Por qué los formularios de contacto reciben spam y por qué es algo más que una molestia

Casi todos los sitios web con formulario de contacto conocen el patrón: pocos días después del lanzamiento llegan los primeros mensajes que en realidad no ha escrito nadie. Ofertas de servicios SEO, enlaces a tiendas dudosas, textos en idiomas que el sitio nunca ha utilizado. La mayoría simplemente los borra, y así subestima el problema. El spam en formularios no es solo ruido en una bandeja de entrada: puede convertir su propio sitio web en una herramienta que trabaja en su contra.

Quién envía spam a los formularios

• Bots rastreadores. Programas automatizados recorren la web en busca de cualquier cosa que parezca un formulario (un campo de entrada, un área de texto, un botón de envío) y lo rellenan. Le encuentran simplemente porque su formulario existe.
• Scripts baratos y herramientas listas para usar. El software para el envío masivo de formularios es fácil de conseguir. Una sola persona puede enviar miles de mensajes al día sin escribir una sola línea de código.
• Spam de enlaces SEO. Muchos mensajes solo existen para colocar un enlace en algún sitio: en su bandeja de entrada, en un área de comentarios o en una página que publica los envíos. La esperanza es que el enlace se indexe en algún lugar o que alguien haga clic en él.
• Phishing y malware. Algunos mensajes imitan facturas, reclamaciones, avisos de derechos de autor o alertas del tipo «hay un problema con su sitio web», con un enlace a una página de inicio de sesión falsa o a un archivo. Como llegan a través de su propio formulario, a menudo parecen más fiables que un correo electrónico corriente.

Cuando su formulario envía el spam

Muchos formularios envían una confirmación automática a la dirección que ha introducido el visitante: «Gracias por su mensaje, aquí tiene una copia de lo que ha escrito». Para un visitante real, es un detalle amable. Para un spammer, es una oportunidad. El bot introduce la dirección de otra persona en el campo de correo electrónico y coloca su publicidad o su enlace de phishing en el mensaje. Su servidor envía entonces diligentemente ese texto, con el nombre de su dominio, a un desconocido que nunca ha visitado su sitio.

Los proveedores de correo valoran el correo entrante en parte por la reputación del dominio y del servidor remitentes. Las denuncias de spam, los impactos en trampas de spam y los picos repentinos de volumen cuentan en su contra. Lo incómodo: SPF, DKIM y DMARC no ayudan aquí. Estos mecanismos confirman que un mensaje procede realmente de su dominio, y en este caso es así. La autenticación demuestra el origen, no que el contenido sea deseado. En cuanto cae la reputación, también se ve afectado su correo comercial normal: presupuestos, facturas y respuestas a clientes empiezan a acabar en carpetas de spam, y la recuperación puede llevar mucho tiempo.

Un error relacionado causa daños incluso sin spam. Algunas configuraciones de formularios envían la notificación con la dirección del visitante como remitente («From»). Su servidor no está autorizado a enviar correo en nombre del dominio de ese visitante, por lo que SPF y DKIM no se alinean con la dirección From. Si ese dominio publica una política DMARC estricta, el mensaje se rechaza o se clasifica como spam, también las consultas reales. El patrón más limpio: enviar desde una dirección de su propio dominio y poner la dirección del visitante en Reply-To.

Y los daños cotidianos

• Tiempo perdido. Alguien tiene que leer, clasificar y borrar. Unos minutos al día suman jornadas laborales enteras a lo largo de un año.
• Se pierden consultas reales. Cuando la bandeja de entrada está llena sobre todo de basura, la gente lee por encima o configura filtros agresivos. La única solicitud de presupuesto auténtica se borra con el resto o se responde con una semana de retraso.
• El phishing llega a su equipo. En un enlace que llega a través de su propio formulario de contacto se hace clic con más facilidad que en uno de un correo electrónico cualquiera. Una sola contraseña introducida en una página de inicio de sesión falsa puede costar más que todo el spam junto.
• Datos contaminados. Si los envíos llegan a un CRM, a una lista de boletines o a un sistema de tickets, las entradas falsas distorsionan los datos y pueden desencadenar más correos automáticos.

Qué significa «protegido» en la práctica

No existe un único interruptor. Un formulario está bien protegido cuando varias capas detienen cada una parte del problema, de modo que el fallo de una capa no abra la puerta por completo.

Puede ver en qué situación están sus propios formularios sin tocarlos. Una comprobación gratuita en formexposed.com visita sus páginas públicas de forma pasiva (no se envía nada) y muestra para cada formulario si hay CAPTCHA, honeypot, token CSRF y trampa de tiempo y si parecen configurados de forma eficaz. El escáner realiza además comprobaciones de RGPD y de accesibilidad; sus detalles forman parte del informe completo. El resultado es uno de tres niveles: protegido, parcialmente protegido o expuesto. Es un buen punto de partida para decidir qué capa falta.