ScriptBlogger

Vor einem Monat haben wir einen Konfigurator für unser Voting-Script online gestellt. Statt mit einer Konfigurationsdatei zu hantieren, kann der Anwender das Script bequem per Browser einstellen und im Anschluss die fertige Konfigurationsdatei herunterladen.

Allerdings scheinen wir damit ein Problem gelöst zu haben, dass eigentlich keines war. Von einer Hand voll Zugriffen abgesehen oxidiert das Tool ungenutzt vor sich hin. Gerade mal eine einzige "richtige" Konfiguration wurde damit vorgenommen.

$vote_title             = 'Presidential Elections';
$vote_text              = 'Who will win the Presidential Elections';

$vote_option[]          = 'Barack H. Obama';
$vote_option[]          = 'John S. McCain III';

B-)

Ein Nutzer unseres Datei-Download-Scripts liefert damit Filme aus. Die Dateien sind jeweils um die 10 GB groß und liegen deshalb auf einem extra Server mit günstigerer Bandbreite.

Der Nutzer äußerte nun den Wunsch, das Script auf dem Server mit der eigentlichen Website (Server A) zu installieren und auf die Filmdateien auf Server B zugreifen zu lassen. Er hätte gern alles unter einer einheitlichen Domain gehabt. Allerdings ist das Script dafür nicht ausgelegt, sondern kann nur Dateien ausliefern, auf die es über einen lokalen (Netzwerk-)Pfad zugreifen kann.

Für den Nutzer hat sich dieser Umstand jedoch als positiv herausgestellt, denn da gab es einen kleinen Denkfehler seinerseits. Wenn nämlich das Script auf Server A installiert ist und auf die Dateien auf Server B zugreift, werden die Dateien immer über Server A geschleust. Das Script liest dabei die gesamte Datei ein und gibt sie an den Browser aus. Und das kostet dann gleich zweimal Bandbreite - einmal auf Server B und einmal auf Server A. Das schien dann doch nicht so ganz im Sinne des Erfinders zu sein. Sah dann auch der Nutzer so:

Thanks a lot for your support! double bandwidth ..... grrhhhhh.nope!

Zumal man einfach eine Sub-Domain einrichten kann, welche dann auf Server B gerichtet ist.

Schocken kann uns gar nichts mehr, nicht mal folgende an Dreistigkeit kaum zu überbietetende Nachricht in einem Diskussionsforum irgendwo im Netz.

Die Links "USER DEMOS CLICK HERE" und "Admin Demo CLICK HERE" führen auf unsere eigene Demoseite. Die haben wir dann gleich mal entsprechend geändert und nun ist deutlicher gekennzeichnet, wo man das richtige Script kaufen kann. Außerdem haben wir als Antwort auf die Forumsnachricht unsere Web-Adresse gepostet. Mal sehen ob's was bringt. ;-)

Und noch ein Hinweis: Wir vergeben keine Master Resell Rights (MRR) und schon gar keine, die dermaßen günstiger als unsere eigenen Preise sind. B-)

Von Zeit zu Zeit tauchen in Weblogs oder Foren Listen mit Wegwerf-E-Mail-Diensten auf. Von diesen Dingern kann man übrigens nicht genug Auswahl haben, denn die Domains werden öfters mal von Website-Betreibern blockiert.

Viele Dienste dieser Art haben eine äußerst geringe Halbwertzeit, wie oben verlinkte Liste beweist. Ein guter Teil der Seiten ist nicht mehr erreichbar oder zeigt völlig andere Inhalte.

Und jetzt wird's interessant. Auf der Liste befinden sich mehrere Websites, die unser Wegwerf-E-Mail-Script einsetzen, und das gilt es zu zelebrieren. Wer zuerst die korrekte Anzahl dieser Websites in den Kommentaren hier unter dem Artikel schreibt, erhält eine Script-Lizenz kostenlos. Wichtig: E-Mail-Adresse zur Kontaktaufnahme nicht vergessen.

Nachtrag: Gewinnspiel beendet - Gewinner benachrichtigt

Dem einen oder anderen Zeitgenossen erschließt sich der Zweck eines Wegwerf-E-Mail-Dienstes wie unser IncognitoMail nicht immer gleich. Und manchmal werden wir gefragt, ob unser Dienst nicht vielleicht von Spammern missbraucht werden könnte.

Die Antwort: Spammer senden eine riesige Menge an E-Mails an eine ebenso riesige Menge von Empfängern. Unser Dienst ist dafür denkbar schlecht geeignet. Der einzige Weg, mit IncognitoMail eine E-Mail zu versenden, ist die Antwort-Funktion. Und die ist mit Akismet und einer Captcha-Funktion gesichert.

Damit ein Spammer mit dem Dienst eine Spam-Mail an einen einzigen Empfänger absetzen kann, müsste er folgende Schritte durchlaufen:

1. Neue Wegwerf-E-Mail-Adresse auf IncognitoMail generieren
2. Eine E-Mail mit der späteren Empfänger-E-Mail als Absender an die Wegwerf-Adresse schicken
3. Diese E-Mail bei IncognitoMail abrufen und auf Antworten klicken
4. Text in das Feld schreiben/kopieren
5. Captcha korrekt ausfüllen
6. Formular absenden
7. Jede ausgehende E-Mail wird mit Hilfe von Akismet auf Spam überprüft.

An dieser Stelle hat der Spammer gerade mal eine E-Mail an einen Empfänger geschickt. Viel zu kompliziert und zeitaufwändig. Deshalb nutzen Spammer in der Regel Bot-Netze mit Zombie-Rechnern oder offene Mail-Server, um ihre Spam-Nachrichten an Millionen von E-Mail-Adressen zu schicken. Und das in einem Zeitrahmen von wenigen Minuten und Stunden.

Aus diesen Gründen betrachten wir IncognitoMail und auch unser dahinter arbeitende Wegwerf-E-Mail-Script als Spam-sicher. Das heißt nicht, dass das Script auch mal von zwielichtigen Gestalten benutzt wird. Aber das ist eine andere Geschichte.

Nicht nur Anwender schreiben merkwürdige Dinge. Hier eine Antwort auf eine Support-Anfrage zum Schedule Organizer (vorletzter Satz):

When switching between appointment areas the value of the current week is being passed on. This won't work well if area B has a $future_last of 10 weeks but area A has only 3. The user will arrive in week 10 of area A only to realize that there is no week 10 in area A. Kind of a twilight zone.

Erst erschlägt man ein Problem mit der Programmierkeule und ist dann auch noch zufrieden mit sich. Zur Strafe kommt dann viel später die Erkenntnis, dass statt 200 Zeilen PHP-Code auch eine Zeile CSS-Code genügt hätte.

Letztes Jahr beklagte sich ein Nutzer des Comment Scripts, dass der von seinen Besuchern eingegebene Kommentartext mitunter das Layout sprengt. Das darf nicht sein, sagten wir uns, und programmierten ein Modul, dass automatisch Zeilenumbrüche in lange Wörter einfügt. Pfiffig wie wir sind, haben wir natürlich darauf geachtet, dass URLs dabei ignoriert werden. Die würden ja sonst kaputt gehen.

Anfang diesen Jahres kam dann der Hinweis, dass das mit dem Ignorieren der URLs nicht besonders hilfreich ist, da ja das Layout den langen URLs ebenfalls nicht standhält.

Mehrere Vorschläge und Ideen später haben wir das Modul dann dergestalt erweitert, dass man optional auch das Umbrechen der URLs erzwingen konnte. Nett, oder?

Just als wir damit fertig waren, kam uns eine weitere Lösungsmöglichkeit in den Sinn. CSS. 

overflow:auto;

Diese CSS-Anweisung fügt automatisch einen Scroll-Balken ein, wenn der Platz auf der Seite für den Inhalt nicht ausreicht.

Nun ist der Scroll-Balken Geschmackssache, weswegen auch das Schreiben von 200 Zeilen PHP-Code keine Zeitverschwendung war. Hauptsache die Andwender sind glücklich. :-)

Unser Kommentar-Script wurde vom Start weg gut angenommen und liegt hinter dem Schedule Organizer und dem Form Mail Script auf Platz drei der Beliebtheitsskala. Es stellt sich heraus, dass es noch viel beliebter ist, als wir dachten.

Auf der Seite PHP.HTML.it (Italienisch) hat man unserem Script eine siebenseitige Installationsanleitung gewidmet, komplett mit Screenshot und Beschreibung jeder einzelnen Funktion. Das Script wird mit sehr viel Wohlwollen und als "einfach und intuitiv zu installieren" beschrieben. :-)

Klingelt letztens das Telefon.

Anrufer: Ich habe Ihren Link auf meiner Seite und habe keine Ahnung wie der da hin kommt.

Ich: Dann geben Sie mir mal die Website-Adresse und ich sehe mir das an.

Auf der Seite angekommen leitet er mich zur Bildergalerie.

Ich: Ah, alles klar. Sie verwenden eines unserer PHP-Scripte. Sie benutzen die kostenlose Version. Deshalb wird auf der Seite ein Werbe-Link angezeigt, der zu einem unserer Projekte führt.

Er: Das ist ja frech.

Wie bitte?

Ich: Wieso ist das frech? Sie nutzen kostenlos unser Produkt und als Gegenleistung wird unser Werbe-Link angezeigt.

Er: Ich kläre das mit meinem Webmaster. Eventuell lasse ich das auch von meinem Anwalt prüfen.

Warum müssen die Leute eine Bagatellsituation ohne Not eskalieren lassen?

Ich: Wir haben Ihnen den Link nicht untergeschoben. Es steht auf unserer Website groß und breit, dass wenn man die kostenlose Version des Script nutzen möchte ein Werbelink angezeigt wird. Wir spielen hier komplett mit offenen Karten.

Er wurde an dieser Stelle kurz ruhig und meinte dann nochmal, er würde das mit seinem Webmaster klären.

Im Endeffekt ist die Situation ganz einfach. Da stimmt mal wieder die Kommunikation zwischen Website-Betreiber und Webmaster nicht. Besonders störend scheint der Link dann aber doch nicht zu sein. Der Anruf ist schon mehrere Wochen her, aber Link und Script sind immer noch online. B-)

Unser Wegwerf-E-Mail-Script ist prinzipiell dafür ausgelegt, auch mit größerem E-Mail-Aufkommen zurechtzukommen. In unseren Testfällen hat das auch immer gut funktioniert, aber grau ist alle Theorie.

Jetzt ergab sich mal wieder die seltene Möglichkeit, das Script auf einem fremden Server zu beobachten. Bei einem Kunden hatten sich während eines Server-Umzugs mehrere tausend E-Mails aufgestaut. Theoretisch müsste sich das Script nun zum E-Mail-Konto verbinden, eine bestimmte Anzahl (voreingestellt ist 200) an E-Mails herunterladen und auswerten, und dann die Verbindung trennen. Außerdem ist vorgesehen, dass dieser Zyklus dreimal durchlaufen wird. Sowohl die Zahl der E-Mails als auch die Zahl der Durchläufe ließe sich bei Bedarf übrigens anpassen.

Zu unserer Freude hat das Script genau das getan, was es sollte und hat die aufgelaufenen E-Mails brav abgearbeitet - eigenständig und ohne ins Schwitzen zu kommen. Schön zu wissen, dass das auch in der Wildnis und nicht nur unter "Laborbedingungen" funktioniert. :-)

Das phpBB ist nicht nur besonders beliebt, sondern konnte über die Jahre auch mit der einen oder anderen Sicherheitslücke aufwarten. Als 2005 das phpBB mal wieder in diesem Zusammenhang  von sich Reden machte und Weblogs und andere Medien darüber berichteten, habe ich mich gefragt, ob unsere Scripte möglicherweise ebenfalls mal auf einer Sicherheits-Mailing-Liste Erwähnung finden würden.

Ich kann nicht sagen, dass ich gewünscht hätte, es würde mal passieren. Schließlich würde jedermann sagen: Seht her, die Typen hier schreiben schlechten und gefährlichen Code - lasst bloß die Hände davon! Im schlimmsten Fall könnte es das Ende für eine Firma sein. Auf der anderen Seite würde es bedeuten, dass wir eine kritische Masse an Nutzern erreicht hätten und es sich lohnt, Exploits zu finden und auf einer Sicherheitsliste zu posten.

Im selben Jahr hatten wir das zweifelhafte Vergnügen, "endlich" auf Bugtraq erwähnt worden zu sein. Solange man allerdings nicht das phpBB oder ein anderer der "Big Players" ist, passiert herzlich wenig. Es strömen keine Hundertschaften von Bugtraq-Abonnenten auf die Website um zu pöbeln oder sich zu beschweren. Und unsere eigenen Nutzer lösten auch keine Welle an Support-Anfragen aus. Es blieb alles ruhig, so dass wir Ruhe den Bug zu beheben und ein Update herauszubringen konnten.

Vom technischen Standpunkt her war es ein eher kleineres Problem, das sich mit vier Zeilen Code lösen lies. Hat keinen halben Tag gedauert, bis wir die neuen Versionen für die drei Scripte draußen hatten. Hätte schlimmer kommen können.