TYPO3 Captcha: Formulare und Logins vor Bots schützen
Kurz vorweg: Einen Teil des Spamschutzes hat TYPO3 schon eingebaut. EXT:form legt ab Werk einen Honeypot in jedes Formular, der Core begrenzt Fehlversuche beim Login, und beides ist aktiv, ohne dass jemand etwas einstellt. Ein Captcha kommt dazu, wenn trotzdem Spam durchkommt oder Bots gezielt Ihre Formulare angreifen. Welches, hängt an Ihrer TYPO3-Version und daran, ob Sie EXT:form oder Powermail nutzen.
Erst die Version klären
| Version | Stand am 11.10.2026 |
|---|---|
| TYPO3 14 | seit dem 21.04.2026 aktuelle LTS-Version, gepflegt bis zum 30.06.2029 |
| TYPO3 13 LTS | Updates bis zum 31.12.2027 |
| TYPO3 12 und 11 | nur noch kostenpflichtiger erweiterter Support (ELTS) |
Viele Captcha-Erweiterungen decken nicht 12, 13 und 14 gleichermaßen ab. Powermail für TYPO3 14 gibt es noch nicht öffentlich. Bevor Sie sich festlegen, sehen Sie in Packagist oder im TER nach, welche Core-Versionen eine Erweiterung angibt.
Was TYPO3 selbst mitbringt
EXT:form fügt jedem Formular einen Honeypot hinzu, laut TYPO3 standardmäßig aktiv. Die Felder bekommen zufällige Namen und Positionen. Füllt ein Bot sie aus, verwirft TYPO3 die Eingabe. Einen Fallstrick nennt die Dokumentation gleich selbst, als FAQ-Eintrag: „The honeypot does not work with static site caching. What can I do?“ Wer Seiten über einen statischen Cache wie EXT:staticfilecache ausliefert, sollte ihn laut TYPO3 für Formularseiten abschalten, weil der Honeypot sonst nicht funktioniert.
Beim Login greift seit Version 11.3 ein Rate Limit. Ab Werk lässt es je IP-Adresse höchstens 5 Fehlversuche im Backend beziehungsweise 10 im Frontend innerhalb von 15 Minuten zu, danach antwortet TYPO3 mit HTTP 403, und ändern lassen sich die Werte in der Konfiguration unter loginRateLimit. Verteilte Angriffe von vielen Adressen bremst das nur begrenzt. Und Überlastungsangriffe hält es nicht auf, der Changelog sagt dazu: „Rate limiters do not provide a useful protection against DoS attacks.“
Powermail-Spamshield
Läuft auf der Seite Powermail von in2code, ist ein zweiter Filter schon da. Spamshield, so die Dokumentation, sei „a method to protect your mailforms from spam without the usage of a captcha field“. Acht Prüfungen zählen dabei mit, vom Honeypot über die Zahl der Links und eine Namens- und Sitzungsprüfung bis zu Wort- und IP-Sperrlisten und einem Rate Limit. Jede, die anschlägt, bringt Punkte. In der Standardeinstellung ist bei 75 Prozent Spam-Faktor Schluss, und Powermail lehnt die Nachricht ab. Außerdem steckt ein Rechen-Captcha als eigener Feldtyp im Paket. Gegen Bots, die ein Formular gezielt ansteuern, setzen viele Seiten zusätzlich eine Captcha-Erweiterung ein.
Bei Powermail und TYPO3 14 müssen Sie warten. Auf Packagist endet die öffentliche Version am 11.10.2026 bei 13.3 für TYPO3 13.4, und das hat System: Nach dem eigenen Entwicklungsmodell gibt in2code Versionen für die neueste LTS erst neun Monate nach deren Erscheinen frei.
Captcha-Erweiterungen im Überblick
| Paket | Für | TYPO3 laut Packagist | Hinweis |
|---|---|---|---|
| evoweb/recaptcha | Google reCAPTCHA | 13, 14 | rund 700.000 Downloads |
| in2code/powermailrecaptcha | reCAPTCHA für Powermail | über Powermail, bis 13 | |
| studiomitte/friendlycaptcha | Friendly Captcha für EXT:form und Powermail | 12.4, 13.4, 14.3 | von studiomitte, nicht vom Anbieter selbst veröffentlicht |
| dreistromland/typo3-hcaptcha | hCaptcha für EXT:form | keine Angabe zu 14 | Nachfolger des aufgegebenen waldhacker/hcaptcha |
| bbysaeth/typo3-altcha | ALTCHA für EXT:form | 13.4, 14 | |
| captcha-eu/typo3 | Captcha.eu | 12.4, 13.4, 14 | eigenes Paket für Powermail bis 13.4 |
| tritum/turnstile | Cloudflare Turnstile für EXT:form | 12.4, 13.4 | |
| blueways/bw-captcha | eigenes Bild-Captcha mit Audio für EXT:form | 12, 13, 14 | ohne externen Dienst |
| derhansen/form_crshield | Challenge-Response-Schutz für EXT:form | 14.3 | gleiches Prinzip für Powermail als powermail_crshield (setzt Powermail 14 voraus) |
| sjbr/sr-freecap | freeCap-Bild-Captcha | 14.3 | ohne externen Dienst |
Alle Angaben stammen von Packagist, Stand 11.10.2026. Steht dort eine Core-Version, lässt sich das Paket darauf installieren; getestet ist damit noch nicht jede Formular-Konstellation. Wer ein Bild-Captcha wählt, baut außerdem für viele Menschen eine Hürde ein, dazu mehr im Beitrag zur Barrierefreiheit von Captchas.
Myra EU CAPTCHA für TYPO3
Für TYPO3 14 hat Myra eine eigene Extension gebaut, „eu_captcha“. Die wichtigsten Punkte stehen in der Tabelle.
| Frage | Antwort |
|---|---|
| Was wird geschützt? | Frontend-Login über EXT:felogin, Formulare aus EXT:form, Backend-Login |
| Wo wird eingerichtet? | im Backend unter „System → EU-Captcha“; über „Quick Setup“ legen Sie ein Konto an, Sitekey und Secret werden automatisch übernommen |
| Wie kommt das Widget ins Formular? | bei EXT:form mit dem ViewHelper eucaptcha:widget im Template |
| Was passiert, wenn die Prüf-API nicht erreichbar ist? | die Extension lehnt die Eingabe ab, solange Sie „Failsafe Mode“ nicht einschalten; eingeschaltet gilt dann jeder API-Fehler als bestanden, auch ein Rate Limit |
| Welche Daten gehen an api.eu-captcha.eu? | bei jeder Prüfung Sitekey, Secret, Token, IP-Adresse und User-Agent |
| Woher bekomme ich sie? | als ZIP-Datei bei GitHub, nicht über Packagist |
| Wo lädt das Skript? | auf jeder Seite im Frontend, nicht nur auf Seiten mit Formular; das gehört in die Datenschutzerklärung und in die Abwägung nach § 25 TDDDG |
| In welcher Sprache? | Oberfläche und Fehlermeldung für Besucher sind derzeit nur auf Englisch |
Powermail deckt die Extension nicht ab, TYPO3 13 und älter ebenfalls nicht, und eine fertige Myra-Extension gibt es dafür derzeit nicht. Dort bleibt nur eine eigene Integration über die Prüf-API. Beim Backend ist Vorsicht angebracht. Den Backend-Login schützt Version 1.0.0 automatisch, sobald Sitekey und Secret gespeichert sind, und abschalten lässt sich das nicht. TYPO3 erzwingt im Backend seit Version 13 eine Content Security Policy; im Changelog heißt es, „security.backend.enforceContentSecurityPolicy“ sei jetzt immer aktiv. Wird das Widget dort blockiert, ist keine Anmeldung im Backend mehr möglich. Richten Sie die Extension deshalb zuerst in einer Testumgebung ein und halten Sie einen Zugang zum Dateisystem bereit, um sie notfalls zu deaktivieren.
Weitere Wege gegen Formular-Spam beschreibt der Beitrag Spam im Kontaktformular verhindern, die Frage nach der Einwilligung der Beitrag Captcha und Einwilligung.
Häufige Fragen
Hat TYPO3 einen eingebauten Spamschutz für Formulare?
Ja. Das Formular-Framework EXT:form bringt einen Honeypot mit, der laut Dokumentation standardmäßig aktiv ist. TYPO3 legt dafür Felder mit zufälligem Namen an, die leer bleiben müssen. Wer die Seiten mit einem statischen Cache wie EXT:staticfilecache ausliefert, sollte den Cache für Formularseiten laut TYPO3 abschalten.
Wie schützt TYPO3 den Login gegen Passwortraten?
Seit TYPO3 11.3 gibt es ein Rate Limit für fehlgeschlagene Anmeldungen, das standardmäßig aktiv ist: im Backend 5, im Frontend 10 Fehlversuche je IP-Adresse in 15 Minuten. Danach antwortet TYPO3 mit HTTP 403. Gegen Überlastungsangriffe hilft das laut TYPO3 nicht.
Gibt es Powermail schon für TYPO3 14?
Öffentlich auf Packagist ist Powermail am 11.10.2026 bis Version 13.3 für TYPO3 13.4 verfügbar. in2code veröffentlicht Versionen für die jeweils neueste LTS nach eigenem Entwicklungsmodell erst neun Monate nach deren Erscheinen frei.
Funktioniert Myra EU CAPTCHA mit Powermail oder TYPO3 13?
Derzeit nicht. Die Extension „eu_captcha“ ist für TYPO3 14 gebaut und schützt Frontend-Login, EXT:form und Backend-Login. Für Powermail und für ältere TYPO3-Versionen ist eine eigene Integration über die Prüf-API nötig.
Quellen
- TYPO3 Roadmap, abgerufen am 11.10.2026
- TYPO3 Form Framework 14.3, FAQ (Honeypot), abgerufen am 11.10.2026
- TYPO3 Form Framework 14.3, Finishers, abgerufen am 11.10.2026
- TYPO3 Changelog 11.3, Feature #93825: Rate limiting for failed logins, abgerufen am 11.10.2026
- TYPO3 Core DefaultConfiguration 14.3 (loginRateLimit), abgerufen am 11.10.2026
- TYPO3 Core API 14.3, Content Security Policy, abgerufen am 11.10.2026
- Powermail 13.3, Spam Prevention, abgerufen am 11.10.2026
- Powermail 13.3, Development Model, abgerufen am 11.10.2026
- Packagist, in2code/powermail, abgerufen am 11.10.2026
- EU CAPTCHA Dokumentation, TYPO3 Extension, abgerufen am 11.10.2026
- Myra Security GmbH, eu-captcha-typo3 auf GitHub, abgerufen am 11.10.2026