Borang hubungan WordPress: senarai semak keselamatan

Kebanyakan laman WordPress menggunakan salah satu daripada beberapa pemalam borang: Contact Form 7, WPForms, Gravity Forms, Ninja Forms, Fluent Forms dan beberapa yang lain. Mana-mana daripadanya boleh dijalankan dengan selamat atau dibiarkan terbuka luas. Perbezaannya jarang terletak pada pemalam itu sendiri, tetapi pada tetapannya, tambahan di sekelilingnya, cara e-mel keluar dari pelayan dan apa yang berlaku kepada mesej setelah tiba.

• Pastikan pemalam borang dan setiap tambahan dikemas kini, dan padamkan yang tidak lagi digunakan.
• Aktifkan antispam pemalam itu sendiri — medan perangkap, integrasi CAPTCHA, Akismet jika sesuai — dan sahkan bahawa ia benar-benar berfungsi.
• Hantar pemberitahuan melalui SMTP yang disahkan daripada alamat pada domain anda sendiri.
• Hadkan muat naik mengikut jenis dan saiz, dan elakkan fail dimuat naik daripada disenaraikan atau dilayari secara awam.
• Jangan paparkan alamat e-mel penerima pada halaman atau dalam kod sumbernya.
• Simpan hanya entri yang diperlukan dan hanya selama ia diperlukan.
• Jalankan semakan ringkas selepas setiap kemas kini WordPress, tema atau mana-mana pemalam.

Kemas kini: pemalam borang dan segala di sekelilingnya

Pemalam borang ialah sasaran popular kerana ia menerima input daripada sesiapa sahaja di Internet. Pembaikan keselamatan tiba sebagai kemas kini biasa, maka kemas kini dengan segera — bukan hanya pemalam utama. Tambahan untuk pembayaran, muat naik, sambungan CRM, logik bersyarat atau penyedia CAPTCHA tambahan ialah kod berasingan dengan kerentanannya sendiri. Begitu juga pemalam yang pernah anda pasang untuk ujian dan terlupa. Menyahaktifkan sahaja tidak cukup: pemalam yang dinyahaktifkan masih berada pada pelayan dan failnya dalam sesetengah kes boleh dicapai secara terus. Jika anda tidak menggunakannya, padamkannya.

Antispam: hidupkannya, kemudian buktikan ia berfungsi

Kebanyakan pemalam borang mempunyai pilihan antispam sendiri atau berintegrasi dengan perkhidmatan luar: medan perangkap yang diisi oleh bot dan tidak pernah dilihat manusia, CAPTCHA seperti reCAPTCHA, hCaptcha atau Cloudflare Turnstile, serta Akismet yang menyemak kandungan mesej dengan pangkalan data spam. Pilihan berbeza mengikut pemalam dan versi, maka semak tetapan dan bukannya membuat andaian. CAPTCHA luar memuatkan skrip pihak ketiga, dan Akismet menghantar kandungan yang diserahkan kepada perkhidmatan luar — kedua-duanya perlu dinyatakan dalam dasar privasi anda dan, bergantung pada persediaan, dalam pengurusan persetujuan anda.

Masalah yang lebih lazim ialah perlindungan yang dihidupkan tetapi tidak berfungsi. CAPTCHA yang menggunakan kunci ujian awam membenarkan semuanya. Gajet yang skripnya disekat oleh pemalam cache atau pengoptimuman, atau oleh ralat JavaScript, tidak menghentikan apa-apa. Medan perangkap tanpa gaya yang menyembunyikannya dibaca oleh pembaca skrin dan diisi oleh pelawat sebenar. Maka selepas sebarang perubahan, buka borang dalam tetingkap peribadi, semak konsol pelayar dan sumber halaman, lalu hantar mesej ujian. Jika anda mahu perlindungan yang tidak bergantung pada Google, pemalam WordPress formexposed percuma menambahkan medan perangkap, semakan masa dan bukti kerja serta menyemak semula laman selepas kemas kini pemalam — satu pilihan antara beberapa pilihan.

E-mel: cara ia dihantar dan destinasinya

Secara lalai, WordPress menyerahkan e-mel kepada fungsi e-mel PHP pelayan, dan pada banyak hos mesej itu mempunyai pengesahan lemah lalu masuk ke folder spam — atau hilang secara senyap. Sebaliknya, hantar melalui pemalam SMTP atau perkhidmatan e-mel hos anda, menggunakan peti mel sebenar dengan nama pengguna dan kata laluan serta alamat penghantar pada domain anda sendiri, seperti alamat forms@ khusus. Rekod SPF, DKIM dan DMARC domain mesti meliputi penghantar ini. Jangan letakkan alamat pelawat dalam medan From: itu bukan domain anda, maka mesej tidak dapat lulus penjajaran DMARC dan, bergantung pada dasar domain pelawat, masuk ke folder spam atau ditolak. Tetapkannya sebagai Reply-To, dan anda masih boleh membalas dengan satu klik.

Alamat penerima sepatutnya berada dalam tetapan pemalam, bukan pada halaman. Semak sumber halaman hubungan anda: pautan mailto di sebelah borang atau medan tersembunyi yang memegang alamat penerima menyerahkan alamat itu kepada setiap bot pengutip. Dalam borang lama atau yang dibina khas, keadaannya boleh menjadi lebih buruk — jika pelayan mempercayai medan penerima tersembunyi, sesiapa boleh mengubahnya dan menggunakan borang anda untuk menghantar e-mel ke alamat sewenang-wenangnya.

Muat naik dan entri tersimpan

Muat naik fail ialah fungsi borang yang paling berisiko, maka tanya dahulu sama ada anda memerlukannya langsung. Jika perlu, benarkan hanya jenis yang benar-benar dijangka — misalnya PDF dan format imej biasa — dan bukannya menyekat beberapa jenis berbahaya, serta tetapkan had saiz. Semak tempat pemalam menyimpan muat naik: fail tidak boleh disenaraikan dalam direktori awam dan sebaik-baiknya langsung tidak boleh dicapai pada alamat yang boleh diteka. Padamkan selepas diuruskan, atau hantarkannya sebagai lampiran dan bukannya menyimpannya pada pelayan.

Banyak pemalam borang atau tambahannya menyimpan setiap penghantaran dalam pangkalan data WordPress, sering termasuk spam. Itu sandaran yang berguna apabila e-mel gagal, tetapi juga timbunan data peribadi yang semakin membesar. Di bawah prinsip pembatasan penyimpanan GDPR (Art. 5(1)(e)), data sedemikian tidak sepatutnya disimpan lebih lama daripada yang perlu. Tentukan sama ada anda memerlukan entri tersimpan, medan yang diperlukan dan tempohnya, kemudian gunakan tetapan padam automatik pemalam jika ada, atau padamkan entri lama secara berkala. Sandaran pangkalan data mengandungi data yang sama.

Selepas setiap kemas kini

1. 1Buka halaman hubungan dalam tetingkap peribadi: borang dan unsur antispamnya dipaparkan dengan betul, dan konsol pelayar tidak menunjukkan ralat.
2. 2Lihat sumber halaman: medan perangkap dan skrip CAPTCHA masih ada, dan alamat penerima tiada.
3. 3Hantar mesej ujian: ia tiba dalam peti masuk, bukan folder spam, dan pengepala menunjukkan SPF, DKIM dan DMARC lulus.
4. 4Semak tetapan yang penting: penerima, alamat penghantar, jenis dan saiz muat naik yang dibenarkan, serta tempoh penyimpanan entri.
5. 5Semak bahawa pautan dasar privasi dan sebarang teks persetujuan masih dipaparkan pada borang.
6. 6Catat tarikh dan perkara yang disemak supaya anda tahu bila borang kali terakhir terbukti berfungsi.

Apabila sudah menjadi rutin, ini mengambil sedikit masa dan mengesan tepat kegagalan senyap yang sebaliknya tidak disedari selama berminggu-minggu. Untuk pandangan luar, semakan percuma di formexposed.com melihat halaman borang awam laman tanpa menghantar apa-apa dan menunjukkan sama ada perlindungan yang dijangka wujud serta dikonfigurasikan dengan berkesan — tiada akaun diperlukan.