למה טופסי יצירת קשר מקבלים ספאם — ולמה זה יותר מסתם מטרד

כמעט כל אתר עם טופס יצירת קשר מכיר את הדפוס: כמה ימים אחרי העלייה לאוויר מגיעות ההודעות הראשונות שאיש לא באמת כתב. הצעות לשירותי SEO, קישורים לחנויות מפוקפקות, טקסט בשפות שהאתר מעולם לא השתמש בהן. רוב האנשים פשוט מוחקים אותן — ובכך ממעיטים בחומרת הבעיה. ספאם בטפסים אינו רק רעש בתיבת הדואר: הוא יכול להפוך את האתר עצמו לכלי שפועל נגד בעליו.

מי שולח ספאם בטפסים

• בוטים שסורקים את הרשת. תוכניות אוטומטיות מחפשות ברשת כל דבר שנראה כמו טופס — שדה קלט, אזור טקסט, כפתור שליחה — וממלאות אותו. הן מוצאות את האתר פשוט מפני שהטופס קיים.
• סקריפטים זולים וכלים מוכנים. קל להשיג תוכנות לשליחה המונית של טפסים. אדם אחד יכול לשלוח אלפי הודעות ביום בלי לכתוב אפילו שורת קוד אחת.
• ספאם קישורים לצורכי SEO. הודעות רבות קיימות רק כדי להציב קישור במקום כלשהו — בתיבת הדואר, באזור תגובות או בדף שמפרסם תוכן שנשלח. התקווה היא שהקישור יאונדקס במקום כלשהו או שמישהו ילחץ עליו.
• דיוג ונוזקות. חלק מההודעות מתחזות לחשבוניות, לתלונות, להודעות על זכויות יוצרים או להתרעות בנוסח ״יש בעיה באתר״, עם קישור לדף כניסה מזויף או לקובץ. מכיוון שהן מגיעות דרך הטופס של האתר עצמו, הן נראות לעיתים אמינות יותר מדואר רגיל.

כשהטופס הוא זה ששולח את הספאם

טפסים רבים שולחים אישור אוטומטי לכתובת שהוזנה על ידי המבקר: ״תודה על ההודעה, הנה עותק של מה שנכתב״. למבקר אמיתי זו מחווה ידידותית. לשולח ספאם זו הזדמנות. הבוט מזין כתובת של אדם אחר בשדה הדוא״ל ומכניס להודעה את הפרסומת או את קישור הדיוג שלו. השרת שולח אז בצייתנות את הטקסט הזה — תחת שם הדומיין של האתר — לאדם זר שמעולם לא ביקר באתר.

ספקי דואר מעריכים דואר נכנס בין היתר לפי המוניטין של הדומיין והשרת השולחים. תלונות ספאם, פגיעות במלכודות ספאם ועליות פתאומיות בהיקף השליחה — כולן פועלות לרעת האתר. החלק הבעייתי: SPF, DKIM ו-DMARC אינם עוזרים כאן. המנגנונים האלה מאשרים שהודעה אכן מגיעה מהדומיין — ובמקרה הזה היא אכן מגיעה ממנו. האימות מוכיח את המקור, לא שהתוכן רצוי. ברגע שהמוניטין יורד, גם דואר עסקי רגיל מושפע: הצעות מחיר, חשבוניות ותשובות ללקוחות מתחילות להגיע לתיקיות ספאם, וההתאוששות יכולה להימשך זמן רב.

טעות קשורה גורמת נזק גם בלי ספאם כלל. חלק מהטפסים שולחים את ההתראה כשכתובת המבקר מוגדרת ככתובת השולח (״From״). השרת אינו מורשה לשלוח דואר עבור הדומיין של המבקר, ולכן SPF ו-DKIM אינם תואמים לכתובת From. אם אותו דומיין מפרסם מדיניות DMARC מחמירה, ההודעה נדחית או מסווגת כספאם — כולל פניות אמיתיות. הדפוס הנקי יותר: לשלוח מכתובת בדומיין של האתר ולהציב את כתובת המבקר ב-Reply-To.

וגם הנזק היומיומי

• בזבוז זמן. מישהו צריך לקרוא, למיין ולמחוק. כמה דקות ביום מצטברות לימי עבודה שלמים לאורך שנה.
• פניות אמיתיות הולכות לאיבוד. כשהתיבה מלאה בעיקר בזבל, קוראים ברפרוף — או מגדירים מסננים אגרסיביים. הבקשה האמיתית היחידה להצעת מחיר נמחקת עם השאר, או נענית באיחור של שבוע.
• דיוג מגיע לצוות. קל יותר ללחוץ על קישור שהגיע דרך טופס יצירת הקשר של האתר מאשר על קישור בהודעת דואר אקראית. סיסמה אחת שהוזנה בדף כניסה מזויף עלולה לעלות יותר מכל הספאם יחד.
• נתונים מזוהמים. אם השליחות זורמות למערכת CRM, לרשימת תפוצה או למערכת פניות, רשומות מזויפות מעוותות את הנתונים ועלולות להפעיל הודעות אוטומטיות נוספות.

מה פירוש ״מוגן״ בפועל

אין מתג יחיד. טופס מוגן היטב כאשר כמה שכבות לוכדות כל אחת חלק מהבעיה, כך שכשל של שכבה אחת אינו פותח את הדלת לגמרי.

אפשר לראות את מצב הטפסים בלי לגעת בהם. בדיקה חינמית ב-formexposed.com מבקרת בדפים הציבוריים באופן פסיבי — דבר אינו נשלח — ומראה עבור כל טופס אם קיימים CAPTCHA, שדה מלכודת, אסימון CSRF ומלכודת זמן, ואם הם נראים מוגדרים באופן יעיל. הסורק מבצע גם בדיקות של התקנה הכללית להגנת מידע (GDPR) ושל נגישות; פרטיהן הם חלק מהדוח המלא. התוצאה היא אחת משלוש רמות: מוגן, הגנה חלקית או ללא הגנה. זו נקודת מוצא טובה כדי להחליט איזו שכבה חסרה.