Proč kontaktní formuláře zaplavuje spam – a proč nejde jen o otravnost

Téměř každý web s kontaktním formulářem zná ten vzorec: pár dní po spuštění přicházejí první zprávy, které ve skutečnosti nikdo nenapsal. Nabídky SEO služeb, odkazy na pochybné e-shopy, texty v jazycích, které web nikdy nepoužíval. Většina lidí je prostě smaže – a tím problém podceňuje. Spam z formulářů není jen šum ve schránce – může z vašeho vlastního webu udělat nástroj, který pracuje proti vám.

Kdo posílá spam přes formuláře

• Procházející boti. Automatizované programy prohledávají web a hledají cokoli, co vypadá jako formulář – vstupní pole, textovou oblast, odesílací tlačítko – a vyplní to. Najdou vás prostě proto, že váš formulář existuje.
• Levné skripty a hotové nástroje. Software pro hromadné odesílání formulářů je snadno dostupný. Jediný člověk může odeslat tisíce zpráv denně, aniž by napsal jediný řádek kódu.
• Odkazový SEO spam. Mnoho zpráv existuje jen proto, aby někam umístily odkaz – do vaší schránky, do sekce komentářů nebo na stránku, která zveřejňuje odeslané příspěvky. Doufá se, že odkaz někde bude zaindexován nebo že na něj někdo klikne.
• Phishing a malware. Některé zprávy napodobují faktury, reklamace, upozornění na porušení autorských práv nebo varování typu „s vaším webem je problém“, s odkazem na falešnou přihlašovací stránku nebo na soubor. Protože přicházejí přes váš vlastní formulář, často působí důvěryhodněji než běžný e-mail.

Když spam rozesílá váš formulář

Mnoho formulářů posílá automatické potvrzení na adresu, kterou návštěvník zadal: „Děkujeme za vaši zprávu, zde je kopie toho, co jste napsali.“ Pro skutečného návštěvníka je to vlídné. Pro spammera je to příležitost. Bot zadá do pole pro e-mail cizí adresu a do zprávy vloží svou reklamu nebo phishingový odkaz. Váš server pak poslušně odešle tento text – pod názvem vaší domény – cizímu člověku, který váš web nikdy nenavštívil.

Poskytovatelé e-mailu posuzují příchozí poštu mimo jiné podle reputace odesílající domény a serveru. Stížnosti na spam, zásahy do spamových pastí a náhlé skoky v objemu se počítají proti vám. Nepříjemné je, že SPF, DKIM a DMARC tu nepomohou. Tyto mechanismy potvrzují, že zpráva skutečně pochází z vaší domény – a v tomto případě tomu tak je. Ověření dokazuje původ, nikoli to, že je obsah žádoucí. Jakmile reputace klesne, dotkne se to i vaší běžné obchodní pošty: nabídky, faktury a odpovědi zákazníkům začnou končit ve složkách se spamem a náprava může trvat dlouho.

Příbuzná chyba škodí i bez jakéhokoli spamu. Některá nastavení formulářů posílají oznámení s adresou návštěvníka jako odesílatelem („From“). Váš server není oprávněn odesílat poštu za doménu tohoto návštěvníka, takže SPF a DKIM nesouhlasí s adresou From. Pokud tato doména zveřejňuje přísnou politiku DMARC, zpráva je odmítnuta nebo zařazena do spamu – včetně skutečných poptávek. Čistší postup: odesílejte z adresy ve vlastní doméně a adresu návštěvníka uveďte v Reply-To.

A každodenní škody

• Promarněný čas. Někdo to musí číst, třídit a mazat. Pár minut denně dá za rok dohromady celé pracovní dny.
• Skutečné poptávky se ztrácejí. Když je ve schránce převážně odpad, lidé jen přelétnou očima – nebo nastaví agresivní filtry. Jediná skutečná žádost o nabídku se smaže spolu se zbytkem nebo se na ni odpoví o týden později.
• Phishing se dostane k vašemu týmu. Na odkaz, který přijde přes váš vlastní kontaktní formulář, se klikne snáze než na odkaz v náhodném e-mailu. Jediné heslo zadané na falešné přihlašovací stránce může stát víc než všechen spam dohromady.
• Znečištěná data. Pokud odeslané formuláře proudí do CRM, seznamu odběratelů newsletteru nebo ticketovacího systému, falešné záznamy zkreslují data a mohou spouštět další automatické e-maily.

Co znamená „chráněno“ v praxi

Neexistuje jediný vypínač. Formulář je dobře chráněn, když několik vrstev zachytí každá část problému, takže selhání jedné vrstvy neotevře dveře dokořán.

Jak jsou na tom vaše vlastní formuláře, zjistíte, aniž byste na ně sáhli. Bezplatná kontrola na formexposed.com pasivně navštíví vaše veřejné stránky – nic se neodesílá – a u každého formuláře ukáže, zda je přítomna CAPTCHA, honeypot, token CSRF a časová past a zda vypadají účinně nastavené. Skener provádí také kontroly GDPR a přístupnosti; jejich podrobnosti jsou součástí úplného reportu. Výsledkem je jedna ze tří úrovní: chráněno, částečně chráněno nebo nechráněno. To je dobrý výchozí bod pro rozhodnutí, která vrstva chybí.