WordPress kapcsolatfelvételi űrlapok: biztonsági ellenőrzőlista

A legtöbb WordPress-oldal néhány űrlapbővítmény egyikét használja: Contact Form 7, WPForms, Gravity Forms, Ninja Forms, Fluent Forms és még néhány. Bármelyikük üzemeltethető biztonságosan, és bármelyik hagyható tárva-nyitva. A különbség ritkán magában a bővítményben rejlik, sokkal inkább a beállításaiban, a körülötte lévő kiegészítőkben, abban, hogyan hagyja el a levél a szervert, és mi történik az üzenetekkel, miután megérkeztek.

• Tartsa naprakészen az űrlapbővítményt és minden kiegészítőt, és törölje azokat, amelyeket már nem használ.
• Kapcsolja be a bővítmény saját spamvédelmét – honeypot, CAPTCHA-integráció, ahol illik, Akismet –, és győződjön meg róla, hogy valóban működik.
• Az értesítéseket hitelesített SMTP-n keresztül küldje, a saját domainjén lévő címről.
• Korlátozza a feltöltéseket típus és méret szerint, és akadályozza meg, hogy a feltöltött fájlok nyilvánosan listázhatók vagy böngészhetők legyenek.
• Tartsa távol a címzett e-mail-címét az oldaltól és annak forráskódjától.
• Csak azokat a bejegyzéseket tárolja, amelyekre szüksége van, és csak addig, ameddig szüksége van rájuk.
• Végezzen rövid ellenőrzést a WordPress, a téma vagy bármely bővítmény minden frissítése után.

Frissítések: az űrlapbővítmény és minden, ami körülötte van

Az űrlapbővítmények népszerű célpontok, mert bárkitől fogadnak bemenetet az interneten. A biztonsági javítások szokásos frissítésekként érkeznek, ezért frissítsen haladéktalanul – és ne csak a fő bővítményt. A fizetésekhez, feltöltésekhez, CRM-kapcsolatokhoz, feltételes logikához vagy további CAPTCHA-szolgáltatókhoz tartozó kiegészítők külön kódok, saját sebezhetőségekkel. Ugyanígy azok a bővítmények is, amelyeket egyszer tesztelésre telepített, aztán elfelejtett. A kikapcsolás nem elég: a kikapcsolt bővítmények továbbra is a szerveren vannak, és fájljaik bizonyos esetekben közvetlenül elérhetők. Ha nem használja, törölje.

Spamvédelem: kapcsolja be, aztán bizonyítsa, hogy működik

A legtöbb űrlapbővítménynek saját spamvédelmi beállításai vannak, vagy külső szolgáltatásokkal integrálható: egy honeypot mező, amelyet a botok kitöltenek, az emberek viszont soha nem látnak, CAPTCHA-k, például a reCAPTCHA, a hCaptcha vagy a Cloudflare Turnstile, valamint az Akismet, amely egy spamadatbázissal veti össze az üzenetek tartalmát. A lehetőségek bővítményenként és verziónként eltérnek, ezért feltételezések helyett ellenőrizze a beállításokat. A külső CAPTCHA-k harmadik féltől töltenek be szkripteket, az Akismet pedig külső szolgáltatásnak küldi el a beküldött tartalmat – mindkettő az adatvédelmi tájékoztatóba, és a beállítástól függően a hozzájáruláskezelésbe is beletartozik.

A gyakoribb probléma az a védelem, amely be van kapcsolva, de nem működik. Egy nyilvános tesztkulcsokkal futó CAPTCHA mindent átenged. Egy widget, amelynek szkriptjét egy gyorsítótárazó vagy optimalizáló bővítmény, illetve egy JavaScript-hiba blokkolja, semmit sem állít meg. Egy honeypot mezőt, amelyről hiányoznak az elrejtő stílusok, a képernyőolvasók felolvasnak, a valódi látogatók pedig kitöltenek. Ezért minden módosítás után nyissa meg az űrlapot privát ablakban, nézze meg a böngészőkonzolt és az oldal forráskódját, és küldjön egy tesztüzenetet. Ha olyan védelmet szeretne, amely nem függ a Google-től, az ingyenes formexposed WordPress-bővítmény honeypotot, időellenőrzést és proof-of-work-öt ad hozzá, és a bővítményfrissítések után újraellenőrzi az oldalt – ez egy lehetőség a sok közül.

Levelezés: hogyan küldik, és hová kerül

A WordPress alapértelmezetten a szerver PHP mail függvényének adja át a leveleket, és sok tárhelyen ezek az üzenetek gyengén hitelesítettek, és a spamben kötnek ki – vagy nyomtalanul eltűnnek. Ehelyett küldjön egy SMTP-bővítményen vagy a tárhelyszolgáltató levelezőszolgáltatásán keresztül, egy valódi, felhasználónévvel és jelszóval rendelkező postafiókot és a saját domainjén lévő feladócímet használva, például egy erre a célra létrehozott forms@ címet. A domain SPF-, DKIM- és DMARC-rekordjainak le kell fedniük ezt a feladót. Ne tegye a látogató címét a From mezőbe: az nem az Ön domainje, így az üzenet nem felelhet meg a DMARC-illeszkedésnek, és a látogató domainjének szabályzatától függően a spambe kerül, vagy elutasítják. Állítsa be Reply-To-ként, így továbbra is egy kattintással válaszolhat.

A címzett címe a bővítmény beállításaiba való, nem az oldalra. Ellenőrizze a kapcsolatfelvételi oldal forráskódját: egy mailto link az űrlap mellett vagy egy, a címzett címét tartalmazó rejtett mező minden címgyűjtő botnak kiadja ezt a címet. Régebbi vagy egyedi fejlesztésű űrlapoknál még rosszabb lehet a helyzet – ha a szerver megbízik egy rejtett címzettmezőben, bárki megváltoztathatja, és az Ön űrlapjával tetszőleges címekre küldhet leveleket.

Feltöltések és tárolt bejegyzések

A fájlfeltöltés a legkockázatosabb űrlapfunkció, ezért először tegye fel a kérdést, hogy egyáltalán szüksége van-e rá. Ha igen, csak azokat a típusokat engedélyezze, amelyekre ténylegesen számít – mondjuk PDF-et és a szokásos képformátumokat –, ahelyett hogy néhány veszélyeset tiltana le, és állítson be méretkorlátot. Ellenőrizze, hová menti a bővítmény a feltöltéseket: ne legyenek listázhatók egy nyilvános könyvtárban, és ideális esetben egyáltalán ne legyenek elérhetők kitalálható címen. Törölje őket, amint elintézte az ügyet, vagy küldje őket mellékletként, ahelyett hogy a szerveren tartaná.

Sok űrlapbővítmény vagy kiegészítőjük minden beküldést elment a WordPress-adatbázisba, gyakran a spamet is. Ez hasznos biztonsági mentés, ha a levélküldés meghiúsul, de egyúttal egyre növekvő halom személyes adat is. A GDPR korlátozott tárolhatóságra vonatkozó elve (5. cikk (1) bekezdés e) pont) szerint az ilyen adatokat nem szabad a szükségesnél tovább megőrizni. Döntse el, szüksége van-e tárolt bejegyzésekre, mely mezőkre és mennyi ideig, majd használja a bővítmény automatikus törlési beállítását, ha van ilyen, vagy törölje rendszeresen a régi bejegyzéseket. Az adatbázismentések ugyanezeket az adatokat tartalmazzák.

Minden frissítés után

1. 1Nyissa meg a kapcsolatfelvételi oldalt privát ablakban: az űrlap és a spamvédelmi eleme helyesen jelenik meg, a böngészőkonzol pedig nem mutat hibát.
2. 2Nézze meg az oldal forráskódját: a honeypot mező és a CAPTCHA-szkript még mindig ott van, a címzett címe pedig nincs.
3. 3Küldjön tesztüzenetet: a postafiókba érkezik, nem a spambe, és a fejlécek szerint az SPF, a DKIM és a DMARC is sikeres.
4. 4Ellenőrizze a fontos beállításokat: címzett, feladócím, engedélyezett feltöltési típusok és méretek, a bejegyzések megőrzési ideje.
5. 5Ellenőrizze, hogy az adatvédelmi tájékoztatóra mutató link és az esetleges hozzájárulási szöveg továbbra is megjelenik-e az űrlapnál.
6. 6Jegyezze fel a dátumot és azt, hogy mit ellenőrzött, így tudni fogja, mikor működött az űrlap utoljára bizonyíthatóan.

Ha rutinná válik, ez kevés időt vesz igénybe, és pontosan azokat a csendes hibákat fogja meg, amelyek egyébként hetekig észrevétlenek maradnak. Külső nézőponthoz a formexposed.com ingyenes ellenőrzése semmit sem beküldve megvizsgálja egy oldal nyilvános űrlapoldalait, és megmutatja, hogy a várt védelem a helyén van-e és hatékonyan van-e beállítva – fiók nélkül.