Websites herunterladen, die Really Simple CAPTCHA nutzen

Über Really Simple CAPTCHA

Manche Software wird ausgewählt, andere kommt einfach mit. Really Simple CAPTCHA gehört überwiegend zur zweiten Sorte. Das Plugin erzeugt ein verzerrtes Bild einiger Buchstaben und prüft, ob eine Formulareingabe sie wiederholt, und installiert wird es meist, weil ein Formular-Plugin danach verlangt hat, und nicht, weil sich ein Websitebetreiber hingesetzt und Abwehrmaßnahmen gegen Bots verglichen hätte.

Really Simple CAPTCHA stammt von Takayuki Miyoshi, steht unter der Lizenz GPL v2, ist in PHP geschrieben und seit 2009 verfügbar. Bei einer Komponente wie dieser spielt die Herkunft eine Rolle. Wenn ein einzelner Maintainer unter einer Copyleft-Lizenz in einem öffentlichen Plugin-Verzeichnis veröffentlicht, kann jeder den Code kostenlos installieren, und niemand ist vertraglich verpflichtet, ihn aktuell zu halten, was die übliche Konstellation für die kleinen Bausteine ist, die größere Websites zusammenhalten.

Stand Oktober 2026 finden wir Really Simple CAPTCHA auf 1 Website. Zahlen für mitgelieferte Komponenten liest man anders als Zahlen für Produkte. Niemand kauft ein Captcha dieser Art, also ist die Zahl kein Marktanteil. Sie misst vielmehr, wie viele öffentliche Seiten ein Formular noch mit einer lokal erzeugten Bildaufgabe schützen statt mit einem gehosteten Challenge-Dienst oder einer unsichtbaren Scoring-API.

Für Recherchen ist vor allem der Rückschluss auf alles rund um das Plugin nützlich. Eine Website, die den Fingerabdruck ausliefert, betreibt PHP auf einer WordPress-Installation mit mindestens einem öffentlichen Formular, was meist bedeutet, dass Kontakt- oder Anfragenachrichten bei einem Menschen landen, der sie liest. Auch das Alter spielt eine Rolle. Bildaufgaben dieser Bauart lassen sich mit handelsüblicher Texterkennung lösen, ihr fortgesetzter Einsatz ist daher ein brauchbarer Indikator für eine Website, die ihre Spam-Abwehr lange nicht mehr überdacht hat, und im weiteren Sinne für eine Website, die wahrscheinlich auch den Rest ihres Plugin-Bestands nicht überprüft hat.

Drei Zielgruppen fragen nach einer Liste wie dieser. Sicherheitsanbieter, die Bot-Abwehr verkaufen, wollen die Websites, die sich noch auf eine Bildaufgabe verlassen, denn dort schreibt sich das Verkaufsargument von selbst. Agenturen und Wartungsdienstleister wollen die Websites, deren Plugin-Stack den Anschluss verloren hat, denn eine veraltete Formularabwehr kommt selten allein. Forschende, die den Zustand des WordPress-Ökosystems messen, wollen Bestandszahlen im Zeitverlauf statt eines Urteils über eine einzelne Domain.

Eine Einzelabfrage zeigt, ob eine bestimmte Domain das Plugin einsetzt. Der Export zeigt, wie viele es tun, unter welchen Endungen sie registriert sind und ob der Bestand von Release zu Release schrumpft, und nur so lässt sich praktisch beobachten, wie eine alte Komponente tatsächlich aus dem Web verschwindet. Eine Grenze sollte man dabei offen nennen: Ein Captcha taucht nur dort auf, wo auch ein Formular auftaucht. Eine Website, die das Plugin installiert hat, das geschützte Formular aber hinter einem Login hält oder auf einer Seite, die unser Crawl nicht erreicht, zeigt den Fingerabdruck überhaupt nicht. Die Zahl fällt deshalb eher zu niedrig aus, und zwar um einen Betrag, der sich von außen nicht messen lässt.