Binden Sie Signup Protection in Ihren Registrierungsablauf ein.

Voraussetzungen

Sie benötigen ein Emvero-Konto mit bestätigter E-Mail-Adresse, eine bearbeitbare HTTPS-Registrierungsseite und einen serverseitigen Schritt, der vor der Zugriffsfreigabe ausgeführt wird. Prüfen Sie bei gehosteter Authentifizierung oder einem Formularbaukasten, ob Sie die Browserskripte ergänzen und an dieser Stelle eine eigene Serverprüfung ausführen können.

Außerdem muss Ihr Guthaben die maximale Reservierung für die Prüfung abdecken. Ausgewertete Signale kosten 5 Credits. Die E-Mail-Prüfung wird separat berechnet. Ein unbrauchbarer Token oder ein nicht verfügbares Signalergebnis kostet für den Signalteil 0 Credits. Trotzdem muss bei Beginn des Vorgangs genügend Guthaben für die Reservierung verfügbar sein. Siehe Preise.

Anwendungsfälle und Funktionen finden Sie in der Produktübersicht zu Signup Protection.

1. Verbindung aktivieren und Seitenschlüssel erstellen

Öffnen Sie Signup Protection in Ihrem Konto und aktivieren Sie die Verbindung. Warten Sie auf den Status ready. Erstellen Sie dann einen Seitenschlüssel für den HTTPS-Origin Ihrer Registrierungsseite.

Ein Origin enthält Protokoll, Hostname und optionalen Port, etwa https://signup.example.com. Er enthält weder Pfad noch Abfrageparameter. Der öffentliche Seitenschlüssel wird im Browser verwendet. Ein separater geheimer API-Schlüssel autorisiert Prüfungen von Ihrem Server.

Im Konto finden Sie Ihre Verbindungsdaten und den Browsercode. Die Einbettungsanleitung beschreibt Origins, die versionierte Skriptdatei und die Einstellungen für Content-Security-Policy.

2. Token abrufen, sobald das Formular sichtbar wird

Installieren Sie das Tokenskript und die separat bereitgestellte Browserprüfung. Ergänzen Sie ein verstecktes Tokenfeld im Registrierungsformular. Starten Sie die Erfassung, sobald das Formular sichtbar wird und eine gegebenenfalls erforderliche Einwilligung vorliegt. Bei einem Formular in einem Dialog starten Sie beim Öffnen des Dialogs.

Schreiben Sie den zurückgegebenen Token in das versteckte Feld, damit das Formular ihn an Ihren Server übermittelt. Erneuern Sie ihn bei einem längeren Formular vor dem Ablauf und aktualisieren Sie das Feld. Wenn Sie den ersten Token erst beim Absenden abrufen, kann eine gewöhnliche Registrierung als ungewöhnlich schnell erscheinen.

Die Installationsanleitung für den Browser enthält die aktuellen Dateien, den Initialisierungscode und das Vorgehen zur Erneuerung.

3. Formularsendung von Ihrem Server aus prüfen

Lesen Sie den übermittelten Token in der serverseitigen Verarbeitung der Registrierung. Leiten Sie die tatsächlich empfangene IP-Adresse, den User-Agent und die Client Hints weiter. Berücksichtigen Sie dabei Ihre Konfiguration vertrauenswürdiger Proxys. Lassen Sie nicht verfügbare Vergleichsdaten weg.

Wählen Sie den Endpunkt passend zu Ihrer E-Mail-Prüfung:

Endpunkt	Wann Sie ihn verwenden	Ergebnis
POST /v1/signup-checks	Emvero soll E-Mail-Adresse und Besuch gemeinsam prüfen.	E-Mail-Ergebnis, Besuchsbefunde und eine kombinierte Handlungsempfehlung.
POST /v1/signup-signals	Ihre Anwendung prüft E-Mails separat oder nutzt einen anderen Anbieter.	Besuchsbefunde und eine Aktion für die Signale allein.

Beide Endpunkte benötigen Ihren geheimen API-Schlüssel auf dem Server. Der reine Signalendpunkt akzeptiert weder email noch variant. Bei einer kombinierten Prüfung wählt variant die E-Mail-Prüftiefe full oder domain. Eine Domain-Prüfung kann nicht belegen, dass ein bestimmtes Postfach existiert.

Der API-Leitfaden zu Signup Protection beschreibt Anfragebeispiele, Felder und Authentifizierung.

4. Handlungsempfehlung vor der Zugriffsfreigabe umsetzen

Lesen Sie in einer kombinierten Antwort die äußere action. Die verschachtelte email.action beschreibt nur die E-Mail-Prüfung. Sie kann davon abweichen, wenn ein Besuchsbefund eine Bestätigung verlangt.

Empfohlene Aktion	Nächster Schritt Ihrer Anwendung
allow	Registrierung gemäß Ihren Registrierungs- und Zugriffsregeln fortsetzen.
allow_with_email_confirmation	Ihre Bestätigungs-E-Mail senden und den jeweiligen Zugriff erst nach erfolgter Bestätigung freigeben.
reject	Die Ablehnung der E-Mail-Adresse im Registrierungsformular behandeln. Diese Aktion stammt aus der E-Mail-Prüfung.

Besuchssignale können eine Bestätigung verlangen. Allein empfehlen sie niemals eine Ablehnung. VPN-, Tor-, Proxy- und Hosting-Befunde sind standardmäßig informativ. Ihre Anwendung bleibt für Bestätigungsnachrichten und Zugriffsregeln verantwortlich.

Die Signalcodereferenz erklärt die einzelnen Befunde und ihre Standardaktionen.

5. Fehlende Belege und ausstehende Ergebnisse behandeln

Die folgenden Ergebnisse müssen unterschiedlich behandelt werden:

Ergebnis	Bedeutung und nächster Schritt
Fehlender oder unbrauchbarer Token	Der Besuch lässt sich anhand dieses Tokens nicht bewerten. Signale melden token_unusable und verlangen eine Bestätigung, wenn das E-Mail-Ergebnis die Registrierung sonst erlauben würde.
Signaldienst nicht verfügbar	signals.status lautet unavailable. Die kombinierte Aktion folgt dem E-Mail-Ergebnis. Bei einer reinen Signalprüfung lautet die Aktion allow, ohne dass der Besuch bewertet wurde. Wenden Sie Ihre festgelegten Ausfallregeln an.
E-Mail-Prüfung noch ausstehend	Solange die E-Mail-Prüfung aussteht, verlangt die kombinierte Aktion eine Bestätigung. Rufen Sie die gespeicherte Prüfung nach email.retry_after_ms ab. Der Besuch wird nicht erneut ausgewertet.

Ein blockiertes Browserskript kann dazu führen, dass das Formular keinen Token enthält. Das ist von einem nicht verfügbaren Signaldienst zu unterscheiden. Ebenso kann ein einzelner Browservergleich als nicht ausgewertet gemeldet werden, während das gesamte Signalergebnis evaluated lautet.

Verwenden Sie bei einer Wiederholung wegen eines Übertragungsfehlers denselben Idempotency-Key und Anfragetext für den ursprünglichen Vorgang. Die Dokumentation zu ausstehenden Prüfungen und Idempotenz beschreibt das vollständige Verhalten.

6. Vollständigen Registrierungsablauf verifizieren

Senden Sie eine Testregistrierung über Ihren eigenen zugelassenen HTTPS-Origin und Server. Prüfen Sie das gespeicherte Ergebnis und stellen Sie sicher, dass:

• das Formular einen Token liefert und Ihr Server die verfügbaren Anfragedaten weiterleitet;
• das Ergebnis signals.status: evaluated meldet;
• Ihre Anwendung die äußere Aktion umsetzt, bevor sie den jeweiligen Zugriff gewährt;
• Bestätigung und Behandlung nicht verfügbarer Ergebnisse Ihren festgelegten Regeln folgen.

Eine betriebsbereite Verbindung, ein Seitenschlüssel oder erfasster Datenverkehr aus dem Browser belegen nicht, dass dieser Ablauf funktioniert. Nach einer ausgewerteten Prüfung müssen Sie weiterhin verifizieren, wie Ihre Anwendung auf das Ergebnis reagiert.

Lesen Sie die Datenschutzerklärung und die Sicherheitsinformationen, wenn Sie Erfassung, Aufbewahrung und Entfernung planen. Emvero verarbeitet Besuchsdaten in der eigenen EU-Infrastruktur. Die Aufbewahrungsfrist von 30 Tagen für Signalergebnisse gilt nicht für sämtliche Verbindungsbeobachtungen oder Statistiken.