Zašto kontaktni obrasci primaju neželjenu poštu – i zašto je to više od smetnje

Gotovo svaka mrežna stranica s kontaktnim obrascem poznaje taj obrazac: nekoliko dana nakon pokretanja stižu prve poruke koje nitko nije stvarno napisao. Ponude SEO usluga, poveznice na sumnjive trgovine, tekst na jezicima koje stranica nikad nije upotrebljavala. Većina ih samo izbriše – čime podcjenjuje problem. Neželjena pošta iz obrazaca nije samo šum u pretincu – može pretvoriti Vašu vlastitu mrežnu stranicu u alat koji radi protiv Vas.

Tko šalje neželjenu poštu putem obrazaca

• Botovi koji pretražuju web. Automatizirani programi pretražuju web u potrazi za svime što izgleda kao obrazac – poljem za unos, tekstualnim područjem, gumbom za slanje – i ispunjavaju ga. Pronalaze Vas jednostavno zato što Vaš obrazac postoji.
• Jeftine skripte i gotovi alati. Softver za masovno slanje obrazaca lako je nabaviti. Jedna osoba može poslati tisuće poruka dnevno bez pisanja ijednog retka koda.
• SEO neželjena pošta s poveznicama. Mnoge poruke postoje samo da bi negdje postavile poveznicu – u Vaš pretinac, područje komentara ili na stranicu koja objavljuje predaje. Nada je da će se poveznica negdje indeksirati ili da će je netko kliknuti.
• Phishing i zlonamjerni softver. Neke poruke oponašaju račune za naplatu, pritužbe, obavijesti o autorskim pravima ili upozorenja „postoji problem s Vašom mrežnom stranicom”, s poveznicom na lažnu stranicu za prijavu ili datoteku. Budući da dolaze kroz Vaš vlastiti obrazac, često djeluju pouzdanije od obične e-pošte.

Kad Vaš obrazac šalje neželjenu poštu

Mnogi obrasci šalju automatsku potvrdu na adresu koju je posjetitelj unio: „Hvala na poruci, evo kopije onoga što ste napisali.” Za stvarnog posjetitelja to je ljubazno. Za pošiljatelja neželjene pošte to je prilika. Bot u polje e-pošte unosi tuđu adresu, a u poruku stavlja svoj oglas ili phishing poveznicu. Vaš poslužitelj zatim poslušno šalje taj tekst – pod nazivom Vaše domene – neznancu koji nikad nije posjetio Vašu stranicu.

Pružatelji e-pošte procjenjuju dolaznu poštu dijelom prema ugledu domene i poslužitelja pošiljatelja. Pritužbe na neželjenu poštu, pogoci u zamke za neželjenu poštu i nagli porast količine sve su stavke protiv Vas. Neugodna činjenica: SPF, DKIM i DMARC ovdje ne pomažu. Ti mehanizmi potvrđuju da poruka doista dolazi s Vaše domene – a u ovom slučaju dolazi. Autentifikacija dokazuje podrijetlo, a ne da je sadržaj željen. Kad ugled padne, pogođena je i Vaša uobičajena poslovna pošta: ponude, računi za naplatu i odgovori klijentima počinju završavati u mapama neželjene pošte, a oporavak može dugo trajati.

Srodna pogreška šteti čak i bez neželjene pošte. Neke konfiguracije obrazaca šalju obavijest s adresom posjetitelja kao pošiljateljem („From”). Vaš poslužitelj nije ovlašten slati poštu za domenu tog posjetitelja pa SPF i DKIM nisu usklađeni s adresom From. Ako ta domena objavljuje strogo DMARC pravilo, poruka se odbija ili svrstava u neželjenu poštu – uključujući stvarne upite. Urednije rješenje: slati s adrese na vlastitoj domeni, a adresu posjetitelja staviti u Reply-To.

I svakodnevna šteta

• Izgubljeno vrijeme. Netko mora čitati, razvrstavati i brisati. Nekoliko minuta dnevno tijekom godine zbroji se u cijele radne dane.
• Stvarni upiti se gube. Kad je pretinac uglavnom pun smeća, ljudi čitaju površno – ili postavljaju agresivne filtre. Jedini stvarni zahtjev za ponudom briše se s ostalim ili dobiva odgovor tjedan prekasno.
• Phishing stiže do Vašeg tima. Poveznica koja stiže kroz Vaš vlastiti kontaktni obrazac lakše se klikne od one u nasumičnoj poruci e-pošte. Jedna lozinka unesena na lažnoj stranici za prijavu može stajati više od sve neželjene pošte zajedno.
• Onečišćeni podaci. Ako predaje ulaze u CRM, popis za bilten ili sustav prijava, lažni unosi iskrivljuju podatke i mogu pokrenuti daljnje automatizirane poruke.

Što „zaštićeno” znači u praksi

Ne postoji jedan jedini prekidač. Obrazac je dobro zaštićen kad više slojeva hvata različite dijelove problema, tako da kvar jednog sloja ne otvori vrata u potpunosti.

Možete vidjeti stanje svojih obrazaca bez mijenjanja. Besplatna provjera na formexposed.com pasivno posjećuje Vaše javne stranice – ništa se ne predaje – i za svaki obrazac pokazuje jesu li prisutni CAPTCHA, zamka za botove, CSRF token i vremenska zamka te djeluju li učinkovito konfigurirani. Skener provodi i provjere GDPR-a i pristupačnosti; njihove pojedinosti dio su potpunog izvješća. Rezultat je jedna od triju razina: zaštićeno, djelomično zaštićeno ili izloženo. To je dobro polazište za odluku koji sloj nedostaje.