Γιατί οι φόρμες επικοινωνίας δέχονται spam – και γιατί είναι κάτι περισσότερο από μια ενόχληση

Σχεδόν κάθε ιστότοπος με φόρμα επικοινωνίας γνωρίζει το μοτίβο: λίγες ημέρες μετά την έναρξη λειτουργίας, φτάνουν τα πρώτα μηνύματα που στην πραγματικότητα δεν έγραψε κανείς. Προσφορές για υπηρεσίες SEO, σύνδεσμοι προς αμφίβολα καταστήματα, κείμενα σε γλώσσες που ο ιστότοπος δεν έχει χρησιμοποιήσει ποτέ. Οι περισσότεροι απλώς τα διαγράφουν – και έτσι υποτιμούν το πρόβλημα. Το spam στις φόρμες δεν είναι απλώς θόρυβος στο εισερχόμενο ταχυδρομείο – μπορεί να μετατρέψει τον ίδιο τον ιστότοπό σας σε εργαλείο που δουλεύει εναντίον σας.

Ποιος στέλνει spam σε φόρμες

• Bots ανίχνευσης. Αυτοματοποιημένα προγράμματα σαρώνουν τον ιστό για οτιδήποτε μοιάζει με φόρμα – ένα πεδίο εισαγωγής, μια περιοχή κειμένου, ένα κουμπί υποβολής – και το συμπληρώνουν. Σας βρίσκουν απλώς επειδή η φόρμα σας υπάρχει.
• Φθηνά scripts και έτοιμα εργαλεία. Λογισμικό για μαζική υποβολή φορμών αποκτάται εύκολα. Ένα άτομο μπορεί να στείλει χιλιάδες μηνύματα την ημέρα χωρίς να γράψει ούτε μία γραμμή κώδικα.
• Spam συνδέσμων για SEO. Πολλά μηνύματα υπάρχουν μόνο για να τοποθετήσουν κάπου έναν σύνδεσμο – στα εισερχόμενά σας, σε μια περιοχή σχολίων ή σε μια σελίδα που δημοσιεύει τις υποβολές. Η ελπίδα είναι ότι ο σύνδεσμος θα ευρετηριαστεί κάπου ή ότι κάποιος θα κάνει κλικ σε αυτόν.
• Phishing και κακόβουλο λογισμικό. Ορισμένα μηνύματα μιμούνται τιμολόγια, παράπονα, ειδοποιήσεις για πνευματικά δικαιώματα ή προειδοποιήσεις του τύπου «υπάρχει πρόβλημα με τον ιστότοπό σας», με σύνδεσμο προς ψεύτικη σελίδα σύνδεσης ή προς ένα αρχείο. Επειδή φτάνουν μέσω της δικής σας φόρμας, συχνά φαίνονται πιο αξιόπιστα από ένα συνηθισμένο e-mail.

Όταν η φόρμα σας στέλνει το spam

Πολλές φόρμες στέλνουν αυτόματη επιβεβαίωση στη διεύθυνση που εισήγαγε ο επισκέπτης: «Σας ευχαριστούμε για το μήνυμά σας, ακολουθεί αντίγραφο όσων γράψατε.» Για έναν πραγματικό επισκέπτη αυτό είναι φιλικό. Για έναν spammer είναι ευκαιρία. Το bot εισάγει τη διεύθυνση κάποιου άλλου στο πεδίο e-mail και βάζει τη διαφήμισή του ή τον σύνδεσμο phishing στο μήνυμα. Ο διακομιστής σας στέλνει τότε ευσυνείδητα αυτό το κείμενο – με το όνομα του τομέα σας – σε έναν άγνωστο που δεν επισκέφθηκε ποτέ τον ιστότοπό σας.

Οι πάροχοι αλληλογραφίας κρίνουν τα εισερχόμενα μηνύματα εν μέρει με βάση τη φήμη του τομέα και του διακομιστή αποστολής. Οι καταγγελίες για spam, τα «χτυπήματα» σε παγίδες spam και οι απότομες αυξήσεις του όγκου μετρούν όλα εναντίον σας. Το δυσάρεστο: τα SPF, DKIM και DMARC δεν βοηθούν εδώ. Οι μηχανισμοί αυτοί επιβεβαιώνουν ότι ένα μήνυμα προέρχεται πράγματι από τον τομέα σας – και σε αυτή την περίπτωση προέρχεται. Ο έλεγχος ταυτότητας αποδεικνύει την προέλευση, όχι ότι το περιεχόμενο είναι επιθυμητό. Μόλις πέσει η φήμη, επηρεάζεται και η κανονική επαγγελματική σας αλληλογραφία: προσφορές, τιμολόγια και απαντήσεις σε πελάτες αρχίζουν να καταλήγουν στους φακέλους ανεπιθύμητης αλληλογραφίας, και η αποκατάσταση μπορεί να διαρκέσει πολύ.

Ένα συναφές λάθος προκαλεί ζημιά ακόμη και χωρίς καθόλου spam. Ορισμένες ρυθμίσεις φορμών στέλνουν την ειδοποίηση με τη διεύθυνση του επισκέπτη ως αποστολέα («From»). Ο διακομιστής σας δεν είναι εξουσιοδοτημένος να στέλνει αλληλογραφία για τον τομέα του επισκέπτη, οπότε τα SPF και DKIM δεν ευθυγραμμίζονται με τη διεύθυνση From. Αν ο τομέας αυτός δημοσιεύει αυστηρή πολιτική DMARC, το μήνυμα απορρίπτεται ή καταχωρίζεται ως spam – μαζί και τα πραγματικά αιτήματα. Η καθαρότερη λύση: αποστολή από μια διεύθυνση του δικού σας τομέα και η διεύθυνση του επισκέπτη στο Reply-To.

Και η καθημερινή ζημιά

• Χαμένος χρόνος. Κάποιος πρέπει να διαβάσει, να ταξινομήσει και να διαγράψει. Λίγα λεπτά την ημέρα αθροίζονται σε ολόκληρες εργάσιμες ημέρες μέσα σε έναν χρόνο.
• Τα πραγματικά αιτήματα χάνονται. Όταν τα εισερχόμενα είναι κυρίως σκουπίδια, οι άνθρωποι τα διατρέχουν βιαστικά – ή ορίζουν επιθετικά φίλτρα. Το ένα γνήσιο αίτημα προσφοράς διαγράφεται μαζί με τα υπόλοιπα ή απαντάται μία εβδομάδα αργότερα από όσο έπρεπε.
• Το phishing φτάνει στην ομάδα σας. Σε έναν σύνδεσμο που φτάνει μέσω της δικής σας φόρμας επικοινωνίας γίνεται κλικ πιο εύκολα απ' ό,τι σε έναν σύνδεσμο σε ένα τυχαίο e-mail. Ένας μόνο κωδικός πρόσβασης που εισάγεται σε ψεύτικη σελίδα σύνδεσης μπορεί να κοστίσει περισσότερο από όλο το spam μαζί.
• Μολυσμένα δεδομένα. Αν οι υποβολές καταλήγουν σε CRM, σε λίστα ενημερωτικού δελτίου ή σε σύστημα αιτημάτων, οι ψεύτικες καταχωρίσεις αλλοιώνουν τα δεδομένα και μπορεί να προκαλέσουν περαιτέρω αυτοματοποιημένα e-mail.

Τι σημαίνει «προστατευμένη» στην πράξη

Δεν υπάρχει ένας μοναδικός διακόπτης. Μια φόρμα είναι καλά προστατευμένη όταν πολλά επίπεδα πιάνουν το καθένα ένα μέρος του προβλήματος, ώστε η αποτυχία ενός επιπέδου να μην ανοίγει εντελώς την πόρτα.

Μπορείτε να δείτε πού βρίσκονται οι δικές σας φόρμες χωρίς να τις αγγίξετε. Ένας δωρεάν έλεγχος στο formexposed.com επισκέπτεται παθητικά τις δημόσιες σελίδες σας – δεν υποβάλλεται τίποτα – και δείχνει για κάθε φόρμα αν υπάρχουν CAPTCHA, honeypot, token CSRF και χρονική παγίδα και αν φαίνονται αποτελεσματικά ρυθμισμένα. Ο σαρωτής εκτελεί επίσης ελέγχους ΓΚΠΔ και προσβασιμότητας· οι λεπτομέρειές τους περιλαμβάνονται στην πλήρη αναφορά. Το αποτέλεσμα είναι ένα από τρία επίπεδα: προστατευμένη, μερικώς προστατευμένη ή εκτεθειμένη. Αυτό είναι ένα καλό σημείο εκκίνησης για να αποφασίσετε ποιο επίπεδο λείπει.