WordPressi kontaktivormid: turvalisuse kontroll-loend

Enamik WordPressi saite kasutab ühte käputäiest vormipistikprogrammidest: Contact Form 7, WPForms, Gravity Forms, Ninja Forms, Fluent Forms ja mõni muu. Igaüht neist saab kasutada turvaliselt või jätta pärani lahti. Erinevus peitub harva pistikprogrammis endas, vaid selle seadetes, seda ümbritsevates lisamoodulites, selles, kuidas kirjad serverist lahkuvad, ja selles, mis sõnumitega pärast saabumist juhtub.

• Hoidke vormipistikprogramm ja iga lisamoodul ajakohasena ning kustutage need, mida te enam ei kasuta.
• Lubage pistikprogrammi enda rämpspostikaitse – meepott, CAPTCHA integratsioon, sobivuse korral Akismet – ja veenduge, et see tegelikult töötab.
• Saatke teavitused autenditud SMTP kaudu oma domeeni aadressilt.
• Piirake üleslaadimisi tüübi ja suuruse järgi ning hoidke üleslaaditud failid avalikust loetlemisest ja sirvimisest eemal.
• Hoidke adressaadi e-posti aadress lehelt ja selle lähtekoodist eemal.
• Salvestage ainult vajalikud sisestused ja ainult nii kauaks, kui neid vajate.
• Tehke pärast iga WordPressi, teema või mis tahes pistikprogrammi uuendust lühike kontroll.

Uuendused: vormipistikprogramm ja kõik selle ümber

Vormipistikprogrammid on populaarsed sihtmärgid, sest need võtavad sisendit vastu igaühelt internetis. Turvaparandused saabuvad tavaliste uuendustena, seega uuendage kiiresti – ja mitte ainult põhipistikprogrammi. Maksete, üleslaadimiste, CRM-ühenduste, tingimusloogika või täiendavate CAPTCHA pakkujate lisamoodulid on eraldi kood oma turvanõrkustega. Samuti pistikprogrammid, mille kunagi testiks paigaldasite ja unustasite. Desaktiveerimisest ei piisa: desaktiveeritud pistikprogrammid on endiselt serveris ja nende failidele saab mõnel juhul otse ligi. Kui te seda ei kasuta, kustutage see.

Rämpspostikaitse: lülitage see sisse, seejärel tõestage, et see töötab

Enamikul vormipistikprogrammidel on oma rämpspostikaitse valikud või need on integreeritud väliste teenustega: meepotiväli, mille robotid täidavad ja mida inimesed kunagi ei näe, CAPTCHA-d nagu reCAPTCHA, hCaptcha või Cloudflare Turnstile ning Akismet, mis kontrollib sõnumi sisu rämpspostiandmebaasi alusel. Valikud erinevad pistikprogrammi ja versiooni järgi, seega kontrollige seadeid, selle asemel et eeldada. Välised CAPTCHA-d laadivad skripte kolmandalt osapoolelt ja Akismet saadab saadetud sisu välisele teenusele – mõlemad kuuluvad teie privaatsuspoliitikasse ja olenevalt seadistusest teie nõusolekuhaldusse.

Sagedasem probleem on kaitse, mis on sisse lülitatud, kuid ei tööta. Avalike testvõtmetega töötav CAPTCHA laseb kõik läbi. Vidin, mille skripti blokeerib vahemälu- või optimeerimispistikprogramm või JavaScripti viga, ei peata midagi. Meepotivälja ilma seda peitvate stiilideta loevad ekraanilugejad ette ja päris külastajad täidavad selle. Seega avage pärast iga muudatust vorm privaatses aknas, kontrollige brauseri konsooli ja lehe lähtekoodi ning saatke testsõnum. Kui soovite kaitset, mis ei sõltu Google'ist, lisab tasuta formexposedi WordPressi pistikprogramm meepoti, ajakontrolli ja töötõendi ning kontrollib saiti pärast pistikprogrammide uuendusi uuesti – üks võimalus mitme seas.

E-post: kuidas see saadetakse ja kuhu see läheb

Vaikimisi annab WordPress kirjad üle serveri PHP mail-funktsioonile ja paljudes majutuskeskkondades on need sõnumid halvasti autenditud ning satuvad rämpsposti – või kaovad vaikselt. Selle asemel saatke SMTP pistikprogrammi või oma majutusteenuse pakkuja e-posti teenuse kaudu, kasutades päris postkasti kasutajanime ja parooliga ning saatja aadressi oma domeenil, näiteks spetsiaalset forms@ aadressi. Domeeni SPF-, DKIM- ja DMARC-kirjed peavad seda saatjat hõlmama. Ärge pange külastaja aadressi From-väljale: see ei ole teie domeen, seega ei saa sõnum läbida DMARC-i joondust ja olenevalt külastaja domeeni poliitikast satub rämpsposti või lükatakse tagasi. Seadke see väljale Reply-To ja saate ikkagi ühe klõpsuga vastata.

Adressaadi aadress kuulub pistikprogrammi seadetesse, mitte lehele. Kontrollige oma kontaktilehe lähtekoodi: vormi kõrval olev mailto-link või adressaadi aadressi sisaldav peidetud väli annab selle aadressi igale aadresse koguvale robotile. Vanemate või eritellimusel ehitatud vormide puhul võib olukord olla hullem – kui server usaldab peidetud adressaadivälja, saab igaüks seda muuta ja kasutada teie vormi kirjade saatmiseks suvalistele aadressidele.

Üleslaadimised ja salvestatud sisestused

Failide üleslaadimine on kõige riskantsem vormifunktsioon, seega küsige esmalt, kas seda üldse vajate. Kui vajate, lubage ainult tüüpe, mida tegelikult ootate – näiteks PDF ja levinud pildivormingud –, selle asemel et blokeerida mõni ohtlik, ning määrake suuruspiirang. Kontrollige, kuhu pistikprogramm üleslaadimised salvestab: need ei tohi olla avalikus kataloogis loetletavad ja ideaalis üldse mitte äraarvatava aadressi kaudu kättesaadavad. Kustutage need pärast käsitlemist või saatke need manustena, selle asemel et neid serveris hoida.

Paljud vormipistikprogrammid või nende lisamoodulid salvestavad iga saatmise WordPressi andmebaasi, sageli ka rämpsposti. See on kasulik varukoopia, kui e-post ei tööta, kuid ka kasvav isikuandmete hunnik. IKÜM-i säilitamise piiritlemise põhimõtte (art 5(1)(e)) kohaselt ei tohiks selliseid andmeid hoida kauem kui vaja. Otsustage, kas vajate salvestatud sisestusi, milliseid välju ja kui kauaks, seejärel kasutage pistikprogrammi automaatse kustutamise seadet, kui see on olemas, või kustutage vanad sisestused regulaarselt. Andmebaasi varukoopiad sisaldavad samu andmeid.

Pärast iga uuendust

1. 1Avage kontaktileht privaatses aknas: vorm ja selle rämpspostikaitse element kuvatakse õigesti ja brauseri konsool ei näita vigu.
2. 2Vaadake lehe lähtekoodi: meepotiväli ja CAPTCHA skript on endiselt olemas ning adressaadi aadressi ei ole.
3. 3Saatke testsõnum: see jõuab postkasti, mitte rämpsposti, ja päised näitavad, et SPF, DKIM ja DMARC on läbitud.
4. 4Kontrollige olulisi seadeid: adressaat, saatja aadress, lubatud üleslaaditavate failide tüübid ja suurused, sisestuste säilitamise aeg.
5. 5Kontrollige, et privaatsuspoliitika link ja võimalik nõusolekutekst on vormi juures endiselt nähtavad.
6. 6Märkige üles kuupäev ja see, mida kontrollisite, et teaksite, millal vorm viimati tõendatavalt töötas.

Kui see on muutunud rutiiniks, võtab see vähe aega ja tabab just neid vaikseid rikkeid, mis muidu jäävad nädalateks märkamata. Välise vaate saamiseks vaatab tasuta kontroll saidil formexposed.com saidi avalikke vormilehti ilma midagi saatmata ja näitab, kas teie oodatud kaitse on olemas ja tõhusalt seadistatud – kontot pole vaja.