Por que formulários de contato recebem spam — e por que é mais que um incômodo

Quase todo site com formulário de contato conhece o padrão: poucos dias após o lançamento, chegam as primeiras mensagens que ninguém realmente escreveu. Ofertas de serviços de SEO, links para lojas duvidosas, textos em idiomas que o site nunca usou. A maioria simplesmente as exclui — o que subestima o problema. Spam em formulários não é apenas ruído na caixa de entrada: pode transformar seu próprio site em uma ferramenta que trabalha contra você.

Quem envia spam por formulários

• Bots rastreadores. Programas automatizados vasculham a web em busca de qualquer coisa que pareça um formulário — um campo de entrada, uma área de texto, um botão de envio — e o preenchem. Eles encontram você simplesmente porque seu formulário existe.
• Scripts baratos e ferramentas prontas. É fácil obter software para envio em massa de formulários. Uma pessoa pode enviar milhares de mensagens por dia sem escrever uma única linha de código.
• Spam de links para SEO. Muitas mensagens existem apenas para colocar um link em algum lugar — na sua caixa de entrada, em uma área de comentários ou em uma página que publica os envios. A esperança é que o link seja indexado em algum lugar ou que alguém clique nele.
• Phishing e malware. Algumas mensagens imitam faturas, reclamações, notificações de direitos autorais ou alertas de “há um problema com seu site”, com um link para uma página de login falsa ou um arquivo. Como chegam pelo seu próprio formulário, muitas vezes parecem mais confiáveis que um e-mail comum.

Quando seu formulário envia o spam

Muitos formulários enviam uma confirmação automática ao endereço informado pelo visitante: “Obrigado pela sua mensagem, aqui está uma cópia do que você escreveu.” Para um visitante real, isso é atencioso. Para um remetente de spam, é uma oportunidade. O bot coloca o endereço de outra pessoa no campo de e-mail e sua publicidade ou link de phishing na mensagem. Seu servidor então envia obedientemente esse texto — sob o nome do seu domínio — a um desconhecido que nunca visitou seu site.

Provedores de e-mail avaliam as mensagens recebidas em parte pela reputação do domínio e do servidor remetente. Reclamações de spam, ocorrências em armadilhas de spam e aumentos repentinos de volume contam contra você. A parte incômoda: SPF, DKIM e DMARC não ajudam aqui. Esses mecanismos confirmam que uma mensagem realmente vem do seu domínio — e, neste caso, vem mesmo. A autenticação comprova a origem, não que o conteúdo seja desejado. Quando a reputação cai, seus e-mails comerciais normais também são afetados: orçamentos, faturas e respostas a clientes começam a cair nas pastas de spam, e a recuperação pode demorar muito.

Um erro relacionado causa danos mesmo sem spam. Algumas configurações de formulário enviam a notificação com o endereço do visitante como remetente (“From”). Seu servidor não está autorizado a enviar e-mails pelo domínio desse visitante, então SPF e DKIM não se alinham ao endereço From. Se esse domínio publicar uma política DMARC rígida, a mensagem será rejeitada ou classificada como spam — inclusive solicitações reais. O padrão mais adequado: enviar de um endereço do seu próprio domínio e colocar o endereço do visitante em Reply-To.

E os danos do dia a dia

• Tempo desperdiçado. Alguém precisa ler, organizar e excluir. Alguns minutos por dia somam dias inteiros de trabalho ao longo de um ano.
• Solicitações reais se perdem. Quando a caixa de entrada é quase toda lixo, as pessoas leem por alto — ou configuram filtros agressivos. A única solicitação legítima de orçamento é excluída com o restante ou respondida uma semana tarde demais.
• Phishing chega à sua equipe. Um link que chega pelo seu próprio formulário de contato é clicado mais facilmente que um em um e-mail qualquer. Uma única senha inserida em uma página de login falsa pode custar mais que todo o spam junto.
• Dados contaminados. Se os envios entram em um CRM, lista de newsletter ou sistema de chamados, registros falsos distorcem os dados e podem acionar outros e-mails automáticos.

O que “protegido” significa na prática

Não existe uma única opção que resolva tudo. Um formulário está bem protegido quando várias camadas detectam, cada uma, parte do problema, de modo que a falha de uma delas não abra completamente a porta.

Você pode ver como estão seus próprios formulários sem modificá-los. Uma verificação gratuita em formexposed.com visita suas páginas públicas de forma passiva — nada é enviado — e mostra, para cada formulário, se CAPTCHA, honeypot, token CSRF e armadilha de tempo estão presentes e parecem configurados de forma eficaz. O verificador também executa verificações de RGPD e acessibilidade; seus detalhes fazem parte do relatório completo. O resultado é um de três níveis: protegido, parcialmente protegido ou exposto. Esse é um bom ponto de partida para decidir qual camada está faltando.