Porque é que os formulários de contacto recebem spam – e porque é mais do que um incómodo

Quase todos os sítios Web com um formulário de contacto conhecem o padrão: poucos dias após o lançamento, chegam as primeiras mensagens que ninguém escreveu realmente. Ofertas de serviços de SEO, ligações para lojas duvidosas, texto em línguas que o sítio nunca utilizou. A maioria das pessoas limita-se a apagá-las – o que subestima o problema. O spam em formulários não é apenas ruído numa caixa de entrada – pode transformar o seu próprio sítio Web numa ferramenta que trabalha contra si.

Quem envia spam através de formulários

• Bots rastreadores. Programas automatizados percorrem a Web à procura de tudo o que se pareça com um formulário – um campo de introdução, uma área de texto, um botão de envio – e preenchem-no. Encontram-no simplesmente porque o seu formulário existe.
• Scripts baratos e ferramentas prontas a usar. O software para submissão massiva de formulários é fácil de obter. Uma só pessoa pode enviar milhares de mensagens por dia sem escrever uma única linha de código.
• Spam de ligações para SEO. Muitas mensagens existem apenas para colocar uma ligação algures – na sua caixa de entrada, numa área de comentários ou numa página que publica as submissões. A esperança é que a ligação seja indexada em algum lado ou que alguém clique nela.
• Phishing e malware. Algumas mensagens imitam faturas, reclamações, avisos de direitos de autor ou alertas do tipo «há um problema com o seu sítio Web», com uma ligação para uma página de início de sessão falsa ou um ficheiro. Como chegam através do seu próprio formulário, parecem muitas vezes mais fidedignas do que um e-mail comum.

Quando é o seu formulário que envia o spam

Muitos formulários enviam uma confirmação automática para o endereço que o visitante introduziu: «Obrigado pela sua mensagem, segue uma cópia do que escreveu.» Para um visitante real, é simpático. Para um spammer, é uma oportunidade. O bot introduz o endereço de outra pessoa no campo de e-mail e coloca a sua publicidade ou ligação de phishing na mensagem. O seu servidor envia então diligentemente esse texto – em nome do seu domínio – a um desconhecido que nunca visitou o seu sítio.

Os fornecedores de correio eletrónico avaliam o correio recebido, em parte, pela reputação do domínio e do servidor emissores. Queixas de spam, ocorrências em armadilhas de spam e picos súbitos de volume contam todos contra si. O pior: SPF, DKIM e DMARC não ajudam aqui. Estes mecanismos confirmam que uma mensagem provém realmente do seu domínio – e, neste caso, provém. A autenticação comprova a origem, não que o conteúdo seja desejado. Quando a reputação desce, o seu correio comercial normal também é afetado: orçamentos, faturas e respostas a clientes começam a cair nas pastas de spam, e a recuperação pode demorar muito tempo.

Um erro relacionado causa danos mesmo sem spam. Algumas configurações de formulários enviam a notificação com o endereço do visitante como remetente («From»). O seu servidor não está autorizado a enviar correio em nome do domínio desse visitante, pelo que SPF e DKIM não ficam alinhados com o endereço From. Se esse domínio publicar uma política DMARC rigorosa, a mensagem é rejeitada ou classificada como spam – incluindo pedidos de contacto reais. O padrão mais limpo: enviar a partir de um endereço do seu próprio domínio e colocar o endereço do visitante em Reply-To.

E os danos do dia a dia

• Tempo perdido. Alguém tem de ler, triar e apagar. Alguns minutos por dia somam dias de trabalho inteiros ao longo de um ano.
• Perdem-se pedidos de contacto reais. Quando a caixa de entrada é sobretudo lixo, as pessoas leem na diagonal – ou definem filtros agressivos. O único pedido de orçamento genuíno é apagado com o resto, ou respondido com uma semana de atraso.
• O phishing chega à sua equipa. Uma ligação que chega através do seu próprio formulário de contacto é clicada mais facilmente do que uma num e-mail qualquer. Uma única palavra-passe introduzida numa página de início de sessão falsa pode custar mais do que todo o spam junto.
• Dados poluídos. Se as submissões alimentam um CRM, uma lista de newsletter ou um sistema de tickets, as entradas falsas distorcem os dados e podem desencadear outros e-mails automáticos.

O que significa «protegido» na prática

Não existe um interruptor único. Um formulário está bem protegido quando várias camadas travam, cada uma, parte do problema, de modo que a falha de uma camada não abra totalmente a porta.

Pode ver em que ponto estão os seus próprios formulários sem lhes tocar. Uma verificação gratuita em formexposed.com visita as suas páginas públicas de forma passiva – nada é submetido – e mostra, para cada formulário, se um CAPTCHA, um honeypot, um token CSRF e uma armadilha de tempo estão presentes e parecem configurados de forma eficaz. O scanner efetua também verificações de RGPD e de acessibilidade; os respetivos pormenores fazem parte do relatório completo. O resultado é um de três níveis: protegido, parcialmente protegido ou exposto. É um bom ponto de partida para decidir que camada está em falta.