[3.3] Friendly Captcha for phpBB

[Joe Kolade]

Name der Extension: Friendly Captcha for phpBB

Autoren: Moe (unter Mitwirkung von Joe Kolade)

Version: 1.0.0

Sprachen: de, de_x_sie, en

Beschreibung:
Friendly Captcha-Erweiterung für phpBB.
Sie fügt Friendly Captcha als CAPTCHA-Plugin für den Spam-Schutz von phpBB hinzu.

Diese Erweiterung ist ein Fork von Alfredo Ramos' hCaptcha-Erweiterung für phpBB, angepasst, um mit Friendly Captcha statt hCaptcha zu arbeiten.
Originalerweiterung: https://github.com/AlfredoRamos/phpbb-ext-hcaptcha

Hinweis:
Die Erweiterung wurde bisher nur auf der eigenen phpBB-Installation getestet.

Screenshots:
Konfigurationsbereich

Voraussetzungen:
phpBB >=v3.3.0
php >= v7.1.3
Friendly Captcha Sitekey and API Key

Download:
https://github.com/MoeMorox/phpbb-ext-f ... /releases/

Installation der Erweiterung:
Nach dem Download die Erweiterung extrahieren und den gesamte Ordner moemorox nach root/ext hochladen ({PHPBB_ROOT}/ext/moemorox/friendlycaptcha/).
Im Administrations-Bereich (ACP) unter „Anpassen“ > „Erweiterungen verwalten“ und die Erweiterung „Friendly Captcha“ aktivieren.

Konfiguration der Erweiterung:
Gehe zum Administrations-Bereich (ACP) unter „Allgemein“ > „Board-Konfiguration“ > „Anti-Spam-Bot-Maßnahmen“.
Wähle unter „Verfügbare Plugins“ Friendly Captcha aus den installierten CAPTCHA-Plugins und dann „Konfigurieren“.
Gib deinen Friendly Captcha-Sitekey und API-Schlüssel aus dem Friendly Captcha-Dashboard ein.
Speichere die Konfiguration.

Die zusätzlichen Optionen und Einstellungen sind selbsterklärend.

Hinweise zu Friendly Captcha:
Friendly Captcha ist eine Captcha-Alternative zu bekannten Lösungen wie reCaptcha und hCaptcha. Friendly Captcha (mit Sitz in der EU) ist vollständig barrierefrei, WCAG-konform, DSGVO-konform und erfordert keine vorherige Zustimmung des Benutzers, um zu funktionieren. Es verwendet weder HTTP-Cookies noch persistente Browser-Speicher (wie LocalStorage oder IndexedDB) zur Nutzerverfolgung und speichert keine persönlichen Daten.
Für kleinere, nicht-kommerzielle Websites bzw. Anwendungen mit einem geringem Besucheraufkommen bis zu 1.000 Anfragen pro Monat für eine Domain steht ein kostenloser Tarif zur Verfügung.

Changelog:
v1.0.0 (11.07.2026)
- Erste Version
v1.0.1 (11.07.2026)
- Update translations
- Fix friendlycaptcha widget too high

[LukeWCS]

Hi Joe

Da hätte ich eine Frage:

Für kleinere, nicht-kommerzielle Websites bzw. Anwendungen mit einem geringem Besucheraufkommen bis zu 1.000 Anfragen pro Monat für eine Domain steht ein kostenloser Tarif zur Verfügung.

Wenn man bedenkt, wie massiv inzwischen Webseiten und Foren von KI Bots belagert werden, sind 1.000 Anfragen selbst für ein kleines Forum so gut wie nichts, denn soviel Anfragen kriegen manche ja schon in ein paar Tagen zusammen. Was genau passiert denn, wenn die 1000 Anfragen des kostenlosen Tarifs überschritten werden? Weil 9€ für ein kleines Forum ala Oldtimer/Aquarium/Stricken/Briefmarken finde ich schon ganz schön stramm, insbesondere wenn mit dem Forum keine Einnahmen erzielt werden.

[Joe Kolade]

Hallo,

unter https://support.friendlycaptcha.com/en/ ... ed-9p9vja/ ist beschrieben, wie Friendly Captcha eine Anfrage bzw. einen Request zählt und was passiert, wenn die 1.000 Anfrage pro Monat beim kostenlosen Tarif erreicht werden.

Bei dem von mir betreuten Forum nutze ich Friendly Captcha nur bei der Registrierung neuer Mitglieder. Das sind (über den Zeitraum der letzten 3 Monate) durchschnittlich ca. 95 (+/- 20 Prozent) Neuanmeldungen bzw. Registrierungen monatlich. Die Statistik von Friendly Captcha gibt bei der Abrechnung knapp 180 Challenges pro Monat an. Und bei der sog. Schutzstatistik wurden in den vergangenen drei Monaten 18 ungültige Verifizierungen (von Friendly Captcha abgelehnt), 306 erfolgreiche Verifizierungen (von Friendly Captcha genehmigt) und 82 "Herausforderungen" (noch nicht eingereicht einschließlich regulärer Benutzer und Bots) ausgegeben.

Bis dato hatte ich noch keinen einzigen "Ausfall" bzw. eine Rückmeldung infolge einer Überschreitung des monatlichen Limits.

Für mich steht Datenschutz im Vordergrund, der bei Friendly Captcha optimal gegeben ist (keine Cookies und kein Tracking persönlicher Daten). Zudem ist es vollständig barrierefrei (WCAG 2.2 AA konform).
Und bislang komme ich mit den bis zu 1.000 Registrierungen/Logins pro Monat gut aus. Aktuell wird bei Friendly Capchta die Erweiterung geprüft. Vielleicht ergibt sich ja noch ein spezielles Angebot für die Nutzer von phpBB?!

Gruß Joe

[LukeWCS]

Mahlzeit

Danke für deine Infos Joe und den Link. Bei letzterem ist es primär dieser Satz der für mich interessant ist:

Please note that we have built-in basic headless browser detection that filters out very basic automated bots. This feature prevents puzzle requests from being submitted in such cases. Simple bots will not be counted as a puzzle request.

Was deine statistischen Daten angeht: 306 Captcha Freigaben in 3 Monaten würde bedeuten, maximal 306 Registrierungen in 3 Monaten, sofern nicht phpBB-seitig ein paar davon abgelehnt wurden, wegen simpler Formularfehler.

Für mich steht Datenschutz im Vordergrund, der bei Friendly Captcha optimal gegeben ist (keine Cookies und kein Tracking persönlicher Daten). Zudem ist es vollständig barrierefrei (WCAG 2.2 AA konform).

Damit hier kein falscher Eindruck entsteht: Cookies an sich, sind nicht automatisch DSGVO-problematisch. Es hängt von deren Natur ab, wie der Dienst-Betreiber sie behandeln muss. Bei rein technischen Cookies ist es z.B, nicht erforderlich, diese mit einem Consent Manager regeln zu müssen, aber sie müssen zumindest in der DSE erwähnt und deren Natur erklärt werden. Das jedenfalls ist mein letzter Info-Stand.

Also selbst wenn Friendly Captcha ein Cookie einsetzen würde, ist das kein Problem, wenn dessen Daten nicht etwa für Tracking an Dritte weitergegeben werden, sondern wirklich nur für den rein technischen Ablauf (wie bei phpBB Cookies) benötigt werden.

Hintergrund meiner Anfrage:

Schon vor Jahren war die hCaptcha Ext von Alfredo potentiell interessant für mich, weil ich damals leider ReCaptcha (was bis Dato alle anderen Captchas technisch locker geschlagen hat) wegen DSGVO aufgeben musste, aber auch die hCaptcha Ext ist leider nicht vollständig DSGVO-kompatibel, weshalb ich mich damals für Sortables Captcha als Alternative entschied.

Allerdings habe ich gestern mit Gemini ein - zumindest für mich - interessantes kleines Experiment durchgeführt in Bezug auf Sortables Captcha. Kurz gesagt: die Tage dieser Ext sind definitiv gezählt und es ist nur noch eine Frage der Zeit, bis Spammer das gezielt ausnutzen. Es muss also eine Alternative her.

[Joe Kolade]

Es ist sicher so, dass auf der rechtlichen Grundlage des berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) für einen mit Cookies funktionierenden Captcha-Dienst ein Consent Manager nicht zwingend nötig ist. Aber oft genug wird er empfohlen, um die datenschutzrechtliche Grauzone bezüglich der gesetzten Cookies und externen Verbindungen rechtssicher abzufedern. Ohne Consent Manager besteht nach Einschätzung einiger Datenschutz-Experten das verbleibende Risiko, dass die Cookie-Setzung als nicht einwilligungsfrei gewertet wird bzw. werden könnte.

Insoweit finde ich schon mal gut, dass Friendly Captcha diese nicht benötigt.

Auch ich hatte über Jahre Derkys Sortables Captcha im Einsatz. Aber einige Nutzer hatten wiederholt Probleme damit, weshalb ich nach einer unkomplizierten Lösung gesucht hatte. Letztlich war dann meine Entscheidung für Friendly Captcha eine Entscheidung gegen Cloudflare Turnstile. Hier sehe ich besonders die Übermittlung von Daten an Cloudflare als problematisch, da Cloudflare als US-amerikanisches Unternehmen unter den US Cloud Act fällt. Soweit ich so etwas vermeiden kann, vermeide ich es.
In diesem Zusammenhang ist auch die Lektüre von https://friendlycaptcha.com/de/insights ... stile-gdpr ganz interessant.

Gruß Joe

[chris1278]

Also sobald man daten extern nachladen mus sollte man das mit einem cookie manager erlauben.

@edit

Ok hab das mal getestet.

Fazit:

Fakt ist das dieses Tool externe Daten nachlädt. Ob sich der Server dann in der EU Befindet kann ich selber nicht sageb.

Der lädt je nach einstellung (Global/Eu) .frcapi.com nach.

Auch hier würde ich empfehlen das mit einem Cookie Manager zu verknüpfen.

Weil ich denke nicht das man das berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) als ausrede dafür nutzen kann.

Da wäre ich vorsichtig.

Und da man die EU Variante nur in einer bezahlten klasse nutzen kann wäre ich vorscihtig.

Bei der Globalen variante steht bei friendlycaptcha:

Standardmäßig greift das FriendlyCaptcha-Widget auf unseren globalen Dienst zu, der weltweit bereitgestellt wird, um CAPTCHA-Rätsel abzurufen. Je nach Standort Ihrer Nutzer kann diese Anfrage von außerhalb der EU bearbeitet werden.

Als Premium-Funktion bieten wir einen dedizierten Endpunkt in Deutschland an, um zusätzlich zu garantieren, dass personenbezogene Daten (d. h. Besucher-IP-Adressen) niemals die EU verlassen.

Also wie gesagt da wäre ich vorsichtig. Ich persönlich habe bei allem was ich mache an webseiten alles was extern lädt durch cokkie manager abgesichert.

[Joe Kolade]

Nein, Friendly Captcha nutzt keine Cookies oder Tracker und speichert auch keine persönlichen Daten der Nutzer.

Die Domain .frcapi.com wird von Friendly Captcha für die Captcha-Prüfung genutzt, dient jedoch nicht als Cookie und hinterlässt keine personenbezogenen Spuren auf dem Gerät des Website-Besuchers.

In der Datenschutzerklärung muss der Einsatz von Friendly Captcha erwähnt werden, aber es ist kein Cookie Consent erforderlich.

Gruß Joe

[chris1278]

Nicht ganz ich meinte jetzt auch weniger die cookies.

geh mal z.B. in den Firefoy und öffne dort die seite wo das captcha angezeigt wird.

Dann gehst du mit der Maus in das FEnster und öffnest durch klicken der Rechten Maustaste das sogenannte Kontext-Menu. Dort wählst du "durchsuchen" aus.

in der Konsole die sich dann öffnet wählst du Debugger aus:

https://prnt.sc/KE_18-5MhgHJ

Dann siehst du was ich mene.

[Joe Kolade]

Ich weiß, was du meinst. Habe es ja bereits erklärt.

[chris1278]

Ok. Wollte das nur anmerken.