Þegar tengiliðaeyðublaðið segir „Takk“ en enginn póstur berst

Hugsum okkur litla sjúkraþjálfunarstofu. Vefsvæði hennar hefur tengiliðaeyðublað og eyðublaðið virkar — eða lítur að minnsta kosti út fyrir það. Gestir fylla það út, smella á „Senda“ og sjá vinsamlegt „Takk, við höfum fljótlega samband“. Það sem enginn sér: skilaboðin hættu að berast í innhólf stofunnar fyrir nokkru. Engin villa, enginn skilapóstur í innhólfi neins, ekkert rautt ljós nokkurs staðar. Eyðublaðið bilar hljóðlega.

Hvers vegna enginn tekur eftir því

„Takk“-síða eyðublaðs þýðir yfirleitt aðeins eitt: vefsvæðið afhenti skilaboðin áfram. Hvort póstþjónn samþykkir þau, flokkar þau sem ruslpóst eða hafnar þeim á leiðinni gerist síðar, utan sjónmáls eyðublaðsins. PHP-fallið mail() tilkynnir til dæmis árangur um leið og staðbundna kerfið tekur við skilaboðunum til afhendingar — ekki þegar þau berast einhverjum. Gesturinn fær því staðfestingu og heldur áfram. Eigandinn sér á meðan tómt innhólf og gerir ráð fyrir rólegum mánuði. Færri fyrirspurnir vekja sjaldan ugg einar og sér: frí, veðrið, efnahagurinn — alltaf er til skýring sem hljómar trúverðugri en „eyðublaðið er bilað“.

Algengar orsakir

• SMTP-lykilorðið eða póstþjónustan breyttist. Eyðublaðið heldur áfram að skrá sig inn með gömlu aðgangsupplýsingunum og póstþjónninn hafnar því — hljóðlega, eftir því sem gesturinn sér.
• PHP mail() án auðkenningar. Vefþjónninn sendir póst beint án innskráningar á réttan póstþjón. Margir móttökupóstþjónar telja slíkan póst grunsamlegan: hann lendir í ruslpósti eða er hafnað strax.
• SPF, DKIM og DMARC passa ekki saman. Mörg eyðublöð setja netfang gestsins í From-reitinn. Skilaboðin segjast þá koma til dæmis frá gmail.com-netfangi en eru send af vefþjóninum þínum — einmitt það sem DMARC á að stöðva.
• Uppfærsla viðbótar eða þemaskipti skemma eyðublaðið eða CAPTCHA þess. Breytt sniðmát sleppir reit, forritabútur hleðst ekki lengur eða CAPTCHA-viðmótseiningin birtist án forritabútsins síns — og allar innsendingar falla á sannprófun.
• Pósthólf viðtakanda er fullt. Póstþjónninn hafnar nýjum skilaboðum og skilapósturinn fer á netfang sem enginn les.
• Vafrakökuborðinn lokar á forritabút eyðublaðsins. Ef samþykkisverkfærið flokkar CAPTCHA eða forritabút eyðublaðsins sem „markaðssetningu“ geta gestir sem hafna vafrakökum fengið eyðublað sem ekki er hægt að senda eða innsendingum þeirra er hafnað vegna þess að auðkenni vantar.
• Útrunnið TLS-skilríki eða lén. Gestir sjá viðvörun í vafranum og fara eða ekki er lengur hægt að ná öruggu sambandi við póstþjóninn. Ef lén móttökupósthólfsins rennur út hættir póstur þangað einfaldlega að berast.
• Skyndiminnislag birtir úreltar síður. Skyndiminni heillar síðu getur afhent eyðublað með útrunnu öryggisauðkenni (einnota auðkenni eða CSRF-auðkenni). Þjónninn hafnar innsendingunni og eftir uppsetningu sér gesturinn enga skýra villu.

From-netfangsgildran

Þriðja orsökin á skilið nánari skoðun því hún er innbyggð í margar sjálfgefnar eyðublaðsuppsetningar. DMARC athugar hvort lénið í sýnilega From-netfanginu samsvari léni sem SPF eða DKIM staðfesta. Ef eyðublaðið sendir skilaboð „frá“ netfangi gestsins hefur þjónninn þinn ekki heimild til að senda fyrir það lén og athugunin mistekst. Eftir DMARC-stefnu léns gestsins og þinni eigin póstþjónustu lenda skilaboðin í ruslpósti eða er þeim hafnað. Lausnin er einföld: sendu frá netfangi á þínu eigin léni og settu netfang gestsins í Reply-To. Með því að smella á „Svara“ nærðu enn til gestsins.

Hvað á að gera

1. 1Sendu reglulega prófunarskilaboð í gegnum þitt eigið eyðublað — að minnsta kosti mánaðarlega og alltaf eftir uppfærslur, þemaskipti eða breytingar á póststillingum. Merktu þau skýrt sem prófun svo enginn svari þeim.
2. 2Þekktu venjulegan takt. Ef eyðublaðið skilar yfirleitt nokkrum skilaboðum í viku eru tvær vikur af þögn ástæða til athugunar, ekki rólegur mánuður.
3. 3Sendu með SMTP og auðkenningu — í gegnum póstþjónustuna þína eða sérstaka sendingarþjónustu — í stað þess að treysta á PHP mail().
4. 4Notaðu þitt eigið lén í From og netfang gestsins í Reply-To. Settu síðan upp SPF, DKIM og DMARC fyrir það lén svo skilaboðin standist athuganirnar.
5. 5Geymdu afrit af hverri innsendingu í gagnagrunninum. Margar eyðublaðsviðbætur bjóða þetta, stundum sem aukahluta. Ef pósturinn bregst eru fyrirspurnirnar enn til.
6. 6Athugaðu eyðublaðið eftir hverja uppfærslu viðbóta — þar á meðal CAPTCHA og einnig með vafrakökum hafnað.

Auðvelt er að gleyma slíkum athugunum og þess vegna borgar sig að gera þær sjálfvirkar. Með aðgangi og staðfestu léni getur formexposed sent skýrt merkta prófunarinnsendingu og athugað hvort hún berist í raun (afhendingarathugun, aðeins með sérstöku samþykki). Það greinir einnig þögn — eyðublað sem fær venjulega skilaboð fær skyndilega engin — og athugar SPF, DKIM og DMARC í tilkynningarpóstinum ásamt gildistíma TLS-skilríkis og léns. Þú færð aðeins viðvörun þegar eitthvað breytist.

Ef þú vilt aðeins fyrstu sýn þarf ókeypis athugun á formexposed.com engan aðgang og sendir ekkert. Hún sýnir meðal annars hvort CAPTCHA sé til staðar en bilað — viðmótseining án forritabútsins síns, opinber prófunarlykill, villur í vafranum — sem er ein hljóðlátari leiðin sem eyðublað hættir að virka á. Aðeins raunveruleg prófunarskilaboð geta staðfest að skilaboð berist, svo sendu slík skilaboð í dag.