Kāpēc saziņas formas pārpludina surogātpasts – un kāpēc tas ir vairāk nekā tikai kaitinoši

Gandrīz katra vietne ar saziņas formu pazīst šo ainu: dažas dienas pēc palaišanas pienāk pirmie ziņojumi, kurus neviens īsti nav rakstījis. Piedāvājumi SEO pakalpojumiem, saites uz apšaubāmiem veikaliem, teksts valodās, kuras vietne nekad nav izmantojusi. Lielākā daļa cilvēku tos vienkārši izdzēš – un tādējādi novērtē problēmu par zemu. Formu surogātpasts nav tikai troksnis pastkastē – tas var pārvērst jūsu pašu vietni par rīku, kas darbojas pret jums.

Kas sūta formu surogātpastu

• Rāpuļroboti. Automatizētas programmas skenē tīmekli, meklējot visu, kas izskatās pēc formas – ievades lauku, teksta apgabalu, iesniegšanas pogu –, un to aizpilda. Tās jūs atrod vienkārši tāpēc, ka jūsu forma pastāv.
• Lēti skripti un gatavi rīki. Programmatūru masveida formu iesniegšanai ir viegli iegūt. Viens cilvēks dienā var nosūtīt tūkstošiem ziņojumu, neuzrakstot nevienu koda rindiņu.
• SEO saišu surogātpasts. Daudzi ziņojumi pastāv tikai tāpēc, lai kaut kur ievietotu saiti – jūsu pastkastē, komentāru sadaļā vai lapā, kas publicē iesniegumus. Cerība ir, ka saite kaut kur tiks indeksēta vai ka kāds uz tās noklikšķinās.
• Pikšķerēšana un ļaunprogrammatūra. Daži ziņojumi atdarina rēķinus, sūdzības, paziņojumus par autortiesībām vai brīdinājumus „ar jūsu vietni ir problēma”, ar saiti uz viltotu pieteikšanās lapu vai failu. Tā kā tie pienāk caur jūsu pašu formu, tie bieži šķiet uzticamāki nekā parastas e-pasta vēstules.

Kad surogātpastu sūta jūsu forma

Daudzas formas nosūta automātisku apstiprinājumu uz adresi, ko ievadījis apmeklētājs: „Paldies par jūsu ziņojumu, šeit ir kopija tam, ko rakstījāt.” Īstam apmeklētājam tas ir draudzīgi. Surogātpasta sūtītājam tā ir iespēja. Robots e-pasta laukā ievada kāda cita adresi un ziņojumā ievieto savu reklāmu vai pikšķerēšanas saiti. Pēc tam jūsu serveris paklausīgi nosūta šo tekstu – ar jūsu domēna vārdu – svešiniekam, kurš nekad nav apmeklējis jūsu vietni.

E-pasta pakalpojumu sniedzēji ienākošās vēstules daļēji vērtē pēc sūtītāja domēna un servera reputācijas. Sūdzības par surogātpastu, trāpījumi surogātpasta slazdos un pēkšņi apjoma lēcieni – tas viss nāk jums par sliktu. Nepatīkamākais: SPF, DKIM un DMARC šeit nepalīdz. Šie mehānismi apstiprina, ka ziņojums patiešām nāk no jūsu domēna – un šajā gadījumā tā arī ir. Autentifikācija pierāda izcelsmi, nevis to, ka saturs ir gaidīts. Kad reputācija krīt, tiek ietekmētas arī jūsu parastās darba vēstules: piedāvājumi, rēķini un atbildes klientiem sāk nonākt surogātpasta mapēs, un atkopšanās var ilgt ilgu laiku.

Līdzīga kļūda nodara kaitējumu pat bez jebkāda surogātpasta. Dažas formu konfigurācijas nosūta paziņojumu, kā sūtītāju („From”) norādot apmeklētāja adresi. Jūsu serveris nav pilnvarots sūtīt vēstules šī apmeklētāja domēna vārdā, tāpēc SPF un DKIM nesaskan ar From adresi. Ja šis domēns publicē stingru DMARC politiku, ziņojums tiek noraidīts vai ievietots surogātpastā – tostarp īsti pieprasījumi. Tīrāks risinājums: sūtiet no adreses savā domēnā un apmeklētāja adresi ievietojiet laukā Reply-To.

Un ikdienas kaitējums

• Izšķiests laiks. Kādam ir jālasa, jāšķiro un jādzēš. Dažas minūtes dienā gada laikā saskaitās veselās darba dienās.
• Īsti pieprasījumi pazūd. Kad pastkastē pārsvarā ir atkritumi, cilvēki tikai pārskrien tai ar acīm – vai iestata agresīvus filtrus. Vienīgais īstais cenu piedāvājuma pieprasījums tiek izdzēsts kopā ar pārējiem vai atbildēts nedēļu par vēlu.
• Pikšķerēšana sasniedz jūsu komandu. Uz saites, kas pienāk caur jūsu pašu saziņas formu, noklikšķina vieglāk nekā uz saites nejaušā e-pasta vēstulē. Viena viltotā pieteikšanās lapā ievadīta parole var izmaksāt vairāk nekā viss surogātpasts kopā.
• Piesārņoti dati. Ja iesniegumi nonāk CRM, jaunumu vēstuļu sarakstā vai pieteikumu sistēmā, viltoti ieraksti izkropļo datus un var izraisīt turpmākas automātiskas vēstules.

Ko „aizsargāta” nozīmē praksē

Nav viena slēdža. Forma ir labi aizsargāta, ja vairāki slāņi katrs uztver daļu problēmas, lai viena slāņa kļūme pilnībā neatvērtu durvis.

To, kādā stāvoklī ir jūsu pašu formas, varat redzēt, tām nepieskaroties. Bezmaksas pārbaude vietnē formexposed.com pasīvi apmeklē jūsu publiskās lapas – nekas netiek iesniegts – un par katru formu parāda, vai ir CAPTCHA, honeypot, CSRF marķieris un laika slazds un vai tie šķiet efektīvi konfigurēti. Skeneris veic arī VDAR un piekļūstamības pārbaudes; to detaļas ir pilnās atskaites daļa. Rezultāts ir viens no trim līmeņiem: aizsargāta, daļēji aizsargāta vai neaizsargāta. Tas ir labs sākumpunkts, lai izlemtu, kura slāņa trūkst.