WordPress kontaktni obrasci: sigurnosna kontrolna lista

Većina WordPress stranica koristi jedan od nekoliko dodataka za obrasce: Contact Form 7, WPForms, Gravity Forms, Ninja Forms, Fluent Forms i još neke. Svaki od njih može biti sigurno postavljen ili potpuno nezaštićen. Razlika rijetko leži u samom dodatku, nego u njegovim postavkama, okolnim proširenjima, načinu slanja e-pošte s poslužitelja i onome što se događa s porukama nakon što stignu.

• Redovito ažurirajte dodatak za obrasce i sva proširenja te izbrišite ona koja više ne koristite.
• Uključite vlastitu zaštitu dodatka od neželjenih poruka – zamku za botove, integraciju CAPTCHA-e, Akismet gdje odgovara – i potvrdite da doista radi.
• Šaljite obavijesti putem autentificiranog SMTP-a s adrese na vlastitoj domeni.
• Ograničite učitavanje datoteka prema vrsti i veličini te spriječite javno izlistavanje ili pregledavanje učitanih datoteka.
• Adresu e-pošte primatelja držite izvan stranice i njezina izvornog koda.
• Pohranjujte samo unose koji su Vam potrebni i samo onoliko dugo koliko su Vam potrebni.
• Provedite kratku provjeru nakon svakog ažuriranja WordPressa, teme ili bilo kojeg dodatka.

Ažuriranja: dodatak za obrasce i sve oko njega

Dodaci za obrasce popularne su mete jer prihvaćaju unose bilo koga na internetu. Sigurnosni ispravci stižu kao obična ažuriranja, stoga ažurirajte pravodobno – i to ne samo glavni dodatak. Proširenja za plaćanja, učitavanje datoteka, povezivanje s CRM-om, uvjetnu logiku ili dodatne pružatelje CAPTCHA-e zaseban su kod s vlastitim ranjivostima. Isto vrijedi za dodatke koje ste nekoć instalirali radi testa i zaboravili. Deaktivacija nije dovoljna: deaktivirani dodaci i dalje se nalaze na poslužitelju, a njihovim se datotekama u nekim slučajevima može izravno pristupiti. Ako ih ne koristite, izbrišite ih.

Zaštita od neželjenih poruka: uključite je, pa dokažite da radi

Većina dodataka za obrasce ima vlastite mogućnosti zaštite od neželjenih poruka ili se povezuje s vanjskim uslugama: polje zamke za botove koje botovi ispunjavaju, a ljudi ga nikada ne vide, CAPTCHA-e poput reCAPTCHA, hCaptcha ili Cloudflare Turnstile te Akismet, koji sadržaj poruke uspoređuje s bazom neželjenih poruka. Mogućnosti se razlikuju prema dodatku i verziji, pa provjerite postavke umjesto da pretpostavljate. Vanjske CAPTCHA-e učitavaju skripte treće strane, a Akismet šalje poslani sadržaj vanjskoj usluzi – oboje pripada u Vaša pravila privatnosti i, ovisno o postavkama, u upravljanje privolama.

Češći je problem zaštita koja je uključena, ali ne radi. CAPTCHA s javnim testnim ključevima propušta sve. Dodatak čiju skriptu blokira dodatak za predmemoriranje ili optimizaciju ili pogreška u JavaScriptu ne zaustavlja ništa. Polje zamke za botove bez stilova koji ga skrivaju čitači zaslona čitaju naglas, a stvarni ga posjetitelji ispunjavaju. Zato nakon svake promjene otvorite obrazac u privatnom prozoru, provjerite konzolu preglednika i izvorni kod stranice te pošaljite probnu poruku. Ako želite zaštitu koja ne ovisi o Googleu, besplatni dodatak formexposed za WordPress dodaje zamku za botove, vremensku provjeru i dokaz rada te ponovno provjerava stranicu nakon ažuriranja dodataka – jedna mogućnost među više njih.

E-pošta: kako se šalje i kamo odlazi

Prema zadanim postavkama WordPress predaje e-poštu PHP funkciji za e-poštu na poslužitelju, a kod mnogih pružatelja hostinga te su poruke slabo autentificirane i završavaju u neželjenoj pošti – ili neprimjetno nestanu. Umjesto toga šaljite putem SMTP dodatka ili usluge e-pošte svojeg hostinga, koristeći stvarni poštanski sandučić s korisničkim imenom i lozinkom te adresu pošiljatelja na vlastitoj domeni, primjerice namjensku adresu forms@. SPF, DKIM i DMARC zapisi domene moraju obuhvaćati tog pošiljatelja. Ne stavljajte adresu posjetitelja u polje From: to nije Vaša domena, pa poruka ne može proći provjeru usklađenosti DMARC-a i, ovisno o pravilima domene posjetitelja, završava u neželjenoj pošti ili se odbija. Postavite je kao Reply-To i i dalje možete odgovoriti jednim klikom.

Adresa primatelja pripada u postavke dodatka, a ne na stranicu. Provjerite izvorni kod svoje kontaktne stranice: poveznica mailto uz obrazac ili skriveno polje s adresom primatelja predaje tu adresu svakom botu koji prikuplja adrese. Kod starijih ili posebno izrađenih obrazaca može biti i gore – ako poslužitelj vjeruje skrivenom polju primatelja, svatko ga može promijeniti i koristiti Vaš obrazac za slanje e-pošte na proizvoljne adrese.

Učitavanje datoteka i pohranjeni unosi

Učitavanje datoteka najrizičnija je funkcija obrasca, pa se prvo zapitajte trebate li je uopće. Ako je trebate, dopustite samo vrste koje doista očekujete – primjerice PDF i uobičajene slikovne formate – umjesto blokiranja tek nekoliko opasnih vrsta, i postavite ograničenje veličine. Provjerite gdje dodatak pohranjuje učitane datoteke: ne smiju se moći izlistati u javnom direktoriju, a idealno bi bilo da uopće nisu dostupne na adresi koju je moguće pogoditi. Izbrišite ih nakon obrade ili ih pošaljite kao privitke umjesto da ih čuvate na poslužitelju.

Mnogi dodaci za obrasce ili njihova proširenja spremaju svaki poslani obrazac u bazu podataka WordPressa, često uključujući neželjene poruke. To je korisna sigurnosna kopija kada e-pošta zakaže, ali i sve veća hrpa osobnih podataka. Prema načelu ograničenja pohrane iz GDPR-a (čl. 5(1)(e)), takve podatke ne treba čuvati dulje nego što je nužno. Odlučite trebaju li Vam pohranjeni unosi, koja polja i na koliko dugo, a zatim koristite postavku automatskog brisanja dodatka ako postoji ili redovito brišite stare unose. Sigurnosne kopije baze podataka sadrže iste podatke.

Nakon svakog ažuriranja

1. 1Otvorite kontaktnu stranicu u privatnom prozoru: obrazac i njegov element zaštite od neželjenih poruka prikazuju se ispravno, a konzola preglednika ne pokazuje pogreške.
2. 2Pogledajte izvorni kod stranice: polje zamke za botove i skripta CAPTCHA-e i dalje su prisutni, a adresa primatelja nije.
3. 3Pošaljite probnu poruku: stiže u ulaznu poštu, a ne u neželjenu poštu, i zaglavlja pokazuju uspješne provjere SPF-a, DKIM-a i DMARC-a.
4. 4Provjerite važne postavke: primatelja, adresu pošiljatelja, dopuštene vrste i veličine učitanih datoteka te rok čuvanja unosa.
5. 5Provjerite prikazuju li se poveznica na pravila privatnosti i eventualni tekst privole i dalje uz obrazac.
6. 6Zabilježite datum i što ste provjerili kako biste znali kada je obrazac posljednji put dokazano radio.

Kada postane rutina, to oduzima malo vremena i otkriva upravo one tihe kvarove koji inače tjednima ostaju neprimijećeni. Za pogled izvana besplatna provjera na formexposed.com pregledava javne stranice s obrascima bez slanja ičega putem njih i pokazuje postoji li očekivana zaštita i je li učinkovito konfigurirana – račun nije potreban.