Mengapa borang hubungan menerima spam — dan mengapa kesannya lebih daripada sekadar gangguan

Hampir setiap laman web dengan borang hubungan mengenali corak ini: beberapa hari selepas dilancarkan, mesej pertama yang sebenarnya tidak ditulis oleh sesiapa mula tiba. Tawaran perkhidmatan SEO, pautan ke kedai yang meragukan, teks dalam bahasa yang tidak pernah digunakan oleh laman itu. Kebanyakan orang hanya memadamkannya — tindakan yang memandang ringan masalah tersebut. Spam borang bukan sekadar gangguan dalam peti masuk; ia boleh menjadikan laman web anda sendiri alat yang memudaratkan anda.

Siapa menghantar spam borang

• Bot perangkak. Program automatik mengimbas web untuk mencari apa-apa yang kelihatan seperti borang — medan input, ruang teks, butang hantar — lalu mengisinya. Ia menemui anda semata-mata kerana borang anda wujud.
• Skrip murah dan alat siap guna. Perisian untuk penghantaran borang secara besar-besaran mudah diperoleh. Seorang individu boleh menghantar ribuan mesej sehari tanpa menulis walaupun sebaris kod.
• Spam pautan SEO. Banyak mesej wujud hanya untuk meletakkan pautan di sesuatu tempat — dalam peti masuk anda, ruangan komen atau halaman yang menerbitkan penghantaran. Harapannya ialah pautan itu diindeks di suatu tempat atau diklik oleh seseorang.
• Pancingan data dan perisian hasad. Sesetengah mesej meniru invois, aduan, notis hak cipta atau amaran «terdapat masalah dengan laman web anda», dengan pautan ke halaman log masuk palsu atau fail. Oleh sebab mesej itu tiba melalui borang anda sendiri, ia sering kelihatan lebih boleh dipercayai daripada e-mel biasa.

Apabila borang anda yang menghantar spam

Banyak borang menghantar pengesahan automatik ke alamat yang dimasukkan oleh pelawat: «Terima kasih atas mesej anda, berikut ialah salinan perkara yang anda tulis.» Bagi pelawat sebenar, ini suatu layanan yang mesra. Bagi penghantar spam, ini satu peluang. Bot memasukkan alamat orang lain ke dalam medan e-mel dan meletakkan iklan atau pautan pancingan datanya dalam mesej. Pelayan anda kemudian dengan patuh menghantar teks itu — menggunakan nama domain anda — kepada orang yang tidak dikenali yang tidak pernah melawat laman anda.

Penyedia e-mel menilai e-mel masuk sebahagiannya berdasarkan reputasi domain dan pelayan penghantar. Aduan spam, penghantaran ke perangkap spam dan lonjakan jumlah secara mendadak semuanya menjejaskan anda. Bahagian yang menyusahkan: SPF, DKIM dan DMARC tidak membantu dalam keadaan ini. Mekanisme ini mengesahkan bahawa sesuatu mesej benar-benar datang daripada domain anda — dan dalam kes ini, memang demikian. Pengesahan membuktikan asal usul, bukannya bahawa kandungan itu dikehendaki. Apabila reputasi merosot, e-mel perniagaan biasa anda turut terjejas: sebut harga, invois dan balasan kepada pelanggan mula masuk ke folder spam, dan pemulihannya boleh mengambil masa yang lama.

Kesilapan berkaitan boleh menyebabkan kerosakan walaupun tanpa sebarang spam. Sesetengah konfigurasi borang menghantar pemberitahuan dengan alamat pelawat sebagai penghantar («From»). Pelayan anda tidak dibenarkan menghantar e-mel bagi domain pelawat itu, maka SPF dan DKIM tidak sejajar dengan alamat From. Jika domain tersebut menerbitkan dasar DMARC yang ketat, mesej itu ditolak atau dimasukkan ke folder spam — termasuk pertanyaan sebenar. Corak yang lebih kemas: hantar daripada alamat pada domain anda sendiri dan letakkan alamat pelawat dalam Reply-To.

Dan kesan buruk sehari-hari

• Masa terbuang. Seseorang perlu membaca, menyusun dan memadam. Beberapa minit sehari terkumpul menjadi beberapa hari bekerja penuh dalam setahun.
• Pertanyaan sebenar hilang. Apabila peti masuk kebanyakannya sampah, orang membaca sepintas lalu — atau menetapkan penapis yang terlalu ketat. Satu permintaan sebut harga yang tulen terpadam bersama mesej lain, atau dijawab seminggu terlalu lewat.
• Pancingan data sampai kepada pasukan anda. Pautan yang tiba melalui borang hubungan anda sendiri lebih mudah diklik berbanding pautan dalam e-mel rawak. Satu kata laluan yang dimasukkan pada halaman log masuk palsu boleh menelan kos lebih besar daripada semua spam digabungkan.
• Data tercemar. Jika penghantaran masuk ke CRM, senarai surat berita atau sistem tiket, entri palsu memesongkan data dan mungkin mencetuskan e-mel automatik selanjutnya.

Maksud «dilindungi» dalam amalan

Tiada satu suis tunggal. Borang dilindungi dengan baik apabila beberapa lapisan masing-masing menangani sebahagian masalah, supaya kegagalan satu lapisan tidak membuka pintu sepenuhnya.

Anda boleh melihat kedudukan borang anda sendiri tanpa mengubahnya. Semakan percuma di formexposed.com melawat halaman awam anda secara pasif — tiada apa-apa dihantar — dan menunjukkan bagi setiap borang sama ada CAPTCHA, medan perangkap, token CSRF dan perangkap masa wujud serta kelihatan dikonfigurasikan dengan berkesan. Pengimbas turut menjalankan semakan GDPR dan kebolehcapaian; butirannya merupakan sebahagian daripada laporan penuh. Hasilnya ialah satu daripada tiga tahap: dilindungi, dilindungi sebahagiannya atau terdedah. Ini titik permulaan yang baik untuk menentukan lapisan yang tiada.