De ce formularele de contact primesc spam – și de ce este mai mult decât o neplăcere

Aproape orice site cu un formular de contact cunoaște tiparul: la câteva zile după lansare sosesc primele mesaje pe care nu le-a scris de fapt nimeni. Oferte de servicii SEO, linkuri către magazine dubioase, texte în limbi pe care site-ul nu le-a folosit niciodată. Cei mai mulți le șterg pur și simplu – ceea ce subestimează problema. Spamul prin formulare nu este doar zgomot într-o căsuță poștală – el vă poate transforma propriul site într-un instrument care lucrează împotriva dumneavoastră.

Cine trimite spam prin formulare

• Boți care parcurg webul. Programe automate scanează internetul în căutarea oricărui lucru care seamănă cu un formular – un câmp de introducere, o zonă de text, un buton de trimitere – și îl completează. Vă găsesc pur și simplu pentru că formularul dumneavoastră există.
• Scripturi ieftine și instrumente gata făcute. Software-ul pentru trimiterea în masă a formularelor se obține ușor. O singură persoană poate trimite mii de mesaje pe zi fără să scrie nicio linie de cod.
• Spam cu linkuri SEO. Multe mesaje există doar pentru a plasa un link undeva – în căsuța dumneavoastră poștală, într-o zonă de comentarii sau pe o pagină care publică mesajele trimise. Speranța este ca linkul să fie indexat undeva sau ca cineva să dea clic pe el.
• Phishing și malware. Unele mesaje imită facturi, reclamații, notificări privind drepturile de autor sau alerte de tipul „există o problemă cu site-ul dumneavoastră”, cu un link către o pagină de autentificare falsă sau către un fișier. Deoarece sosesc prin propriul dumneavoastră formular, ele par adesea mai demne de încredere decât e-mailurile obișnuite.

Când formularul dumneavoastră trimite spamul

Multe formulare trimit o confirmare automată la adresa introdusă de vizitator: „Vă mulțumim pentru mesaj, iată o copie a ceea ce ați scris.” Pentru un vizitator real, acest lucru este amabil. Pentru un spammer, este o oportunitate. Botul introduce adresa altcuiva în câmpul de e-mail și pune în mesaj publicitatea sau linkul de phishing. Serverul dumneavoastră trimite apoi conștiincios acel text – sub numele domeniului dumneavoastră – unui străin care nu v-a vizitat niciodată site-ul.

Furnizorii de e-mail evaluează mesajele primite parțial după reputația domeniului și a serverului expeditor. Reclamațiile de spam, mesajele care ajung în capcane de spam și creșterile bruște de volum contează toate în defavoarea dumneavoastră. Partea neplăcută: SPF, DKIM și DMARC nu ajută aici. Aceste mecanisme confirmă că un mesaj provine într-adevăr de la domeniul dumneavoastră – iar în acest caz chiar provine. Autentificarea dovedește originea, nu faptul că este dorit conținutul. Odată ce reputația scade, sunt afectate și e-mailurile dumneavoastră obișnuite de afaceri: ofertele, facturile și răspunsurile către clienți încep să ajungă în dosarele de spam, iar recuperarea poate dura mult.

O greșeală înrudită provoacă pagube chiar și fără spam. Unele configurări de formulare trimit notificarea cu adresa vizitatorului ca expeditor („From”). Serverul dumneavoastră nu este autorizat să trimită e-mailuri pentru domeniul acelui vizitator, astfel încât SPF și DKIM nu se aliniază cu adresa From. Dacă domeniul respectiv publică o politică DMARC strictă, mesajul este respins sau clasat ca spam – inclusiv solicitările reale. Modelul corect: trimiteți de la o adresă de pe propriul domeniu și puneți adresa vizitatorului în Reply-To.

Și pagubele de zi cu zi

• Timp pierdut. Cineva trebuie să citească, să sorteze și să șteargă. Câteva minute pe zi se adună, într-un an, în zile întregi de lucru.
• Solicitările reale se pierd. Când căsuța poștală conține mai ales gunoi, oamenii citesc în diagonală – sau setează filtre agresive. Singura cerere reală de ofertă este ștearsă împreună cu restul sau primește răspuns cu o săptămână prea târziu.
• Phishingul ajunge la echipa dumneavoastră. Pe un link care sosește prin propriul formular de contact se dă clic mai ușor decât pe unul dintr-un e-mail oarecare. O singură parolă introdusă pe o pagină de autentificare falsă poate costa mai mult decât tot spamul la un loc.
• Date poluate. Dacă trimiterile ajung într-un CRM, într-o listă de newsletter sau într-un sistem de tichete, înregistrările false distorsionează datele și pot declanșa alte e-mailuri automate.

Ce înseamnă „protejat” în practică

Nu există un singur comutator. Un formular este bine protejat atunci când mai multe straturi prind fiecare o parte a problemei, astfel încât un strat care cedează să nu deschidă ușa complet.

Puteți vedea în ce stadiu se află propriile formulare fără să le atingeți. O verificare gratuită pe formexposed.com vă vizitează pasiv paginile publice – nu se trimite nimic – și arată pentru fiecare formular dacă există un CAPTCHA, un honeypot, un token CSRF și o capcană de timp și dacă acestea par configurate eficient. Scannerul efectuează și verificări privind RGPD și accesibilitatea; detaliile acestora fac parte din raportul complet. Rezultatul este unul dintre trei niveluri: protejat, parțial protejat sau expus. Este un bun punct de plecare pentru a decide ce strat lipsește.