Miért kapnak spamet a kapcsolatfelvételi űrlapok – és miért több ez puszta bosszúságnál

Szinte minden kapcsolatfelvételi űrlappal rendelkező weboldal ismeri a mintát: néhány nappal az indulás után megérkeznek az első üzenetek, amelyeket valójában senki sem írt. SEO-szolgáltatások ajánlatai, kétes webshopokra mutató linkek, olyan nyelvű szövegek, amelyeket az oldal soha nem használt. A legtöbben egyszerűen törlik őket – és ezzel alábecsülik a problémát. Az űrlapspam nem csupán zaj a postafiókban: a saját weboldalát is olyan eszközzé teheti, amely Ön ellen dolgozik.

Ki küldi az űrlapspamet

• Weboldalakat bejáró botok. Automatizált programok pásztázzák a webet mindenféle űrlapnak látszó elem után – beviteli mező, szövegterület, küldés gomb –, és kitöltik őket. Egyszerűen azért találják meg Önt, mert az űrlapja létezik.
• Olcsó szkriptek és kész eszközök. A tömeges űrlapbeküldésre szolgáló szoftverek könnyen beszerezhetők. Egyetlen ember naponta több ezer üzenetet küldhet anélkül, hogy egyetlen sor kódot írna.
• SEO-linkspam. Sok üzenet kizárólag azért létezik, hogy valahol elhelyezzen egy linket – az Ön postafiókjában, egy hozzászólási felületen vagy egy olyan oldalon, amely közzéteszi a beküldéseket. A remény az, hogy a linket valahol indexelik, vagy hogy valaki rákattint.
• Adathalászat és kártevők. Egyes üzenetek számlákat, panaszokat, szerzői jogi értesítéseket vagy „probléma van a weboldalával” típusú figyelmeztetéseket utánoznak, hamis bejelentkezési oldalra mutató linkkel vagy fájllal. Mivel a saját űrlapján keresztül érkeznek, gyakran megbízhatóbbnak tűnnek a hétköznapi e-maileknél.

Amikor az Ön űrlapja küldi a spamet

Sok űrlap automatikus visszaigazolást küld a látogató által megadott címre: „Köszönjük üzenetét, itt egy másolat arról, amit írt.” Egy valódi látogató számára ez kedves gesztus. Egy spammer számára lehetőség. A bot valaki más címét írja az e-mail-mezőbe, az üzenetbe pedig a reklámját vagy az adathalász linkjét. Az Ön szervere ezután készségesen elküldi ezt a szöveget – az Ön domainneve alatt – egy idegennek, aki soha nem járt az oldalán.

A levelezőszolgáltatók a beérkező leveleket részben a küldő domain és szerver hírneve alapján ítélik meg. A spampanaszok, a spamcsapdákba futó levelek és a hirtelen megugró levélmennyiség mind Ön ellen szólnak. A kellemetlen rész: az SPF, a DKIM és a DMARC itt nem segít. Ezek a mechanizmusok azt igazolják, hogy egy üzenet valóban az Ön domainjéről származik – és ebben az esetben valóban onnan származik. A hitelesítés az eredetet bizonyítja, nem azt, hogy a tartalmat kérték. Ha a hírnév egyszer leromlik, a szokásos üzleti levelezése is érintett lesz: az árajánlatok, számlák és ügyfeleknek írt válaszok a spammappákban kötnek ki, és a helyreállítás sokáig tarthat.

Egy rokon hiba spam nélkül is kárt okoz. Egyes űrlapbeállítások az értesítést a látogató címével mint feladóval („From”) küldik el. Az Ön szervere nem jogosult levelet küldeni a látogató domainje nevében, így az SPF és a DKIM nem illeszkedik a From címhez. Ha az a domain szigorú DMARC-szabályzatot tesz közzé, az üzenetet elutasítják vagy spamként sorolják be – a valódi megkereséseket is. A tisztább megoldás: küldjön a saját domainjén lévő címről, a látogató címét pedig tegye a Reply-To mezőbe.

És a mindennapi károk

• Elvesztegetett idő. Valakinek el kell olvasnia, válogatnia és törölnie. Napi néhány perc egy év alatt teljes munkanapokká adódik össze.
• Elvesznek a valódi megkeresések. Ha a postafiók nagyrészt szemét, az emberek csak átfutják – vagy agresszív szűrőket állítanak be. Az az egy valódi árajánlatkérés a többivel együtt törlődik, vagy egy héttel későn kap választ.
• Az adathalászat eléri a csapatát. A saját kapcsolatfelvételi űrlapon keresztül érkező linkre könnyebben kattintanak, mint egy véletlenszerű e-mailben lévőre. Egyetlen hamis bejelentkezési oldalon megadott jelszó többe kerülhet, mint az összes spam együttvéve.
• Szennyezett adatok. Ha a beküldések CRM-be, hírlevéllistára vagy jegykezelő rendszerbe kerülnek, a hamis bejegyzések torzítják az adatokat, és további automatikus leveleket indíthatnak el.

Mit jelent a gyakorlatban a „védett”

Nincs egyetlen kapcsoló. Egy űrlap akkor jól védett, ha több réteg mindegyike a probléma egy részét fogja meg, így egy réteg kiesése nem nyitja ki teljesen az ajtót.

Hogy a saját űrlapjai hol tartanak, azt anélkül is megnézheti, hogy hozzájuk nyúlna. A formexposed.com ingyenes ellenőrzése passzívan felkeresi a nyilvános oldalait – semmit sem küld be –, és minden űrlapnál megmutatja, hogy van-e CAPTCHA, honeypot, CSRF-token és időcsapda, és hogy ezek hatékonyan beállítottnak tűnnek-e. A szkenner GDPR- és akadálymentességi ellenőrzéseket is végez; ezek részletei a teljes jelentésben találhatók. Az eredmény három szint egyike: védett, részben védett vagy védtelen. Ez jó kiindulópont annak eldöntéséhez, melyik réteg hiányzik.