그누보드5 스팸봇차단 – 구형 이미지 캡차 허점 해결하기

웹사이트 문의 폼을 운영하다 보면 어느 순간부터 의미를 알 수 없는 영문·숫자 조합의 스팸 문의가 쌓이기 시작합니다. 사람이 쓴 글이 아니라 자동화된 봇이 폼에 값을 채워 넣고 전송하는 것입니다. 이번 글에서는 캡차(자동등록방지)만으로 막히지 않는 스팸봇을, 자바스크립트 실행 여부를 검증하는 방법으로 걸러 낸 과정을 정리합니다.

캡차만으로는 왜 부족한가

문의 폼에는 이미 여러 겹의 방어가 있었습니다. 요청 위조 방지 토큰, 사람 눈에 안 보이는 허니팟 필드, 최소 작성 시간(3초) 검사, 연속 전송 제한, 그리고 이미지 캡차까지 적용되어 있었습니다. 그런데도 스팸이 들어왔습니다.

서버 처리 코드를 한 줄씩 확인한 결과, 코드 자체에는 문제가 없었습니다. 원인은 다른 데 있었습니다. 구형 이미지 캡차는 문자 인식(OCR)이나 캡차 해독 서비스로 자동으로 뚫립니다. 즉 봇이 폼 페이지를 실제로 열고, 캡차를 풀고, 정상적인 흐름처럼 전송하면 기존 방어를 모두 통과할 수 있습니다.

동작 원리

구조는 단순합니다. 서버가 폼을 내려 줄 때 임의의 숫자(시드)를 세션에 저장하고, 그 시드를 자바스크립트로 전달합니다. 브라우저는 이 시드로 정해진 계산을 수행해 히든 필드에 결과값을 채웁니다. 폼이 전송되면 서버는 그 결과값이 자신이 계산한 값과 일치하는지 확인합니다.

실제 방문자는 브라우저가 자동으로 계산을 처리하므로 아무것도 느끼지 못합니다. 반면 자바스크립트를 실행하지 않는 봇은 이 값을 비워 둔 채 전송하게 되고, 서버 검증에서 걸러집니다.

1단계 — 폼 페이지에 시드와 계산 심기

폼을 출력하는 페이지에서, 세션에 임의의 시드를 저장합니다. 그리고 값을 담을 히든 필드와, 그 값을 계산해 채우는 짧은 스크립트를 넣습니다.

<?php
// 세션에 검증용 시드 저장
$_SESSION['js_seed'] = mt_rand(100000, 999999);
?>

<form method="post" action="/contact_send.php">
    ... 이름 · 이메일 · 내용 등 입력칸 ...

    <!-- 값을 담을 히든 필드 (비어 있음) -->
    <input type="hidden" name="js_answer" id="js_answer" value="">

    <button type="submit">문의 보내기</button>
</form>

<script>
(function () {
    var seed = <?php echo (int) $_SESSION['js_seed']; ?>;
    function fill() {
        var el = document.getElementById('js_answer');
        if (el) { el.value = (seed * 3 + 17); }   // 정해진 계산식
    }
    if (document.readyState !== 'loading') { setTimeout(fill, 400); }
    else { document.addEventListener('DOMContentLoaded', function () { setTimeout(fill, 400); }); }
})();
</script>

2단계 — 서버에서 값 검증하기

폼을 처리하는 서버 코드에서, 전송된 값이 세션 시드로 계산한 값과 일치하는지 확인합니다. 일치하지 않으면 처리하지 않고 중단합니다.

<?php
// 세션 시작 (이미 시작돼 있으면 생략)
if (session_status() !== PHP_SESSION_ACTIVE) session_start();

// 자바스크립트 실행 검증
$answer = isset($_POST['js_answer']) ? (int) $_POST['js_answer'] : 0;
$seed   = isset($_SESSION['js_seed']) ? (int) $_SESSION['js_seed'] : 0;

if ($seed === 0 || $answer !== ($seed * 3 + 17)) {
    exit('비정상적인 접근입니다.');   // 봇 차단
}

// 재사용 방지 — 한 번 쓴 시드는 폐기
unset($_SESSION['js_seed']);

// ... 이하 정상 저장 처리 ...

적용 결과와 한계

이 방식을 적용한 뒤, 값만 전송하던 방식의 스팸봇은 검증 단계에서 그대로 차단되었습니다. 기존 캡차·허니팟·속도 제한은 그대로 두고 그 위에 한 겹을 더한 것이므로, 방어가 약해지는 부분도 없습니다.

다만 이 방법이 만능은 아닙니다. 헤드리스 브라우저처럼 자바스크립트를 실제로 실행하는 고급 봇은 이 관문도 통과할 수 있습니다. 그 단계까지 대응해야 한다면 서버 측 점수 기반 캡차(예: reCAPTCHA v3) 도입을 검토하게 됩니다. 하지만 실무에서 유입되는 스팸의 상당수는 값만 전송하는 단순 봇이므로, 이 한 겹만으로도 체감되는 스팸량은 크게 줄어듭니다.