Meta l-formola tal-kuntatt tgħid “Grazzi” iżda l-ebda email ma tasal

Immaġinaw klinika żgħira tal-fiżjoterapija. Il-websajt tagħha għandha formola tal-kuntatt, u l-formola taħdem – jew tal-inqas tidher li taħdem. Il-viżitaturi jimlewha, jikklikkjaw “Ibgħat” u jaraw “Grazzi, se nikkuntattjawkom dalwaqt” ħbiberuż. Dak li ħadd ma jara: il-messaġġi waqfu jaslu fl-inbox tal-klinika xi żmien ilu. M'hemm l-ebda żball, l-ebda bounce fl-inbox ta' ħadd, l-ebda dawl aħmar imkien. Il-formola tfalli bil-kwiet.

Għaliex ħadd ma jinduna

Il-paġna “Grazzi” ta' formola ġeneralment tfisser ħaġa waħda biss: il-websajt għaddiet il-messaġġ. Jekk server tal-posta jaċċettahx, ipoġġihx fl-ispam jew jirrifjutahx tul it-triq jiġri wara, barra mill-vista tal-formola. Il-funzjoni mail() ta' PHP, pereżempju, tirrapporta suċċess hekk kif is-sistema lokali taċċetta l-messaġġ għall-kunsinna – mhux meta jasal għand xi ħadd. Għalhekk il-viżitatur jirċievi konferma u jkompli għal triqtu. Is-sid, sadanittant, jara inbox vojta u jassumi li sempliċement huwa xahar kwiet. Inqas mistoqsijiet rari jkunu allarmanti waħedhom: il-vaganzi, it-temp, l-ekonomija – dejjem hemm spjegazzjoni li tinstema' aktar plawżibbli minn “il-formola hija miksura”.

Il-kawżi tas-soltu

• Il-password tal-SMTP jew il-fornitur tal-posta nbidlu. Il-formola tkompli tidħol bil-kredenzjali l-qodma u s-server tal-posta jirrifjuta – bil-kwiet, sa fejn jista' jara l-viżitatur.
• PHP mail() mingħajr awtentikazzjoni. Il-web server jibgħat il-posta direttament, mingħajr ma jidħol f'server tal-posta xieraq. Ħafna servers riċevituri jittrattaw posta bħal din bħala suspettuża: tispiċċa fl-ispam jew tiġi rrifjutata għalkollox.
• SPF, DKIM u DMARC ma jaqblux. Ħafna formoli jpoġġu l-indirizz tal-viżitatur fil-qasam From. Il-messaġġ imbagħad jippretendi li ġej, ngħidu aħna, minn indirizz gmail.com iżda jintbagħat mill-web server tagħkom – eżattament dak li DMARC huwa mfassal biex iwaqqaf.
• Aġġornament ta' plugin jew bidla tat-tema tkisser il-formola jew is-CAPTCHA tagħha. Template mibdul jitlef qasam, skript ma jibqax jitla', jew il-widget tas-CAPTCHA jidher mingħajr l-iskript tiegħu – u kull sottomissjoni tfalli l-validazzjoni.
• Il-mailbox riċevitriċi hija mimlija. Is-server tal-posta jirrifjuta messaġġi ġodda, u l-bounce imur għal indirizz li ħadd ma jaqra.
• Il-banner tal-cookies jimblokka l-iskript tal-formola. Jekk l-għodda tal-kunsens tikklassifika s-CAPTCHA jew l-iskript tal-formola bħala “marketing”, il-viżitaturi li jirrifjutaw il-cookies jistgħu jiksbu formola li ma tistax tintbagħat, jew li s-sottomissjonijiet tagħha jiġu rrifjutati għax ikun nieqes token.
• Ċertifikat TLS jew dominju skadut. Il-viżitaturi jaraw twissija tal-browser u jitilqu, jew is-server tal-posta ma jibqax jista' jintlaħaq b'mod sigur. Jekk jiskadi d-dominju tal-mailbox riċevitriċi, il-posta lejha sempliċement tieqaf.
• Saff ta' caching iservi paġni skaduti. Cache ta' paġna sħiħa jista' jwassal formola b'token tas-sigurtà skadut (nonce jew token CSRF). Is-server jirrifjuta s-sottomissjoni, u skont is-setup il-viżitatur ma jara l-ebda żball ċar.

In-nassa tal-indirizz From

It-tielet kawża jistħoqqilha ħarsa aktar mill-qrib, għax ħafna konfigurazzjonijiet tal-formoli għandhom din mibnija b'mod awtomatiku. DMARC jiċċekkja jekk id-dominju fl-indirizz From viżibbli jaqbilx ma' dominju li SPF jew DKIM jiggarantixxu għalih. Jekk il-formola tibgħat messaġġ “mill-indirizz” tal-viżitatur, is-server tagħkom mhuwiex awtorizzat jibgħat għal dak id-dominju, għalhekk il-kontroll ifalli. Skont il-politika DMARC tad-dominju tal-viżitatur u skont il-fornitur tal-posta tagħkom stess, il-messaġġ jispiċċa fl-ispam jew jiġi rrifjutat. Is-soluzzjoni hija sempliċi: ibagħtu minn indirizz fid-dominju tagħkom stess u poġġu l-indirizz tal-viżitatur f'Reply-To. Meta tikklikkjaw “Wieġeb” xorta tilħqu lill-viżitatur.

X'għandkom tagħmlu

1. 1Ibagħtu messaġġ tat-test permezz tal-formola tagħkom stess b'mod regolari – mill-inqas kull xahar, u dejjem wara aġġornamenti, bidliet fit-tema jew bidliet fl-issettjar tal-posta. Immarkawh b'mod ċar bħala test sabiex ħadd ma jwieġbu.
2. 2Kunu afu r-ritmu normali tagħkom. Jekk il-formola ġeneralment iġġib ftit messaġġi fil-ġimgħa, ġimagħtejn ta' skiet huma raġuni biex tiċċekkjaw, mhux xahar kwiet.
3. 3Ibagħtu permezz ta' SMTP b'awtentikazzjoni – permezz tal-fornitur tal-posta tagħkom jew ta' servizz tal-bgħit dedikat – minflok ma tistrieħu fuq PHP mail().
4. 4Użaw id-dominju tagħkom stess f'From u l-indirizz tal-viżitatur f'Reply-To. Imbagħad issettjaw SPF, DKIM u DMARC għal dak id-dominju sabiex il-messaġġi jgħaddu mill-kontrolli.
5. 5Żommu kopja ta' kull sottomissjoni fid-database. Ħafna plugins tal-formoli joffru dan, xi drabi bħala add-on. Jekk il-posta tfalli, il-mistoqsijiet ikunu għadhom hemm.
6. 6Iċċekkjaw il-formola wara kull aġġornament ta' plugin – inkluża s-CAPTCHA, u wkoll bil-cookies irrifjutati.

Kontrolli bħal dawn huma faċli li jintesew, u għalhekk jaqbel li jiġu awtomatizzati. B'kont u dominju vverifikat, formexposed jista' jibgħat sottomissjoni tat-test immarkata b'mod ċar u jiċċekkja jekk tassew tasalx (il-verifika tal-kunsinna, biss jekk tagħżlu li tattivawha). Jiskopri wkoll is-skiet – formola li normalment tirċievi messaġġi f'daqqa waħda ma tirċievi xejn – u jiċċekkja SPF, DKIM u DMARC tal-emails tan-notifika kif ukoll l-iskadenza taċ-ċertifikat TLS u tad-dominju. Tiġu avżati biss meta xi ħaġa tinbidel.

Jekk sempliċement tridu l-ewwel ħarsa: verifika b'xejn fuq formexposed.com ma teħtieġ l-ebda kont u ma tibgħat xejn. Fost affarijiet oħra, turi jekk CAPTCHA hijiex preżenti iżda miksura – widget mingħajr l-iskript tiegħu, test key pubbliku, żbalji fil-browser – wieħed mill-modi l-aktar kwieti kif formola tieqaf taħdem. Jekk il-messaġġi tassew jaslux jista' jiġi kkonfermat biss b'messaġġ tat-test reali, għalhekk ibagħtu wieħed illum.