Kodėl kontaktinės formos užtvindomos šlamštu – ir kodėl tai daugiau nei nepatogumas

Beveik kiekviena svetainė su kontaktine forma žino šį scenarijų: praėjus kelioms dienoms po paleidimo atkeliauja pirmosios žinutės, kurių iš tikrųjų niekas nerašė. Pasiūlymai dėl SEO paslaugų, nuorodos į abejotinas parduotuves, tekstas kalbomis, kuriomis svetainė niekada nebuvo naudojusi. Dauguma jas tiesiog ištrina – ir taip nuvertina problemą. Formų šlamštas yra ne tik triukšmas pašto dėžutėje – jis gali paversti Jūsų pačių svetainę įrankiu, veikiančiu prieš Jus.

Kas siunčia formų šlamštą

• Interneto robotai. Automatinės programos naršo internete ieškodamos visko, kas panašu į formą – įvesties lauko, teksto srities, pateikimo mygtuko – ir tai užpildo. Jie Jus randa vien todėl, kad Jūsų forma egzistuoja.
• Pigūs scenarijai ir paruošti įrankiai. Programinę įrangą masiniam formų pateikimui gauti lengva. Vienas žmogus per dieną gali išsiųsti tūkstančius žinučių neparašęs nė vienos kodo eilutės.
• SEO nuorodų šlamštas. Daugelis žinučių egzistuoja tik tam, kad kur nors būtų patalpinta nuoroda – Jūsų pašto dėžutėje, komentarų srityje ar puslapyje, kuriame skelbiami pateikimai. Tikimasi, kad nuoroda kur nors bus indeksuota arba kad kas nors ją spustelės.
• Sukčiavimas (phishing) ir kenkėjiškos programos. Kai kurios žinutės imituoja sąskaitas faktūras, skundus, pranešimus apie autorių teisių pažeidimus ar įspėjimus „su Jūsų svetaine kilo problema“ ir pateikia nuorodą į netikrą prisijungimo puslapį ar failą. Kadangi jos ateina per Jūsų pačių formą, jos dažnai atrodo patikimesnės nei įprastas el. laiškas.

Kai šlamštą siunčia Jūsų forma

Daugelis formų lankytojo įvestu adresu siunčia automatinį patvirtinimą: „Ačiū už žinutę, štai Jūsų parašyto teksto kopija.“ Tikram lankytojui tai malonu. Šlamšto siuntėjui tai galimybė. Robotas į el. pašto lauką įveda svetimą adresą, o į žinutę įrašo savo reklamą ar sukčiavimo nuorodą. Tada Jūsų serveris paklusniai išsiunčia tą tekstą – Jūsų domeno vardu – nepažįstamam žmogui, kuris niekada nesilankė Jūsų svetainėje.

Pašto paslaugų teikėjai gaunamus laiškus iš dalies vertina pagal siunčiančiojo domeno ir serverio reputaciją. Skundai dėl šlamšto, patekimai į šlamšto spąstus ir staigūs kiekio šuoliai – visa tai skaičiuojama prieš Jus. Nemaloniausia tai, kad SPF, DKIM ir DMARC čia nepadeda. Šie mechanizmai patvirtina, kad žinutė tikrai siunčiama iš Jūsų domeno – o šiuo atveju taip ir yra. Autentifikavimas įrodo kilmę, o ne tai, kad turinys pageidaujamas. Kai reputacija krenta, nukenčia ir Jūsų įprasti dalykiniai laiškai: pasiūlymai, sąskaitos faktūros ir atsakymai klientams pradeda patekti į šlamšto aplankus, o atsigavimas gali užtrukti ilgai.

Susijusi klaida daro žalą net ir be jokio šlamšto. Kai kurios formų konfigūracijos pranešimą siunčia nurodydamos lankytojo adresą kaip siuntėją („From“). Jūsų serveris neturi teisės siųsti laiškų to lankytojo domeno vardu, todėl SPF ir DKIM nesutampa su From adresu. Jei tas domenas skelbia griežtą DMARC politiką, žinutė atmetama arba priskiriama šlamštui – įskaitant tikras užklausas. Tvarkingesnis modelis: siųskite iš savo domeno adreso, o lankytojo adresą įrašykite į Reply-To.

Ir kasdienė žala

• Švaistomas laikas. Kažkas turi skaityti, rūšiuoti ir trinti. Kelios minutės per dieną per metus susideda į ištisas darbo dienas.
• Pasimeta tikros užklausos. Kai pašto dėžutėje daugiausia šlamšto, žmonės tik permeta akimis – arba nustato agresyvius filtrus. Vienintelis tikras pasiūlymo prašymas ištrinamas kartu su kitais arba į jį atsakoma savaite per vėlai.
• Sukčiavimas pasiekia Jūsų komandą. Nuoroda, atėjusi per Jūsų pačių kontaktinę formą, spustelėjama lengviau nei nuoroda atsitiktiniame el. laiške. Vienas netikrame prisijungimo puslapyje įvestas slaptažodis gali kainuoti daugiau nei visas šlamštas kartu.
• Užteršti duomenys. Jei pateikimai patenka į CRM, naujienlaiškio sąrašą ar užklausų valdymo sistemą, netikri įrašai iškraipo duomenis ir gali sukelti tolesnius automatinius laiškus.

Ką praktiškai reiškia „apsaugota“

Vieno jungiklio nėra. Forma gerai apsaugota, kai keli sluoksniai kiekvienas sugauna dalį problemos, kad vienam sluoksniui sutrikus durys neatsivertų visiškai.

Kokia Jūsų pačių formų būklė, galite pamatyti jų neliesdami. Nemokamas patikrinimas formexposed.com pasyviai aplanko Jūsų viešus puslapius – nieko nepateikiama – ir kiekvienai formai parodo, ar yra CAPTCHA, honeypot laukas, CSRF žetonas ir laiko spąstai ir ar jie atrodo veiksmingai sukonfigūruoti. Skaitytuvas taip pat atlieka BDAR ir prieinamumo patikras; jų išsami informacija pateikiama visoje ataskaitoje. Rezultatas – vienas iš trijų lygių: apsaugota, iš dalies apsaugota arba neapsaugota. Tai geras atspirties taškas nusprendžiant, kurio sluoksnio trūksta.