Verlorene Bestellungen und Registrierungen
Jedes zusätzliche Rätsel ist eine Stelle, an der Kunden abspringen. Die unsichtbare Verifizierung fügt keinen Schritt hinzu.
WEDOS PoW
Menschen erkennen ohne Bilder und Cookies
WEDOS PoW erkennt, dass ein Formular von einem Menschen gesendet wurde. Der Browser löst im Hintergrund eine kurze Rechenaufgabe – der Besucher löst nichts, ein Bot mit Tausenden Anfragen zahlt mit Rechenleistung. Funktioniert auf jeder Website. Mit WEDOS.protection schützt es die ganze Domain, Apps und APIs.
- Im Free-Tarif kostenlos, auch für Firmenwebsites
- Daten in der EU gespeichert
- Keine Bilder, keine Puzzles
Wird gerade in Ihrem Browser berechnetSimulation · es wird nichts gesendet
anna@example.de
Guten Tag, ich habe eine Frage zu meiner Bestellung…
Wird vorbereitet…
Versuche0
Zeit0,00 s
Geschwindigkeit–
SHA-256(salt + n) = …
- 0 RätselBesucher lösen und abtippen nichts
- Daten in der EUauch ein bestimmtes EU-Land wählbar
- ISO/IEC 27001zertifizierter Betrieb
- BSI-QualifizierungAnbieter von DDoS-Schutz (§ 3 BSIG)
- Seit 1997unabhängiges Unternehmen ohne Investoren
Warum kein Bild-CAPTCHA
Bild-CAPTCHAs halten Kunden auf, bis sie den Warenkorb abbrechen, und schließen Menschen mit Sehbehinderung aus. Bots lassen sie sich derweil billig lösen. Die Verifizierung durch Berechnung dreht die Regeln um: Der Mensch tut nichts, wer Tausende Anfragen sendet, zahlt für jede einzelne.
# der Server stellt aus: salt = "9f2c…?expires=…", Ziel = SHA-256(salt + ?) # der Browser sucht eine passende Zahl: SHA-256(salt + 0) ✗ SHA-256(salt + 1) ✗ … SHA-256(salt + 48 213) ✓ # Bruchteil einer Sekunde für Menschen, # Stunden Rechenzeit für eine Million Anfragen
Eine Barriere für Menschen mit Behinderung
Bilder und verzerrte Codes kann ein Screenreader nicht lesen. Die Anforderungen an Barrierefreiheit für Onlineshops und Dienste in der EU sind strenger geworden.
Spam, Passwort-Raten und Fake-Konten
Bots füllen Formulare aus, probieren geleakte Passwörter, legen Konten an und kaufen Ware auf. Ohne Verifizierung landet das alles auf Ihrem Server.
So funktioniert PoW
Das WEDOS-Netz stellt die Challenge aus und prüft sie. Sie installieren nichts auf Ihrem Server und müssen das Hosting nicht wechseln.
Sie binden das Widget ein
Sie fügen dem Formular ein Element mit der Challenge-Adresse Ihrer Domain und einem Schlüssel aus der Verwaltung hinzu.
Der Browser erhält eine Challenge
Vom nächsten WEDOS-Knoten kommt eine einmalige, signierte Aufgabe mit begrenzter Gültigkeit.
Er löst sie im Hintergrund
Das dauert typischerweise Zehntelsekunden. Der Besucher tippt weiter, sieht nichts und löst nichts.
Nur Verifizierung – die Website bleibt, wo sie ist
Für Formulare, Anmeldungen, Registrierungen und Warenkörbe. Bei jedem Hosting, bei jedem Anbieter. Sie leiten den Website-Traffic nicht über den Schutz und ändern keine DNS-Einträge.
- Drei Varianten: unsichtbar, Checkbox-Widget, Challenge-Seite
- Challenges stellt das WEDOS-Netz aus, nicht Ihr Server – auch bei einem Bot-Ansturm
- In jedem WEDOS.protection-Tarif enthalten, im Free-Tarif kostenlos auch für kommerzielle Websites
pow.wedos.global/<domain>Schlüssel aus der Verwaltung
Die ganze Domain – Menschen, Apps und Maschinen
Wenn der Website-Traffic über WEDOS.protection läuft, läuft die Challenge direkt am Netzwerkrand, noch bevor die Anfrage Ihren Server erreicht. Und wer schon verifiziert ist, muss sich nicht erneut verifizieren.
- Challenge am Netzwerkrand für verdächtigen Traffic – standardmäßig aktiv
- Der Challenge-Pass gilt auf allen Knoten, auch nach einem Netzwechsel
- Zugang ohne Challenge für Maschinen: signiertes Token, JWT, Client-Zertifikat
HMACJWTmTLSRFC 9440
Was PoW kann
Alles ist Teil der WEDOS.protection-Tarife. Bei jeder Option steht der niedrigste Tarif, der sie enthält.
Menschen auf der Website
mit oder ohne Proxy, jede WebsiteUnsichtbare ChallengeFree
Wird beim Absenden des Formulars berechnet. Der Besucher sieht nichts, das Formular wird einfach gesendet.
Checkbox-WidgetFree
Ein sichtbares „Ich bin kein Roboter“: ein Klick, keine Bilder. Der Nutzer sieht, dass etwas passiert.
Challenge-SeiteFree
Eine kurze Zwischenseite vor einem geschützten Bereich – Aktionen, Registrierung, Verwaltung.
Mit Proxy über den Schutz
Menschen und Apps auf der ganzen DomainChallenge am NetzwerkrandFree
Verdächtiger Traffic erhält eine Challenge, bevor er den Server erreicht. Die Regeln schreibt unser Team, sie gelten automatisch.
Challenge-PassNoLimit
Nach gelöster Challenge ein signierter Pass in Cookie, Header oder Parameter. Er gilt auf allen WEDOS-Knoten auch nach einem IP-Wechsel, etwa wenn das Handy vom WLAN ins Mobilnetz wechselt.
Maschinen und Systeme
Zugang ohne Challenge, mit Proxy über den SchutzSigniertes HMAC-TokenNoLimit Expert
Ihr System signiert Methode, Domain, Pfad und Ablaufzeit mit einem geheimen Schlüssel. Der Header X-WGP-Token passiert ohne Challenge, WAF und Limits gelten weiter.
Signierter LinkNoLimit Expert
Ein temporärer Link für einen Download oder eine einzelne Seite. Nach Ablauf oder mit geändertem Pfad ist er ungültig.
JWTNoLimit Expert
Ein Token aus Ihrer eigenen Anmeldung (HS256, HS384, HS512). Wir prüfen Signatur, Aussteller, Empfänger und Gültigkeit.
Client-Zertifikat (mTLS)NoLimit Expert
Wir prüfen das Zertifikat am Netzwerkrand gegen Ihre Zertifizierungsstelle, optional als Pflicht. Ihrem Server übergeben wir es im Header Client-Cert nach RFC 9440.
Probieren Sie es im Browser aus
Die Berechnung ist echt – nach demselben Prinzip wie im Live-Dienst. Für die Demo erstellt und prüft Ihr Browser die Challenge jedoch selbst, und es wird nichts gesendet.
Die unsichtbare Challenge und das Checkbox-Widget laufen hier live: Die Challenge stellt das WEDOS-Netz aus, das Widget wird von pow.wedos.global geladen. Das Formular wird nirgendwohin gesendet. Die übrigen Demos simulieren die Berechnung im Browser.
Unsichtbare Challenge im Formular
Der Besucher füllt das Formular aus und klickt auf Senden. In diesem Moment läuft die Berechnung im Hintergrund, und mit dem Formular wird ein signiertes Ergebnis gesendet.
- Kein zusätzliches Element, keine Interaktion
- Geeignet für Kontaktformulare, Kommentare, Newsletter
Checkbox-Widget
Eine sichtbare Bestätigung für Stellen, an denen Nutzer wissen sollen, dass die Website sie verifiziert – Anmeldung, Registrierung, Bestellung.
- Ein Klick, keine Bilder und kein Text zum Abtippen
Ich bin kein Roboterzum Verifizieren klicken
Geschützt durchWEDOS.protection
Challenge-Seite
Eine ganzseitige Challenge vor dem Zugang zu einem geschützten Bereich der Website. Passt für Aktionsangebote, die Kauf-Bots anziehen, oder für den Zugang zur Verwaltung.
- Dauert den Bruchteil einer Sekunde, dann öffnet sich die Seite von selbst
- Mit Proxy läuft dieselbe Challenge direkt am Netzwerkrand
https://ihr-shop.de/
Ihr Onlineshop
Klicken Sie auf „Geschützte Seite öffnen“.
Challenge-Pass
Der Besucher löst die Challenge einmal und bewegt sich dann ohne weitere Challenges auf der Website. Der Pass ist signiert und gilt im ganzen WEDOS-Netz, sodass ihn auch der Netzwechsel des Handys nicht ungültig macht.
- Träger: Cookie
wgp_ok, HeaderX-WGP-Passoder Parameter - Gültigkeit einstellbar (standardmäßig 15 Minuten), gebunden an Domain und Browser-Fingerprint
- WAF, Limits und Sperren gelten weiter – der Pass überspringt nur die Challenge
# Klicken Sie auf „Demo starten“.
Tokens für Maschinen
Monitoring, Partner-Integrationen, mobile Apps oder Cronjobs können keine Challenges lösen. Sie signieren die Anfrage mit einem geheimen Schlüssel und passieren ohne Challenge. Die Tokens unten werden live berechnet, auf dieselbe Weise, wie der Schutz sie prüft.
Client-Zertifikat (mTLS)
Für Schnittstellen zwischen Systemen, bei denen sich der Client mit einem Zertifikat Ihrer Zertifizierungsstelle ausweist. Die Prüfung erfolgt am Rand des WEDOS-Netzes, bevor die Anfrage Ihren Server erreicht.
- Optionaler Modus: mit gültigem Zertifikat ohne Challenge, ohne Zertifikat der übliche Schutz
- Pflichtmodus: ohne gültiges Zertifikat Antwort 403 mit Log-Eintrag
- Ihrem Server übergeben wir das Zertifikat im Header
Client-Cert(RFC 9440), ein vom Client gefälschtes löschen wir
# Client mit Zertifikat Ihrer CA
curl --cert client.pem --key client.key https://api.ihre-website.de/v1/status
← 200
# ohne Zertifikat, Pflichtmodus
curl https://api.ihre-website.de/v1/status
← 403 # im Log: mTLS client certificate required
# was Ihr Server erhält
Client-Cert: :MIIC…base64 DER…:
Was eine Challenge kostet – Mensch und Bot
Die Schwierigkeit bestimmt, in welchem Bereich der Browser sucht. Messen Sie, wie lange eine Challenge auf diesem Gerät dauert und wie viel Rechenzeit eine Million Anfragen kosten würde.
- Ein Mensch sendet ein Formular einmal – ein paar Zehntelsekunden merkt er nicht
- Ein Bot sendet Tausende Anfragen – und zahlt für jede
- PoW verteuert Massenangriffe, kann allein aber Mensch und Bot nicht unterscheiden. Deshalb kombinieren wir es mit Reputation und Limits.
Challenge im Schnitt–
Geschwindigkeit–
1 Mio. Challenges–
„1 Mio. Challenges“ = Stunden Rechenzeit eines Kerns dieses Geräts.
Wo PoW passt
Onlineshops
Registrierung, Warenkorb, Rabattcodes und Aktionen, die Kauf-Bots anziehen.
Anmeldung
Macht das Ausprobieren geleakter Passwörter für Angreifer teuer, ohne Menschen bei der Anmeldung aufzuhalten.
Formulare
Kontaktformulare, Kommentare, Anfragen und Newsletter ohne Spam.
Öffentliche Verwaltung und NIS2
Barrierefreie Verifizierung und Daten in der EU bei einem unabhängigen europäischen Unternehmen.
Apps und APIs
Challenge-Pass für Single-Page-Apps und mobile Websites.
Systemintegrationen
Signierte Tokens, JWT und Client-Zertifikate für Maschinen, die keine Challenge lösen.
Agenturen und Hoster
Ein Konto für Dutzende Kunden-Websites.
Websites überall
Sie brauchen weder WEDOS-Hosting noch müssen Sie den Website-Traffic über den Schutz leiten.
So setzen Sie PoW ein
Das Widget basiert auf dem Open-Source-Widget ALTCHA. Die Maschinen-Demos entsprechen dem, was der Schutz prüft.
Dienst für die Domain aktivieren
In der Verwaltung von WEDOS.protection wählen Sie pro Domain, ob der gesamte Traffic über den Schutz läuft oder nur die Verifizierung. Sie aktivieren PoW, erzeugen einen Salt, und der Schlüssel für Ihren Code wird angezeigt.
Widget ins Formular einbinden
Die Challenge-Adresse lautet
pow.wedos.global/<domain>?key=…. Der Schlüssel ist öffentlich, im HTML sichtbar und schaltet allein nichts frei.Schlüsselwechsel ohne Ausfall
Ein neuer Salt verschiebt den alten in die Reserve. Während des Wechsels gelten beide Schlüssel.
<!-- Widget aus dem WEDOS-Netz, keine Drittanbieter --> <script type="module" src="https://pow.wedos.global/_cap/altcha-2.1.0.min.js"></script> <form method="post" action="/kontakt"> <input name="email" type="email" required> <altcha-widget challengeurl="https://pow.wedos.global/ihre-website.de?key=IHR_SCHLUESSEL" auto="onsubmit"></altcha-widget> <button>Senden</button> </form>
# mit Proxy, Zugang ohne Challenge (NoLimit Expert) # Signatur: HMAC-SHA256(Schlüssel, "h|METHODE|Domain|Pfad|Ablauf"), base64url import base64, hashlib, hmac, time def wgp_token(key_b64u, method, host, path, ttl=300): key = base64.urlsafe_b64decode(key_b64u + "==") exp = int(time.time()) + ttl msg = f"h|{method}|{host}|{path}|{exp}".encode() sig = base64.urlsafe_b64encode(hmac.new(key, msg, hashlib.sha256).digest()) return f"v1.{exp}." + sig.rstrip(b"=").decode() # requests.get(url, headers={"X-WGP-Token": wgp_token(K, "GET", host, path)})
PoW in den WEDOS.protection-Tarifen
Die Preise sind die Tarifpreise von WEDOS.protection pro geschützter Domain. Für jede Domain wählen Sie, ob der gesamte Traffic über uns läuft oder nur die Verifizierung der Besucher.
Nur Verifizierung
Die Website bleibt, wo sie ist, DNS ändern Sie nicht. Besucher werden über pow.wedos.global verifiziert – unsichtbar, per Widget oder Challenge-Seite.
Mit Proxy
Der Domain-Traffic läuft über das WEDOS-Netz. Dazu: Challenge am Netzwerkrand, Challenge-Pass, Zugang ohne Challenge für Maschinen und der volle Schutz gegen DDoS, mit WAF und Bot-Schutz.
In allen Tarifen:
unsichtbare Challenge, Widget und Challenge-Seite
auch für kommerzielle Websites
keine Cookies
Daten in der EU gespeichert
Schlüsselwechsel ohne Ausfall
Free Root + 1 Subdomain
Für kleine Firmen, Vereine und private Websites. Kostenlos für beliebig viele Domains, auch kommerzielle.
0 €/ Monat
Kostenlos starten
- Unsichtbare Challenge, Widget, Challenge-Seite
- Mit Proxy: Challenge am Netzwerkrand
- Kein Support, Dokumentation
Geeignet fürKontaktformulareBlogsVereine
NoLimit vollwertiger Schutz
Für Onlineshops und Firmenwebsites. Ein verifizierter Besucher wird nicht erneut verifiziert.
8,25 €/ Monat bei jährlicher Abrechnung
99 € jährlich · 13 € monatlich
NoLimit wählen
99 € jährlich · 13 € monatlich
- Challenge-Pass – Cookie, Header, Parameter
- Support ohne Garantie
- Alles aus Free
Geeignet fürOnlineshopsFirmenAnmeldung und Registrierung
NoLimit Expert Menschen, Apps und Maschinen
Für Firmen mit Apps, APIs und vernetzten Systemen. Maschinen passieren ohne Challenge, der Schutz gilt weiter.
100 €/ Monat bei jährlicher Abrechnung
1.200 € jährlich · 110 € monatlich
NoLimit Expert wählen
1.200 € jährlich · 110 € monatlich
- Signiertes HMAC-Token, signierter Link, JWT
- Client-Zertifikat (mTLS) und Client-Cert
- Alles aus NoLimit
Geeignet fürAPIsSystemintegrationenAgenturen
Organisationen und NIS2
Die NIS2-Tarife basieren auf NoLimit Expert und enthalten PoW mit allen Optionen. Dazu längere Log-Aufbewahrung, ein verwalteter Dienst und Unterstützung für Einrichtungen, die unter NIS2 fallen.
NIS2 Important165 € / Monat bei jährlicher Abrechnung
- Für wichtige Einrichtungen nach NIS2
- Alles aus NoLimit Expert, Logs 6 Monate
NIS2 Essential340 € / Monat bei jährlicher Abrechnung
- Für besonders wichtige Einrichtungen nach NIS2
- Alles aus NoLimit Expert, Logs 18 Monate
Managed1.000 € / Monat bei jährlicher Abrechnung
- Verwalteter Schutz
- Benannter Sicherheitsanalyst
| PoW in den Tarifen | Free0 € | NoLimit8,25 € / Monat | NoLimit Expert100 € / Monat |
|---|---|---|---|
| Unsichtbare Challenge, Widget, Challenge-Seite | |||
| Nur Verifizierung (Website bleibt, wo sie ist) | |||
| Mit Proxy: Challenge am Netzwerkrand | |||
| Kommerzielle Nutzung | |||
| Challenge-Pass | – | ||
| HMAC, signierter Link, JWT, mTLS | – | – | |
| Support | Dokumentation | ohne Garantie | ohne Garantie |
Preise aus der WEDOS.protection-Preisliste, Stand 5. 11. 2026, ohne MwSt., pro geschützter Domain.
Daten in der EU, Betrieb weltweit
Die Challenge stellt der nächstgelegene Knoten des WEDOS-Netzes aus, wo auch immer der Besucher ist. Daten speichern wir in der Europäischen Union, und Sie können die Verarbeitung auf ein bestimmtes EU-Land beschränken. Hinter dem Dienst steht ein unabhängiges europäisches Unternehmen ohne Investoren und ohne Subventionen.
- ISO/IEC 27001sowie 27017 und 27018
- Qualifizierter Anbietervon DDoS-Schutz nach BSI (§ 3 BSIG)
- NIS2 und DSGVObesonders wichtige Einrichtung nach NIS2 in Tschechien
- Unabhängiges europäisches UnternehmenErfahrung seit 1997
Was der Dienst nicht tut
Setzt keine Cookies
Die Verifizierung ohne Proxy braucht kein Cookie und kein Consent-Banner. Der Challenge-Pass mit Proxy ist optional.
Verfolgt Besucher nicht über Websites hinweg
Die Verifizierung dient nur dem Schutz. Keine Werbeprofile, wir verkaufen nichts.
Stellt keine Rätsel
Keine Bilder, Ampeln oder Texte zum Abtippen. Die unsichtbare Variante braucht keine Aktion.
Häufige Fragen
Muss der Besucher etwas lösen?
Nein. Bei der unsichtbaren Variante sieht er gar nichts, beim Widget klickt er einmal auf das Kästchen. Die Berechnung erledigt der Browser selbst.
Wie lange dauert die Berechnung?
Typischerweise Zehntelsekunden, auf einem älteren Handy länger. Wir stellen die Schwierigkeit so ein, dass ein Mensch es nicht merkt. Probieren Sie es in der Demo Schwierigkeit auf Ihrem Gerät aus.
Stoppt PoW alle Bots?
Nein, und das behaupten wir auch nicht. Die Berechnung verteuert Massenangriffe – Spam, Passwort-Raten, Kontoerstellung –, weil ein Bot für jede Anfrage zahlt. Mensch und Bot unterscheidet sie allein nicht. Deshalb kombinieren wir sie mit IP-Reputation, Browser-Fingerprint und Limits. Domains hinter WEDOS.protection erhalten zusätzlich den vollen Netzwerkschutz.
Funktioniert es ohne JavaScript?
Nein. Die Berechnung läuft im Browser, daher ist JavaScript nötig. Für Maschinen, die kein JavaScript ausführen, gibt es mit Proxy signierte Tokens, JWT und Client-Zertifikate.
Welche Besucherdaten verarbeiten Sie?
Für den Schutz und Betriebsprotokolle verarbeiten wir die IP-Adresse und technische Daten der Anfrage. Daten speichern wir DSGVO-konform in der EU. Der Dienst setzt keine Cookies und erstellt keine Werbeprofile.
Was ist ein Challenge-Pass?
Ein signierter Nachweis, dass der Besucher die Challenge gelöst hat. Er gilt für eine eingestellte Zeit (standardmäßig 15 Minuten) auf allen WEDOS-Knoten, sodass ihn auch nach einem Netzwechsel keine neue Challenge aufhält. Den Schutz vor Angriffen, WAF und Limits schaltet der Pass nicht ab.
Muss ich meine Website zu WEDOS.protection umziehen?
Nein. PoW ist Teil der WEDOS.protection-Tarife, und für jede Domain wählen Sie: Entweder läuft der gesamte Traffic über den Schutz, oder nur die Verifizierung, und die Website bleibt, wo sie ist. Der Free-Tarif genügt. Pässe, Maschinen-Tokens und Client-Zertifikate brauchen den Proxy, weil wir sie direkt am Netzwerkrand prüfen.
Das Netz, das Websites schützt, verifiziert jetzt auch Menschen.
PoW ist Teil von WEDOS.protection – Website-Schutz gegen DDoS, mit WAF und Bot-Schutz im globalen Anycast-Netz von WEDOS.
Ebenfalls im WEDOS-Netz