Websites herunterladen, die VAPTCHA nutzen

Über VAPTCHA

Bot-Abwehr kauft ein Websitebetreiber einmal und vergisst sie dann, und gerade deshalb verrät sie ungewöhnlich zuverlässig, von wem eine Website Angriffe erwartet. VAPTCHA steht bei uns in der Kategorie Security und beobachtet, wie sich ein Besucher bewegt, statt jemanden verzerrte Zeichen lesen zu lassen. Die Aufgabe besteht aus einer Geste, einem Schieberegler oder einer nachgezeichneten Figur, und das Urteil ergibt sich aus dem Verhalten, nicht aus der Antwort.

Stand Oktober 2026 erkennen wir den Dienst auf 38 Websites, und in jedem Fall wurde er bewusst installiert. Ein Verifizierungs-Widget wird nicht von einem Hosting-Anbieter mitgeliefert und nicht aus einem Theme übernommen. Jemand hat es in ein Login-Formular, eine Registrierungsseite oder einen Checkout eingebaut, weil dieses Formular missbraucht wurde. Jede Domain auf der Liste ist daher eine Website mit einem Formular, das einen Angriff lohnt, was einen viel engeren und nützlicheren Bestand ergibt als eine Liste von Websites, die lediglich ein Login haben.

Als Signal sind die Versionsangaben bei diesem Produkt nahezu wertlos, und unsere Daten zeigen, warum. Der einzige Versionswert, den wir je dafür erfasst haben, ist Version 3. Ein gehosteter Verifizierungsdienst wird nach dem Zeitplan des Anbieters aktualisiert, und die Nummer in einem Einbettungsskript kennzeichnet die Generation der API und keinen Build, den ein Kunde bewusst installiert hat. Niemand sollte das Versionsfeld hier also als Beleg für einen Update-Zyklus oder eine Patch-Kultur lesen.

Für einen Anbieter von Betrugsabwehr, Schutz vor Kontoübernahmen oder Identitätsprüfung versammelt die Domainliste Käufer, die bereits akzeptiert haben, dass Missbrauch ein eigener Posten im Budget ist. Für Forschende liegt der Wert woanders. Wer einen gestenbasierten Dienst den Standardlösungen vorzieht, die gängigen Frameworks beiliegen, sagt damit etwas darüber aus, welche Zielgruppen und welche Sprachen er bedient, denn zeichenbasierte Aufgaben funktionieren über Schriftsysteme hinweg schlecht, gestenbasierte dagegen nicht.

Als Anbieter erfassen wir VAPTCHA, dazu die Lizenz Proprietary, 2016 als Jahr der ersten Veröffentlichung und eine Implementierung in JavaScript, und darüber hinaus nichts über das Unternehmen hinter dem Produkt. Ältere Beschreibungen dieses Dienstes nennen ein Herkunftsland für ihn. Unsere Daten enthalten kein solches Feld, und auch eine Aufschlüsselung nach Ländern oder eine Konzentration auf bestimmte Endungen ist nicht erfasst. Ein Käufer, der wissen muss, wo diese Websites ihre Geschäfte machen, sollte das deshalb aus der Domainliste berechnen, statt einem zusammenfassenden Satz zu vertrauen, der anderswo geschrieben wurde.

Eine Abfrage pro Domain zeigt Ihnen, ob eine Website, die Sie bereits kennen, den Dienst nutzt. Die Liste klärt die Frage, auf der eine Schätzung der Marktgröße aufbaut, nämlich die Frage nach allen Betreibern, die entschieden haben, dass eine Gestenaufgabe die Reibung wert ist, die sie ihren Formularen hinzufügt.