Per què els formularis de contacte reben spam, i per què és més que una molèstia

Gairebé tots els llocs web amb un formulari de contacte coneixen aquest patró: pocs dies després de la posada en marxa, arriben els primers missatges que en realitat no ha escrit ningú. Ofertes de serveis SEO, enllaços a botigues dubtoses, textos en llengües que el lloc no ha fet servir mai. La majoria de persones simplement els eliminen, cosa que subestima el problema. L'spam dels formularis no és només soroll a la safata d'entrada: pot convertir el seu propi lloc web en una eina que actua en contra seva.

Qui envia spam als formularis

• Bots de rastreig. Els programes automatitzats recorren el web buscant qualsevol cosa que sembli un formulari —un camp d'entrada, una àrea de text, un botó d'enviament— i l'emplenen. El troben simplement perquè el seu formulari existeix.
• Scripts barats i eines a punt per utilitzar. És fàcil aconseguir programari per enviar formularis massivament. Una sola persona pot enviar milers de missatges al dia sense escriure ni una línia de codi.
• Spam d'enllaços per al SEO. Molts missatges existeixen només per col·locar un enllaç en algun lloc: a la seva safata d'entrada, en una zona de comentaris o en una pàgina que publica els enviaments. L'objectiu és que l'enllaç s'indexi en algun lloc o que algú hi faci clic.
• Phishing i programari maliciós. Alguns missatges imiten factures, reclamacions, avisos sobre drets d'autor o alertes del tipus «hi ha un problema amb el seu lloc web», amb un enllaç a una pàgina d'inici de sessió falsa o a un fitxer. Com que arriben a través del seu propi formulari, sovint semblen més fiables que un correu electrònic ordinari.

Quan el seu formulari envia l'spam

Molts formularis envien una confirmació automàtica a l'adreça que ha introduït el visitant: «Gràcies pel seu missatge; aquí té una còpia del que ha escrit.» Per a un visitant real, és un detall amable. Per a qui envia spam, és una oportunitat. El bot introdueix l'adreça d'una altra persona al camp de correu electrònic i posa la seva publicitat o un enllaç de phishing al missatge. Aleshores, el seu servidor envia diligentment aquest text —amb el nom del seu domini— a una persona desconeguda que no ha visitat mai el seu lloc web.

Els proveïdors de correu jutgen els missatges entrants en part segons la reputació del domini i del servidor que els envien. Les queixes per correu brossa, els enviaments que arriben a adreces trampa i els augments sobtats de volum juguen en contra seva. La part incòmoda és que SPF, DKIM i DMARC no hi ajuden. Aquests mecanismes confirmen que un missatge prové realment del seu domini, i en aquest cas és així. L'autenticació demostra l'origen, però no que el contingut sigui desitjat. Quan la reputació baixa, el correu comercial habitual també en pateix les conseqüències: els pressupostos, les factures i les respostes als clients comencen a acabar a les carpetes de correu brossa, i recuperar la reputació pot trigar molt de temps.

Un error relacionat causa danys fins i tot sense cap spam. Algunes configuracions de formularis envien la notificació amb l'adreça del visitant com a remitent («From»). El seu servidor no està autoritzat a enviar correu en nom del domini d'aquell visitant, de manera que SPF i DKIM no s'alineen amb l'adreça From. Si aquell domini publica una política DMARC estricta, el missatge es rebutja o es classifica com a correu brossa, incloses les consultes legítimes. El patró més net és enviar des d'una adreça del seu propi domini i posar l'adreça del visitant a Reply-To.

I els perjudicis del dia a dia

• Temps perdut. Algú ha de llegir, classificar i eliminar els missatges. Uns minuts al dia s'acaben convertint en jornades de feina senceres al llarg d'un any.
• Es perden consultes legítimes. Quan la safata d'entrada és plena sobretot de brossa, les persones llegeixen per sobre o configuren filtres agressius. L'única petició real de pressupost s'elimina amb la resta o es respon una setmana massa tard.
• El phishing arriba al seu equip. És més fàcil que algú faci clic en un enllaç que arriba a través del seu propi formulari de contacte que no pas en un d'un correu qualsevol. Una sola contrasenya introduïda en una pàgina d'inici de sessió falsa pot costar més que tots els missatges brossa junts.
• Dades contaminades. Si els enviaments van a parar a un CRM, a una llista de butlletins o a un sistema de tiquets, les entrades falses distorsionen les dades i poden activar més correus automàtics.

Què significa «protegit» a la pràctica

No hi ha cap interruptor únic. Un formulari està ben protegit quan diverses capes resolen cadascuna una part del problema, de manera que la fallada d'una sola capa no deixi la porta completament oberta.

Pot veure en quin estat es troben els seus formularis sense modificar-los. Una comprovació gratuïta a formexposed.com visita passivament les seves pàgines públiques —no s'hi envia res— i mostra, per a cada formulari, si hi ha un CAPTCHA, un camp trampa, un testimoni CSRF i una trampa temporal, i si sembla que estan configurats de manera efectiva. L'escàner també fa comprovacions del RGPD i d'accessibilitat; els detalls formen part de l'informe complet. El resultat és un dels tres nivells: protegit, parcialment protegit o desprotegit. És un bon punt de partida per decidir quina capa hi falta.