Защо формулярите за контакт получават спам – и защо това е повече от досада

Почти всеки уебсайт с формуляр за контакт познава модела: няколко дни след стартирането пристигат първите съобщения, които всъщност никой не е написал. Оферти за SEO услуги, връзки към съмнителни магазини, текст на езици, които сайтът никога не е използвал. Повечето хора просто ги изтриват – и с това подценяват проблема. Спамът във формулярите не е просто шум в пощенската кутия – той може да превърне собствения ви уебсайт в инструмент, който работи срещу вас.

Кой изпраща спам чрез формуляри

• Ботове, които обхождат мрежата. Автоматизирани програми сканират интернет за всичко, което прилича на формуляр – поле за въвеждане, текстова област, бутон за изпращане – и го попълват. Те ви намират просто защото формулярът ви съществува.
• Евтини скриптове и готови инструменти. Софтуерът за масово изпращане на формуляри е лесно достъпен. Един човек може да изпраща хиляди съобщения на ден, без да напише нито един ред код.
• SEO спам с връзки. Много съобщения съществуват само за да поставят някъде връзка – в пощенската ви кутия, в зона за коментари или на страница, която публикува изпратеното. Надеждата е връзката да бъде индексирана някъде или някой да кликне върху нея.
• Фишинг и зловреден софтуер. Някои съобщения имитират фактури, оплаквания, уведомления за авторски права или сигнали от типа „има проблем с вашия уебсайт“, с връзка към фалшива страница за вход или към файл. Тъй като пристигат чрез собствения ви формуляр, те често изглеждат по-надеждни от обикновените имейли.

Когато вашият формуляр изпраща спама

Много формуляри изпращат автоматично потвърждение на адреса, въведен от посетителя: „Благодарим ви за съобщението, ето копие от написаното от вас.“ За истинския посетител това е любезно. За спамъра това е възможност. Ботът въвежда чужд адрес в полето за имейл и поставя рекламата си или фишинг връзката си в съобщението. Тогава вашият сървър послушно изпраща този текст – от името на вашия домейн – до непознат, който никога не е посещавал сайта ви.

Доставчиците на имейл услуги преценяват входящата поща отчасти по репутацията на изпращащия домейн и сървър. Оплакванията за спам, попаденията в спам капани и внезапните скокове в обема – всичко това се отчита срещу вас. Неприятното е, че SPF, DKIM и DMARC не помагат тук. Тези механизми потвърждават, че съобщението наистина идва от вашия домейн – а в този случай то наистина идва оттам. Удостоверяването доказва произхода, а не че съдържанието е желано. Щом репутацията спадне, засегната е и обикновената ви делова поща: оферти, фактури и отговори до клиенти започват да попадат в папките за спам, а възстановяването може да отнеме много време.

Свързана грешка вреди дори без никакъв спам. Някои настройки на формуляри изпращат известието с адреса на посетителя като подател („From“). Вашият сървър не е оправомощен да изпраща поща от името на домейна на този посетител, така че SPF и DKIM не съответстват на адреса в From. Ако този домейн публикува строга DMARC политика, съобщението се отхвърля или се класифицира като спам – включително истинските запитвания. По-чистият подход: изпращайте от адрес в собствения си домейн и поставете адреса на посетителя в Reply-To.

И ежедневните щети

• Изгубено време. Някой трябва да чете, сортира и изтрива. Няколко минути на ден се натрупват до цели работни дни за една година.
• Истинските запитвания се губят. Когато пощенската кутия е пълна предимно с боклуци, хората само преглеждат набързо – или задават агресивни филтри. Единственото истинско запитване за оферта бива изтрито заедно с останалото или получава отговор със седмица закъснение.
• Фишингът достига до екипа ви. Връзка, пристигнала чрез собствения ви формуляр за контакт, се кликва по-лесно от връзка в случаен имейл. Една-единствена парола, въведена на фалшива страница за вход, може да струва повече от целия спам взет заедно.
• Замърсени данни. Ако изпратените съобщения постъпват в CRM, списък за бюлетин или система за заявки, фалшивите записи изкривяват данните и могат да задействат допълнителни автоматични имейли.

Какво означава „защитен“ на практика

Няма един-единствен превключвател. Формулярът е добре защитен, когато няколко слоя улавят всеки част от проблема, така че отказът на един слой да не отваря вратата изцяло.

Можете да видите в какво състояние са собствените ви формуляри, без да ги докосвате. Безплатна проверка на formexposed.com посещава пасивно публичните ви страници – не се изпраща нищо – и показва за всеки формуляр дали има CAPTCHA, honeypot, CSRF токен и времеви капан и дали изглеждат ефективно настроени. Скенерът извършва и проверки за ОРЗД и достъпност; подробностите от тях са част от пълния доклад. Резултатът е едно от три нива: защитен, частично защитен или уязвим. Това е добра отправна точка, за да решите кой слой липсва.