Por qué los formularios de contacto reciben spam y por qué es más que una molestia

Casi todos los sitios web con formulario de contacto conocen el patrón: pocos días después del lanzamiento llegan los primeros mensajes que ninguna persona escribió realmente. Ofertas de servicios de SEO, enlaces a tiendas dudosas, textos en idiomas que el sitio nunca ha usado. La mayoría simplemente los elimina, lo que subestima el problema. El spam en formularios no es solo ruido en una bandeja de entrada: puede convertir su propio sitio web en una herramienta que actúa en su contra.

Quién envía spam por los formularios

• Bots rastreadores. Los programas automatizados recorren la web en busca de cualquier cosa que parezca un formulario —un campo de entrada, un área de texto, un botón de envío— y la llenan. Lo encuentran simplemente porque su formulario existe.
• Scripts baratos y herramientas listas para usar. El software para enviar formularios de forma masiva es fácil de conseguir. Una sola persona puede enviar miles de mensajes al día sin escribir una sola línea de código.
• Spam de enlaces para SEO. Muchos mensajes solo buscan colocar un enlace en algún lugar: en su bandeja de entrada, en un área de comentarios o en una página que publica los envíos recibidos. Esperan que el enlace se indexe en algún sitio o que alguien haga clic.
• Phishing y malware. Algunos mensajes imitan facturas, quejas, avisos de derechos de autor o alertas de «hay un problema con su sitio web», con un enlace a una página de inicio de sesión falsa o a un archivo. Como llegan a través de su propio formulario, suelen parecer más confiables que un correo electrónico común.

Cuando su formulario envía el spam

Muchos formularios envían una confirmación automática a la dirección que ingresó el visitante: «Gracias por su mensaje; aquí tiene una copia de lo que escribió». Para un visitante real es un gesto amable. Para quien envía spam es una oportunidad. El bot ingresa la dirección de otra persona en el campo de correo electrónico y coloca su publicidad o enlace de phishing en el mensaje. Su servidor envía obedientemente ese texto —con el nombre de su dominio— a una persona desconocida que nunca visitó su sitio.

Los proveedores de correo evalúan los mensajes entrantes, en parte, según la reputación del dominio y del servidor de origen. Las quejas por spam, los mensajes que llegan a trampas de spam y los aumentos repentinos del volumen cuentan en su contra. Lo incómodo es que SPF, DKIM y DMARC no ayudan en este caso. Estos mecanismos confirman que un mensaje realmente proviene de su dominio, y en este caso así es. La autenticación demuestra el origen, no que el contenido sea deseado. Una vez que la reputación cae, también se ve afectado su correo comercial habitual: las cotizaciones, las facturas y las respuestas a clientes empiezan a llegar a las carpetas de spam, y recuperarse puede tomar mucho tiempo.

Un error relacionado causa daños incluso sin spam. Algunas configuraciones de formularios envían la notificación usando como remitente la dirección del visitante («From»). Su servidor no está autorizado para enviar correo en nombre del dominio de ese visitante, por lo que SPF y DKIM no se alinean con la dirección From. Si ese dominio publica una política DMARC estricta, el mensaje se rechaza o se archiva como spam, incluidas las consultas reales. El patrón más limpio es enviar desde una dirección de su propio dominio y colocar la dirección del visitante en Reply-To.

Y los daños cotidianos

• Tiempo perdido. Alguien tiene que leer, clasificar y eliminar. Unos minutos al día se acumulan hasta sumar jornadas laborales completas a lo largo de un año.
• Se pierden consultas reales. Cuando la bandeja de entrada contiene sobre todo basura, la gente lee por encima o configura filtros agresivos. La única solicitud auténtica de cotización se elimina junto con las demás o recibe respuesta una semana demasiado tarde.
• El phishing llega a su equipo. Es más fácil que se haga clic en un enlace que llega a través de su propio formulario de contacto que en uno de un correo cualquiera. Una sola contraseña ingresada en una página de inicio de sesión falsa puede costar más que todo el spam junto.
• Datos contaminados. Si los envíos se incorporan a un CRM, una lista de boletín o un sistema de tickets, los registros falsos distorsionan los datos y pueden activar más correos automatizados.

Qué significa «protegido» en la práctica

No existe un único interruptor. Un formulario está bien protegido cuando varias capas detectan cada una una parte del problema, de modo que la falla de una sola capa no deje la puerta completamente abierta.

Puede conocer la situación de sus propios formularios sin modificarlos. Una verificación gratuita en formexposed.com visita sus páginas públicas de forma pasiva —sin enviar nada— y muestra, para cada formulario, si hay un CAPTCHA, un campo trampa, un token CSRF y una trampa de tiempo, y si parecen configurados de forma eficaz. El escáner también ejecuta verificaciones del RGPD y de accesibilidad; sus detalles forman parte del informe completo. El resultado es uno de tres niveles: protegido, parcialmente protegido o expuesto. Es un buen punto de partida para decidir qué capa falta.