Miksi yhteydenottolomakkeet täyttyvät roskapostista – ja miksi se on muutakin kuin harmi

Lähes jokaisella verkkosivustolla, jolla on yhteydenottolomake, on sama kokemus: muutama päivä julkaisun jälkeen saapuvat ensimmäiset viestit, joita kukaan ei oikeasti kirjoittanut. Hakukoneoptimointipalvelujen tarjouksia, linkkejä epäilyttäviin verkkokauppoihin, tekstiä kielillä, joita sivustolla ei ole koskaan käytetty. Useimmat vain poistavat ne – ja aliarvioivat ongelman. Lomakeroskaposti ei ole pelkkää kohinaa postilaatikossa – se voi tehdä omasta verkkosivustostasi työkalun, joka toimii sinua vastaan.

Kuka lähettää lomakeroskapostia

• Verkkoa haravoivat botit. Automaattiset ohjelmat etsivät verkosta kaikkea, mikä näyttää lomakkeelta – syöttökenttää, tekstialuetta, lähetyspainiketta – ja täyttävät sen. Ne löytävät sinut yksinkertaisesti siksi, että lomakkeesi on olemassa.
• Halvat skriptit ja valmiit työkalut. Ohjelmistoja lomakkeiden massalähetykseen on helppo hankkia. Yksi ihminen voi lähettää tuhansia viestejä päivässä kirjoittamatta riviäkään koodia.
• SEO-linkkiroskaposti. Monen viestin ainoa tarkoitus on sijoittaa linkki jonnekin – postilaatikkoosi, kommenttialueelle tai sivulle, joka julkaisee lähetykset. Toiveena on, että linkki indeksoidaan jossakin tai että joku napsauttaa sitä.
• Tietojenkalastelu ja haittaohjelmat. Jotkin viestit jäljittelevät laskuja, reklamaatioita, tekijänoikeusilmoituksia tai ”verkkosivustossasi on ongelma” -hälytyksiä, ja niissä on linkki väärennetylle kirjautumissivulle tai tiedostoon. Koska ne saapuvat oman lomakkeesi kautta, ne näyttävät usein luotettavammilta kuin tavallinen sähköposti.

Kun lomakkeesi lähettää roskapostia

Monet lomakkeet lähettävät automaattisen vahvistuksen kävijän syöttämään osoitteeseen: ”Kiitos viestistäsi, tässä kopio kirjoittamastasi.” Oikealle kävijälle se on ystävällistä. Roskapostittajalle se on tilaisuus. Botti syöttää sähköpostikenttään jonkun toisen osoitteen ja kirjoittaa viestiin mainoksensa tai tietojenkalastelulinkkinsä. Palvelimesi lähettää sitten kiltisti tämän tekstin – verkkotunnuksesi nimissä – tuntemattomalle, joka ei ole koskaan käynyt sivustollasi.

Sähköpostipalvelujen tarjoajat arvioivat saapuvaa postia osittain lähettävän verkkotunnuksen ja palvelimen maineen perusteella. Roskapostivalitukset, osumat roskapostiansoihin ja äkilliset volyymipiikit lasketaan kaikki sinua vastaan. Kiusallista on, että SPF, DKIM ja DMARC eivät auta tässä. Nämä mekanismit vahvistavat, että viesti todella tulee verkkotunnuksestasi – ja tässä tapauksessa se tulee. Todennus osoittaa alkuperän, ei sitä, että sisältö on toivottua. Kun maine heikkenee, myös tavallinen liikeposti kärsii: tarjoukset, laskut ja vastaukset asiakkaille alkavat päätyä roskapostikansioihin, ja toipuminen voi kestää kauan.

Samankaltainen virhe aiheuttaa vahinkoa ilman roskapostiakin. Jotkin lomakeasetukset lähettävät ilmoituksen kävijän osoitteella lähettäjänä (”From”). Palvelimellasi ei ole oikeutta lähettää postia kävijän verkkotunnuksen nimissä, joten SPF ja DKIM eivät täsmää From-osoitteen kanssa. Jos kyseinen verkkotunnus julkaisee tiukan DMARC-käytännön, viesti hylätään tai luokitellaan roskapostiksi – myös aidot yhteydenotot. Siistimpi tapa: lähetä oman verkkotunnuksesi osoitteesta ja laita kävijän osoite Reply-To-kenttään.

Ja arkiset vahingot

• Hukattua aikaa. Jonkun on luettava, lajiteltava ja poistettava. Muutama minuutti päivässä kertyy vuodessa kokonaisiksi työpäiviksi.
• Aidot yhteydenotot katoavat. Kun postilaatikko on enimmäkseen roskaa, viestejä silmäillään – tai asetetaan aggressiivisia suodattimia. Se yksi aito tarjouspyyntö poistetaan muiden mukana tai siihen vastataan viikon liian myöhään.
• Tietojenkalastelu tavoittaa tiimisi. Oman yhteydenottolomakkeen kautta saapunutta linkkiä napsautetaan helpommin kuin satunnaisessa sähköpostissa olevaa. Yksikin väärennetylle kirjautumissivulle syötetty salasana voi tulla kalliimmaksi kuin kaikki roskaposti yhteensä.
• Saastunut data. Jos lähetykset virtaavat CRM-järjestelmään, uutiskirjelistalle tai tikettijärjestelmään, väärennetyt merkinnät vääristävät dataa ja voivat käynnistää uusia automaattisia viestejä.

Mitä ”suojattu” tarkoittaa käytännössä

Yhtä ainoaa kytkintä ei ole. Lomake on hyvin suojattu, kun useat kerrokset sieppaavat kukin osan ongelmasta, jolloin yhden kerroksen pettäminen ei avaa ovea kokonaan.

Voit nähdä omien lomakkeidesi tilanteen koskematta niihin. Maksuton tarkistus osoitteessa formexposed.com käy julkisilla sivuillasi passiivisesti – mitään ei lähetetä – ja näyttää jokaisen lomakkeen kohdalla, onko käytössä CAPTCHA, honeypot, CSRF-tunniste ja aika-ansa ja vaikuttavatko ne toimivasti määritetyiltä. Skanneri tekee myös tietosuoja- ja saavutettavuustarkistuksia; niiden yksityiskohdat ovat osa täydellistä raporttia. Tulos on yksi kolmesta tasosta: suojattu, osittain suojattu tai suojaamaton. Se on hyvä lähtökohta sen päättämiselle, mikä kerros puuttuu.