Waarom contactformulieren met spam worden bestookt – en waarom dat meer is dan een ergernis

Bijna elke website met een contactformulier kent het patroon: een paar dagen na de lancering komen de eerste berichten binnen die niemand echt heeft geschreven. Aanbiedingen voor SEO-diensten, links naar dubieuze webwinkels, tekst in talen die de site nooit heeft gebruikt. De meeste mensen verwijderen ze gewoon – en onderschatten daarmee het probleem. Formulierspam is niet alleen ruis in een inbox – hij kan uw eigen website veranderen in een instrument dat tegen u werkt.

Wie formulierspam verstuurt

• Crawlende bots. Geautomatiseerde programma’s doorzoeken het web naar alles wat op een formulier lijkt – een invoerveld, een tekstvak, een verzendknop – en vullen het in. Ze vinden u simpelweg omdat uw formulier bestaat.
• Goedkope scripts en kant-en-klare tools. Software voor het massaal verzenden van formulieren is makkelijk te krijgen. Eén persoon kan duizenden berichten per dag versturen zonder één regel code te schrijven.
• SEO-linkspam. Veel berichten bestaan alleen om ergens een link te plaatsen – in uw inbox, in een reactiegedeelte of op een pagina die inzendingen publiceert. De hoop is dat de link ergens wordt geïndexeerd of dat iemand erop klikt.
• Phishing en malware. Sommige berichten imiteren facturen, klachten, auteursrechtmeldingen of waarschuwingen als “er is een probleem met uw website”, met een link naar een nep-inlogpagina of een bestand. Omdat ze via uw eigen formulier binnenkomen, lijken ze vaak betrouwbaarder dan gewone e-mail.

Wanneer uw formulier de spam verstuurt

Veel formulieren sturen een automatische bevestiging naar het adres dat de bezoeker heeft ingevoerd: “Bedankt voor uw bericht, hier is een kopie van wat u schreef.” Voor een echte bezoeker is dat vriendelijk. Voor een spammer is het een kans. De bot vult het adres van iemand anders in het e-mailveld in en zet zijn reclame- of phishinglink in het bericht. Uw server stuurt die tekst dan plichtsgetrouw – onder uw domeinnaam – naar een onbekende die uw site nooit heeft bezocht.

Mailproviders beoordelen inkomende mail mede op de reputatie van het verzendende domein en de verzendende server. Spamklachten, treffers op spamvallen en plotselinge pieken in het volume tellen allemaal tegen u. Het vervelende: SPF, DKIM en DMARC helpen hier niet. Deze mechanismen bevestigen dat een bericht echt van uw domein komt – en in dit geval is dat zo. Authenticatie bewijst de herkomst, niet dat de inhoud gewenst is. Zodra de reputatie daalt, wordt ook uw normale zakelijke mail getroffen: offertes, facturen en antwoorden aan klanten belanden in spammappen, en herstel kan lang duren.

Een verwante fout richt ook zonder spam schade aan. Sommige formulierconfiguraties versturen de melding met het adres van de bezoeker als afzender (“From”). Uw server is niet gemachtigd om mail te versturen voor het domein van die bezoeker, dus SPF en DKIM komen niet overeen met het From-adres. Publiceert dat domein een strikt DMARC-beleid, dan wordt het bericht geweigerd of als spam gemarkeerd – echte aanvragen incluis. Het nettere patroon: verstuur vanaf een adres op uw eigen domein en zet het adres van de bezoeker in Reply-To.

En de dagelijkse schade

• Verspilde tijd. Iemand moet lezen, sorteren en verwijderen. Een paar minuten per dag tellen over een jaar op tot hele werkdagen.
• Echte aanvragen raken zoek. Als de inbox vooral rommel bevat, gaan mensen vluchtig lezen – of stellen ze agressieve filters in. Die ene echte offerteaanvraag wordt met de rest verwijderd, of een week te laat beantwoord.
• Phishing bereikt uw team. Op een link die via uw eigen contactformulier binnenkomt, wordt makkelijker geklikt dan op een link in een willekeurige e-mail. Eén wachtwoord dat op een nep-inlogpagina wordt ingevoerd, kan meer kosten dan alle spam bij elkaar.
• Vervuilde gegevens. Als inzendingen in een CRM, een nieuwsbrieflijst of een ticketsysteem terechtkomen, vertekenen nepinvoer de gegevens en kunnen ze verdere automatische mails in gang zetten.

Wat “beschermd” in de praktijk betekent

Er is niet één schakelaar. Een formulier is goed beschermd als meerdere lagen elk een deel van het probleem opvangen, zodat één falende laag de deur niet volledig openzet.

U kunt zien hoe uw eigen formulieren ervoor staan zonder ze aan te raken. Een gratis controle op formexposed.com bezoekt uw openbare pagina’s passief – er wordt niets verzonden – en laat per formulier zien of een CAPTCHA, honeypot, CSRF-token en tijdval aanwezig zijn en effectief geconfigureerd lijken. De scanner voert ook AVG- en toegankelijkheidscontroles uit; de details daarvan staan in het volledige rapport. Het resultaat is een van drie niveaus: beschermd, gedeeltelijk beschermd of blootgesteld. Dat is een goed uitgangspunt om te bepalen welke laag ontbreekt.