Hvorfor kontaktskjemaer får søppelpost – og hvorfor det er mer enn en plage

Nesten alle nettsteder med kontaktskjema kjenner mønsteret: noen dager etter lansering kommer de første meldingene som ingen egentlig har skrevet. Tilbud om SEO-tjenester, lenker til tvilsomme butikker, tekst på språk nettstedet aldri har brukt. De fleste bare sletter dem – og undervurderer dermed problemet. Skjemasøppelpost er ikke bare støy i en innboks – den kan gjøre ditt eget nettsted til et verktøy som arbeider mot deg.

Hvem sender skjemasøppelpost

• Søkeroboter. Automatiserte programmer skanner nettet etter alt som ligner et skjema – et inndatafelt, et tekstområde, en sendeknapp – og fyller det ut. De finner deg ganske enkelt fordi skjemaet ditt finnes.
• Billige skript og ferdige verktøy. Programvare for masseinnsending til skjemaer er lett å få tak i. Én person kan sende tusenvis av meldinger om dagen uten å skrive en eneste kodelinje.
• SEO-lenkesøppelpost. Mange meldinger finnes bare for å plassere en lenke et sted – i innboksen din, i et kommentarfelt eller på en side som publiserer innsendinger. Håpet er at lenken blir indeksert et sted eller at noen klikker på den.
• Nettfisking og skadevare. Noen meldinger etterligner fakturaer, klager, opphavsrettsvarsler eller varsler om «det er et problem med nettstedet ditt», med lenke til en falsk innloggingsside eller en fil. Fordi de kommer gjennom ditt eget skjema, ser de ofte mer troverdige ut enn vanlig e-post.

Når skjemaet ditt sender søppelposten

Mange skjemaer sender en automatisk bekreftelse til adressen den besøkende oppga: «Takk for meldingen, her er en kopi av det du skrev.» For en ekte besøkende er det hyggelig. For en søppelpostavsender er det en mulighet. Boten oppgir en annens adresse i e-postfeltet og legger reklamen eller nettfiskingslenken sin i meldingen. Serveren din sender deretter pliktoppfyllende teksten – under domenenavnet ditt – til en fremmed som aldri besøkte nettstedet ditt.

E-postleverandører vurderer innkommende e-post delvis etter omdømmet til avsenderdomenet og serveren. Søppelpostklager, treff i søppelpostfeller og brå volumøkninger teller alle mot deg. Det ubehagelige: SPF, DKIM og DMARC hjelper ikke her. Disse mekanismene bekrefter at en melding virkelig kommer fra domenet ditt – og i dette tilfellet gjør den det. Autentisering dokumenterer opprinnelsen, ikke at innholdet er ønsket. Når omdømmet faller, rammes også den vanlige forretnings-e-posten din: tilbud, fakturaer og svar til kunder begynner å havne i søppelpostmapper, og det kan ta lang tid å rette opp.

En beslektet feil gjør skade selv uten søppelpost. Noen skjemaoppsett sender varselet med den besøkendes adresse som avsender («From»). Serveren din er ikke autorisert til å sende e-post for den besøkendes domene, så SPF og DKIM samsvarer ikke med From-adressen. Hvis domenet publiserer en streng DMARC-policy, avvises meldingen eller legges i søppelpost – også ekte henvendelser. Den ryddigere løsningen: send fra en adresse på ditt eget domene og sett den besøkendes adresse i Reply-To.

Og skadene i hverdagen

• Bortkastet tid. Noen må lese, sortere og slette. Noen minutter daglig blir til hele arbeidsdager i løpet av et år.
• Ekte henvendelser går tapt. Når innboksen for det meste er søppel, skumleser folk – eller setter aggressive filtre. Den ene ekte forespørselen om et tilbud slettes sammen med resten, eller besvares en uke for sent.
• Nettfisking når teamet ditt. En lenke som kommer gjennom ditt eget kontaktskjema, klikkes lettere enn en i en tilfeldig e-post. Ett eneste passord skrevet inn på en falsk innloggingsside kan koste mer enn all søppelposten til sammen.
• Forurensede data. Hvis innsendinger går inn i et CRM, en nyhetsbrevliste eller et saksbehandlingssystem, forvrenger falske oppføringer dataene og kan utløse ytterligere automatiserte e-poster.

Hva «beskyttet» betyr i praksis

Det finnes ingen enkelt bryter. Et skjema er godt beskyttet når flere lag hver fanger opp en del av problemet, slik at ett sviktende lag ikke åpner døren helt.

Du kan se hvordan dine egne skjemaer ligger an uten å endre dem. En gratis kontroll på formexposed.com besøker de offentlige sidene dine passivt – ingenting sendes inn – og viser for hvert skjema om CAPTCHA, fellefelt, CSRF-token og tidsfelle finnes og ser effektivt konfigurert ut. Skanneren utfører også personvern- og tilgjengelighetskontroller; detaljene inngår i den fullstendige rapporten. Resultatet er ett av tre nivåer: beskyttet, delvis beskyttet eller ubeskyttet. Det er et godt utgangspunkt for å avgjøre hvilket lag som mangler.