Spam z formularza kontaktowego: dlaczego to coś więcej niż irytacja

Niemal każda strona z formularzem kontaktowym zna ten schemat: kilka dni po starcie przychodzą pierwsze wiadomości, których nikt tak naprawdę nie napisał. Oferty usług SEO, linki do podejrzanych sklepów, teksty w językach, których na stronie nigdy nie było. Większość osób po prostu je usuwa – i tym samym nie docenia problemu. Spam z formularza to nie tylko szum w skrzynce – może zamienić Twoją własną stronę w narzędzie, które działa przeciwko Tobie.

Kto wysyła spam przez formularze

• Boty przeszukujące sieć. Zautomatyzowane programy wyszukują wszystko, co wygląda na formularz – pole tekstowe, pole wiadomości, przycisk wysyłki – i je wypełniają. Trafiają do Ciebie tylko dlatego, że Twój formularz istnieje.
• Tanie skrypty i gotowe narzędzia. Oprogramowanie do masowego wysyłania formularzy łatwo zdobyć. Jedna osoba może w ten sposób wysłać tysiące wiadomości dziennie, nie pisząc ani linijki kodu.
• Spam linkowy pod SEO. Wiele wiadomości ma tylko jeden cel: umieścić gdzieś link – w Twojej skrzynce, w sekcji komentarzy albo na stronie, która publikuje zgłoszenia. Nadawca liczy na to, że link zostanie gdzieś zaindeksowany albo ktoś w niego kliknie.
• Phishing i złośliwe oprogramowanie. Część wiadomości udaje faktury, reklamacje, zgłoszenia naruszenia praw autorskich albo ostrzeżenia w stylu „Z Twoją stroną jest problem” – z linkiem do fałszywej strony logowania lub do pliku. Ponieważ przychodzą przez Twój własny formularz, często wyglądają na bardziej wiarygodne niż zwykłe maile.

Kiedy to Twój formularz wysyła spam

Wiele formularzy wysyła automatyczne potwierdzenie na adres podany przez odwiedzającego: „Dziękujemy za wiadomość, oto kopia Twojego tekstu”. Dla prawdziwego klienta to miły gest, dla spamera – okazja. Bot wpisuje w pole e-mail cudzy adres, a w treść wiadomości swoją reklamę albo link phishingowy. Twój serwer posłusznie wysyła ten tekst – pod nazwą Twojej domeny – do kogoś, kto nigdy nie odwiedził Twojej strony.

Dostawcy poczty oceniają przychodzące wiadomości m.in. po reputacji domeny i serwera nadawcy. Zgłoszenia spamu, trafienia w pułapki antyspamowe i nagłe skoki liczby wysyłanych maili działają na Twoją niekorzyść. Najgorsze jest to, że SPF, DKIM i DMARC tu nie pomogą. Te mechanizmy potwierdzają, że wiadomość naprawdę pochodzi z Twojej domeny – a w tym przypadku tak właśnie jest. Uwierzytelnienie dowodzi pochodzenia, a nie tego, że ktoś chce tę treść dostać. Kiedy reputacja spada, obrywa też Twoja zwykła korespondencja: oferty, faktury i odpowiedzi dla klientów lądują w spamie, a odbudowa może potrwać długo.

Pokrewny błąd szkodzi nawet bez spamu. Niektóre formularze wysyłają powiadomienie z adresem odwiedzającego jako nadawcą („From”). Twój serwer nie jest jednak uprawniony do wysyłania poczty w imieniu domeny tej osoby, więc SPF i DKIM nie są zgodne z adresem From. Jeśli ta domena publikuje restrykcyjną politykę DMARC, wiadomość zostanie odrzucona albo trafi do spamu – razem z prawdziwymi zapytaniami. Lepiej tak: nadawcą jest adres w Twojej własnej domenie, a adres odwiedzającego trafia do pola Reply-To.

I codzienne szkody

• Stracony czas. Ktoś musi to czytać, sortować i usuwać. Kilka minut dziennie w skali roku daje całe dni pracy.
• Prawdziwe zapytania giną. Gdy w skrzynce są głównie śmieci, przegląda się ją po łebkach – albo ustawia ostre filtry. Jedyne prawdziwe zapytanie ofertowe zostaje usunięte razem z resztą albo dostaje odpowiedź tydzień za późno.
• Phishing trafia do Twojego zespołu. W link, który przyszedł przez własny formularz kontaktowy, klika się łatwiej niż w link z przypadkowego maila. Jedno hasło wpisane na fałszywej stronie logowania może kosztować więcej niż cały spam razem wzięty.
• Zaśmiecone dane. Jeśli zgłoszenia trafiają do CRM-u, listy newsletterowej albo systemu zgłoszeń, fałszywe wpisy zniekształcają dane i mogą uruchamiać kolejne automatyczne maile.

Co w praktyce znaczy „zabezpieczony”

Nie ma jednego przełącznika. Formularz jest dobrze zabezpieczony, gdy kilka warstw wyłapuje każda swoją część problemu – wtedy awaria jednej z nich nie otwiera od razu wszystkich drzwi.

Możesz sprawdzić, jak wypadają Twoje formularze, w ogóle ich nie dotykając. Bezpłatny test na formexposed.com odwiedza Twoje publiczne strony pasywnie – niczego nie wysyła – i pokazuje dla każdego formularza, czy jest w nim CAPTCHA, honeypot, token CSRF i pułapka czasowa oraz czy wyglądają na skutecznie skonfigurowane. Skaner sprawdza też kwestie RODO i dostępności – ich szczegóły zawiera pełny raport. Wynikiem jest jeden z trzech poziomów: „zabezpieczony”, „częściowo zabezpieczony” albo „niezabezpieczony”. To dobry punkt wyjścia, żeby ustalić, której warstwy brakuje.