, un acquisto, tutto ciò a cui risponderete individualmente. Lì l'identità è il punto, e sostenere il contrario aggiunge attrito senza aggiungere riservatezza.

È la risposta sbagliata quando il valore dei dati dipende dalla sincerità. Lamentele, segnalazioni di illeciti, indagini di clima, denunce di molestie, giudizi sulla dirigenza: appena un accesso con account si frappone al modulo, la qualità delle risposte scende e quelle che arrivano sono le più prudenti. Non è un'ipotesi: è il risultato più solido della ricerca sul feedback interno, ed è il motivo per cui il nostro caso d'uso HR e segnalazioni tratta la raccolta senza identità come un requisito funzionale e non come una cortesia in materia di riservatezza.

• Richiedete l'identità quando dovete rispondere individualmente, verificare con precisione un diritto, adempiere a un obbligo legale di identificazione o muovere denaro.
• Evitate l'identità quando la finalità è la misurazione o la segnalazione di illeciti, quando la popolazione è abbastanza piccola da essere re-identificata, o quando avete promesso l'anonimato in qualche punto delle vostre comunicazioni.
• Nei casi intermedi preferite un token monouso all'account e un campo di contatto facoltativo a uno obbligatorio — « lasciate un indirizzo se desiderate una risposta » rispetta entrambi i casi insieme.

Che cosa dovrebbe gestire la piattaforma per impostazione predefinita

Parte di questo elenco non dovrebbe essere una vostra decisione. Una piattaforma per moduli dovrebbe arrivare con controlli anti-abuso già attivi, tarati con generosità e attenti alla riservatezza — così che a voi resti solo la scelta della regola sui duplicati per ciascun modulo.

• Limiti di frequenza sulla superficie pubblica — per modulo e globali, su più finestre temporali, tolleranti verso chioschi e reti condivise, e con fallimento aperto quando il limitatore stesso ha un problema.
• Limiti anche sui bordi rumorosi, non solo sull'invio: visualizzazioni del modulo, tentativi con codici di accesso e richieste di ID di modulo inesistenti, così da limitare anche l'enumerazione e il gonfiaggio del contatore di visualizzazioni.
• Blocchi automatici che scadono per una sorgente che continua a provocare rifiuti, più un blocco manuale per il raro caso persistente — con una voce di audit per entrambi.
• Una regola sui duplicati per modulo, impostabile senza aprire un ticket: libera, una volta per dispositivo o una volta per rete.
• Un'applicazione rispettosa della riservatezza — un'impronta con salt per modulo e pepper lato server invece di un indirizzo IP archiviato, cancellata insieme all'invio.
• Nessuno script di terze parti sulla pagina del modulo, perché il livello anti-abuso non diventi esso stesso una comunicazione a un responsabile del trattamento estero.
• Blocco degli indirizzi usa e getta in fase di registrazione, dove le caselle temporanee permettono a un solo soggetto di creare account senza limiti — e deliberatamente non al login né al recupero della password, così che un cliente esistente su un dominio del genere non resti mai tagliato fuori dai propri dati.

Una cosa nessuna piattaforma può farla per voi: scrivere le misure nell'informativa. Se limitate la frequenza, bloccate indirizzi o create impronte delle reti, quello è trattamento, e la trasparenza dell'art. 19 nLPD vi si applica come alle risposte. Una riga — « per prevenire abusi registriamo dati tecnici come un'impronta della rete, conservati per la durata del modulo » — basta, ed è proprio la riga che cerca un revisore.

Scegliere il controllo per un modulo reale

Leggete prima la colonna centrale. In quattro di queste sei righe il duplicato è il rischio minore — è la forma generale del problema, e la ragione per cui « impedire i duplicati » non va mai risolto prima di « a quale prezzo ».

Cinque errori che rompono l'anonimato per sbaglio

• Link di invito personalizzati su un'indagine « anonima ». Il modo più comune in cui una promessa di anonimato diventa falsa. Se il link identifica il destinatario, la risposta è al massimo pseudonima.
• Conservare la corrispondenza token-persona « per sicurezza ». Riporta l'intero impianto a un impianto nominativo, e verrà richiesta appena qualcuno vorrà sollecitare chi non ha risposto.
• Registrare indirizzi IP in chiaro per prevenire abusi e poi non cancellarli mai. La finalità si esaurisce con la chiusura del modulo; i dati dovrebbero esaurirsi con essa.
• Aggiungere un CAPTCHA senza aggiornare l'informativa. Una chiamata a un terzo a ogni visualizzazione è una comunicazione, che qualcuno invii o no.
• Timestamp al secondo in una squadra piccola. Uniti a orari di lavoro noti, l'ora di un invio identifica l'autore con la stessa affidabilità di un nome — la stessa classe di falla di un incrocio demografico.

In conclusione

Risolvete i due problemi separatamente. Lo spam è volume: limiti di frequenza, campi trappola, blocchi che scadono e tetti strutturali lo gestiscono senza apprendere nulla su nessuno. I duplicati sono identità, e l'unica domanda su cui vale la pena discutere è quanta poca identità potete spendere: un marcatore del dispositivo se il rischio è un doppio clic distratto; un'impronta di rete rispettosa della riservatezza se « uno per nucleo » basta; un token monouso non collegato se serve precisione mantenendo l'anonimato; un account solo dove il processo è comunque nominativo.

E quando qualcuno chiede tutte e tre le proprietà insieme — a prova di spam, a prova di duplicati, anonimo — la risposta non è « impossibile ». È: verificate l'idoneità in un posto, accettate gli invii in un altro, e non uniteli mai.