홈페이지 문의폼 스팸, 캡차 없이 막는 법

문의폼에 도배되는 스팸 제출, 이미지 캡차 없이도 대부분 막을 수 있다. 핵심은 사람 눈에는 보이지 않는 함정 필드(허니팟)와 제출 속도 검사, 서버 측 검증을 조합하는 것이다.

리캡차 같은 이미지 인증은 방문자에게 번거로운 단계를 하나 더 얹는다. 신호등·자전차 찾기에 실패해 이탈하는 방문자도 실제로 발생한다. 문의폼은 곧 매출로 이어지는 접점이므로, 스팸을 막느라 진짜 고객을 놓치면 손해다.

캡차 없이도 문의폼 스팸을 막을 수 있나요?

가능하다. 스팸 제출의 대부분은 사람이 아니라 단순 반복 스크립트(봇)가 보낸다. 이런 봇은 화면을 눈으로 보지 않고 폼의 HTML 코드만 읽어 필드를 채운다. 이 특성을 역이용하면 캡차 없이도 상당수를 걸러낼 수 있다.

가장 널리 쓰이는 세 가지 방법은 허니팟 필드, 타이밍 트랩, 서버 측 검증이다. 세 가지를 함께 쓰면 이미지 캡차 하나보다 오히려 차단률이 높다는 사례가 많다.

캡차를 아예 없애는 게 목표가 아니다. 진짜 고객이 겪는 마찰을 줄이면서, 봇이 걸리는 함정을 늘리는 것이 핵심이다.

허니팟 필드는 어떻게 작동하나요?

허니팟은 폼에 사람 눈에는 보이지 않는 입력 필드를 하나 추가하는 방식이다. CSS로 화면 밖으로 밀어내거나 투명 처리해 사람은 존재를 모르지만, 코드만 읽는 봇은 이 필드도 다른 필드처럼 채워 넣는다.

서버는 이 필드에 값이 들어오면 무조건 스팸으로 처리하고 조용히 버린다. 필드 이름은 "website"나 "company_url"처럼 봇이 그럴듯하게 채우고 싶어할 이름으로 지으면 걸릴 확률이 올라간다.

• 나쁜 예: display:none만 쓴다 — 일부 정교한 봇은 이 속성을 감지해 건너뛴다.
• 좋은 예: 화면 밖으로 위치를 옮기거나(position:absolute; left:-9999px) 투명도로 숨겨, 더 다양한 봇 패턴에서도 걸리게 만든다.

타이밍 트랩과 서버 측 검증은 왜 필요한가요?

사람은 폼을 열고 최소 몇 초는 읽고 입력한다. 반면 봇은 페이지를 열자마자 0.1초 안에 제출하는 경우가 흔하다. 폼이 화면에 뜬 시점을 서버에 숨겨 기록해두고, 제출 시각과 비교해 너무 빠르면 걸러내는 방식이 타이밍 트랩이다.

여기에 서버 측 검증을 반드시 더해야 한다. 자바스크립트로만 검증하면 봇이 자바스크립트를 실행하지 않고 바로 서버로 값을 전송해버리면 무용지물이다. 이메일 형식, 필수 항목 누락, 메시지 안의 URL 개수 같은 조건은 서버에서 한 번 더 확인해야 한다.

같은 IP·같은 내용으로 짧은 시간에 반복 제출되면 요청을 제한(레이트 리밋)하는 것도 효과적이다. 사람은 폼을 몇 초 만에 다시 제출하지 않는다.

그래도 캡차가 필요한 경우는 언제인가요?

위 방법으로도 스팸이 계속 뚫린다면 그때는 비침해형 검증을 추가하는 편이 낫다. 대표적인 것이 Cloudflare Turnstile이다. 이미지를 고르거나 체크박스를 누르는 절차 없이, 브라우저 신호를 배경에서 분석해 대부분의 방문자는 아무것도 하지 않아도 통과한다. 무료로 제공돼 워드프레스나 자체 제작 홈페이지 모두에 붙일 수 있다.

정리하면 순서는 이렇다. 먼저 허니팟·타이밍 트랩·서버 검증으로 기본 방어선을 세운다. 스팸이 계속 새어 나온다면 Turnstile 같은 비침해형 검증을 얹는다. 이미지 캡차는 문의량이 많고 다른 방법이 모두 실패했을 때 마지막 선택지로 남겨둔다.

문의폼은 방문자가 실제 상담·구매로 넘어가는 가장 중요한 접점 중 하나입니다. 스팸 차단과 방문자 경험 사이에서 균형을 잡기가 막막하다면, 이루웹의 홈페이지 제작 서비스에서 폼 설계부터 서버 검증까지 함께 점검해 드리고 있습니다. 문의폼 전환율까지 함께 잡는 법도 참고하시고, 홈페이지 필수 페이지 체크리스트로 나머지 구성도 살펴보시기 바랍니다. 궁금한 점은 이루웹에 문의해 주시면 상황에 맞는 방법을 안내해 드리겠습니다.