Perché i moduli di contatto ricevono spam – e perché è più di un semplice fastidio

Quasi ogni sito web con un modulo di contatto conosce lo schema: pochi giorni dopo il lancio arrivano i primi messaggi che nessuno ha davvero scritto. Offerte di servizi SEO, link a negozi dubbi, testi in lingue che il sito non ha mai usato. La maggior parte delle persone si limita a cancellarli – sottovalutando il problema. Lo spam nei moduli non è solo rumore nella casella di posta: può trasformare il Suo stesso sito web in uno strumento che lavora contro di Lei.

Chi invia spam tramite i moduli

• Bot che scandagliano il web. Programmi automatici scansionano il web alla ricerca di qualsiasi cosa somigli a un modulo – un campo di inserimento, un’area di testo, un pulsante di invio – e lo compilano. La trovano semplicemente perché il Suo modulo esiste.
• Script economici e strumenti pronti all’uso. Il software per l’invio di massa di moduli è facile da reperire. Una sola persona può inviare migliaia di messaggi al giorno senza scrivere una sola riga di codice.
• Spam di link SEO. Molti messaggi esistono solo per piazzare un link da qualche parte – nella Sua casella di posta, in un’area commenti o su una pagina che pubblica gli invii. La speranza è che il link venga indicizzato da qualche parte o che qualcuno ci clicchi.
• Phishing e malware. Alcuni messaggi imitano fatture, reclami, segnalazioni di violazione del diritto d’autore o avvisi del tipo “c’è un problema con il Suo sito web”, con un link a una falsa pagina di login o a un file. Poiché arrivano tramite il Suo stesso modulo, spesso sembrano più affidabili delle normali e-mail.

Quando è il Suo modulo a inviare lo spam

Molti moduli inviano una conferma automatica all’indirizzo inserito dal visitatore: “Grazie per il Suo messaggio, ecco una copia di quanto ha scritto.” Per un visitatore reale è una cortesia. Per uno spammer è un’occasione. Il bot inserisce l’indirizzo di qualcun altro nel campo e-mail e mette la sua pubblicità o il suo link di phishing nel messaggio. Il Suo server invia poi diligentemente quel testo – a nome del Suo dominio – a uno sconosciuto che non ha mai visitato il Suo sito.

I provider di posta valutano la posta in arrivo anche in base alla reputazione del dominio e del server mittenti. Segnalazioni di spam, riscontri nelle spam trap e improvvisi picchi di volume pesano tutti a Suo sfavore. L’aspetto spiacevole: SPF, DKIM e DMARC qui non aiutano. Questi meccanismi confermano che un messaggio proviene davvero dal Suo dominio – e in questo caso è così. L’autenticazione dimostra l’origine, non che il contenuto sia desiderato. Una volta calata la reputazione, ne risente anche la Sua normale posta aziendale: preventivi, fatture e risposte ai clienti iniziano a finire nelle cartelle dello spam, e il recupero può richiedere molto tempo.

Un errore affine fa danni anche senza alcuno spam. Alcune configurazioni dei moduli inviano la notifica con l’indirizzo del visitatore come mittente (“From”). Il Suo server non è autorizzato a inviare posta per il dominio di quel visitatore, quindi SPF e DKIM non sono allineati con l’indirizzo From. Se quel dominio pubblica una policy DMARC rigorosa, il messaggio viene rifiutato o archiviato come spam – richieste reali comprese. La soluzione più pulita: inviare da un indirizzo del proprio dominio e inserire l’indirizzo del visitatore in Reply-To.

E i danni quotidiani

• Tempo perso. Qualcuno deve leggere, smistare e cancellare. Pochi minuti al giorno si sommano in intere giornate lavorative nell’arco di un anno.
• Le richieste reali vanno perse. Quando la casella di posta è piena soprattutto di spazzatura, si legge di corsa – o si impostano filtri aggressivi. L’unica vera richiesta di preventivo viene cancellata insieme al resto, o riceve risposta con una settimana di ritardo.
• Il phishing raggiunge il Suo team. Un link che arriva tramite il Suo stesso modulo di contatto viene cliccato più facilmente di uno in un’e-mail qualsiasi. Una sola password inserita su una falsa pagina di login può costare più di tutto lo spam messo insieme.
• Dati inquinati. Se gli invii confluiscono in un CRM, in una lista newsletter o in un sistema di ticket, le voci false distorcono i dati e possono innescare ulteriori e-mail automatiche.

Che cosa significa “protetto” nella pratica

Non esiste un unico interruttore. Un modulo è ben protetto quando più livelli intercettano ciascuno una parte del problema, così che il cedimento di un livello non spalanchi del tutto la porta.

Può vedere a che punto sono i Suoi moduli senza toccarli. Una verifica gratuita su formexposed.com visita passivamente le Sue pagine pubbliche – non viene inviato nulla – e mostra per ciascun modulo se CAPTCHA, honeypot, token CSRF e trappola temporale sono presenti e appaiono configurati in modo efficace. Lo scanner esegue anche controlli GDPR e di accessibilità; i relativi dettagli fanno parte del report completo. Il risultato è uno di tre livelli: protetto, parzialmente protetto o esposto. È un buon punto di partenza per decidere quale livello manca.