Hvorfor kontaktformularer bliver spammet – og hvorfor det er mere end en irritation

Næsten alle websites med en kontaktformular kender mønsteret: Få dage efter lanceringen kommer de første beskeder, som ingen rigtigt har skrevet. Tilbud på SEO-ydelser, links til tvivlsomme webshops, tekst på sprog, sitet aldrig har brugt. De fleste sletter dem bare – og undervurderer dermed problemet. Formularspam er ikke bare støj i en indbakke – den kan gøre dit eget website til et værktøj, der arbejder imod dig.

Hvem sender formularspam

• Crawlende bots. Automatiserede programmer gennemsøger nettet efter alt, der ligner en formular – et inputfelt, et tekstområde, en send-knap – og udfylder det. De finder dig, simpelthen fordi din formular findes.
• Billige scripts og færdige værktøjer. Software til masseudfyldning af formularer er let at få fat i. Én person kan sende tusindvis af beskeder om dagen uden at skrive en eneste linje kode.
• SEO-linkspam. Mange beskeder findes kun for at placere et link et sted – i din indbakke, i et kommentarfelt eller på en side, der offentliggør indsendelser. Håbet er, at linket bliver indekseret et sted, eller at nogen klikker på det.
• Phishing og malware. Nogle beskeder efterligner fakturaer, klager, ophavsretsmeddelelser eller advarsler om, at “der er et problem med dit website”, med et link til en falsk loginside eller en fil. Fordi de kommer via din egen formular, virker de ofte mere troværdige end almindelig e-mail.

Når din formular sender spammen

Mange formularer sender en automatisk bekræftelse til den adresse, den besøgende har indtastet: “Tak for din besked, her er en kopi af det, du skrev.” For en rigtig besøgende er det venligt. For en spammer er det en mulighed. Botten indtaster en fremmed persons adresse i e-mailfeltet og lægger sin reklame eller sit phishinglink i beskeden. Din server sender så pligtskyldigt den tekst – under dit domænenavn – til en fremmed, der aldrig har besøgt dit site.

Mailudbydere bedømmer indgående mail blandt andet ud fra omdømmet for det afsendende domæne og den afsendende server. Spamklager, træf i spamfælder og pludselige stigninger i mængden tæller alle imod dig. Det ubehagelige: SPF, DKIM og DMARC hjælper ikke her. Disse mekanismer bekræfter, at en besked virkelig kommer fra dit domæne – og det gør den i dette tilfælde. Autentificering beviser oprindelsen, ikke at indholdet er ønsket. Når omdømmet først falder, rammes din normale forretningsmail også: Tilbud, fakturaer og svar til kunder begynder at havne i spammapper, og det kan tage lang tid at komme sig.

En beslægtet fejl gør skade, selv uden spam. Nogle formularopsætninger sender notifikationen med den besøgendes adresse som afsender (“From”). Din server har ikke tilladelse til at sende mail for den besøgendes domæne, så SPF og DKIM stemmer ikke overens med From-adressen. Hvis det domæne har en streng DMARC-politik, afvises beskeden eller sorteres som spam – rigtige henvendelser inklusive. Det renere mønster: Send fra en adresse på dit eget domæne, og sæt den besøgendes adresse i Reply-To.

Og den daglige skade

• Spildt tid. Nogen skal læse, sortere og slette. Et par minutter om dagen bliver til hele arbejdsdage i løbet af et år.
• Rigtige henvendelser går tabt. Når indbakken mest er skrald, skimmer folk – eller sætter aggressive filtre op. Den ene ægte tilbudsforespørgsel bliver slettet sammen med resten eller besvaret en uge for sent.
• Phishing når dit team. Der klikkes lettere på et link, der kommer via din egen kontaktformular, end på et i en tilfældig e-mail. En enkelt adgangskode indtastet på en falsk loginside kan koste mere end al spammen tilsammen.
• Forurenede data. Hvis indsendelser flyder ind i et CRM, en nyhedsbrevsliste eller et ticketsystem, forvrænger falske poster dataene og kan udløse yderligere automatiske mails.

Hvad “beskyttet” betyder i praksis

Der findes ingen enkelt kontakt. En formular er godt beskyttet, når flere lag hver især fanger en del af problemet, så ét lag, der svigter, ikke åbner døren helt.

Du kan se, hvor dine egne formularer står, uden at røre ved dem. En gratis kontrol på formexposed.com besøger dine offentlige sider passivt – der indsendes intet – og viser for hver formular, om en CAPTCHA, honeypot, et CSRF-token og en tidsfælde er til stede og ser ud til at være virksomt konfigureret. Scanneren kører også GDPR- og tilgængelighedskontroller; detaljerne fra dem er en del af den fulde rapport. Resultatet er et af tre niveauer: beskyttet, delvist beskyttet eller eksponeret. Det er et godt udgangspunkt for at afgøre, hvilket lag der mangler.