Почему контактные формы получают спам — и почему это больше, чем досадная помеха

Почти любой сайт с контактной формой знает эту картину: через несколько дней после запуска приходят первые сообщения, которых на самом деле никто не писал. Предложения SEO-услуг, ссылки на сомнительные магазины, тексты на языках, никогда не использовавшихся сайтом. Большинство просто удаляет их — и недооценивает проблему. Спам в формах — не просто шум во входящих: он может превратить Ваш сайт в инструмент, работающий против Вас.

Кто рассылает спам через формы

• Боты-краулеры. Автоматические программы ищут в интернете всё, что похоже на форму: поле ввода, текстовую область, кнопку отправки — и заполняют это. Они находят Вас просто потому, что Ваша форма существует.
• Дешёвые скрипты и готовые инструменты. ПО для массовой отправки форм легко найти. Один человек может отправлять тысячи сообщений в день, не написав ни строки кода.
• SEO-спам со ссылками. Многие сообщения существуют лишь для размещения ссылки где-либо: во входящих, комментариях или на странице, публикующей отправки. Расчёт на то, что ссылка где-то проиндексируется или кто-нибудь нажмёт её.
• Фишинг и вредоносное ПО. Некоторые сообщения имитируют счета, жалобы, уведомления об авторских правах или предупреждения «с Вашим сайтом проблема», со ссылкой на поддельную страницу входа либо файл. Поскольку они приходят через Вашу форму, они часто выглядят надёжнее обычной почты.

Когда спам отправляет Ваша форма

Многие формы отправляют автоматическое подтверждение на введённый посетителем адрес: «Спасибо за сообщение, вот копия того, что Вы написали». Для настоящего посетителя это удобно. Для спамера — возможность. Бот вводит чужой адрес в поле электронной почты и размещает рекламу или фишинговую ссылку в сообщении. Затем Ваш сервер исправно отправляет этот текст — от имени Вашего домена — незнакомому человеку, который никогда не посещал Ваш сайт.

Почтовые провайдеры оценивают входящую почту отчасти по репутации домена и сервера отправителя. Жалобы на спам, попадания в спам-ловушки и резкие скачки объёма работают против Вас. Неприятная особенность: SPF, DKIM и DMARC здесь не помогают. Эти механизмы подтверждают, что письмо действительно пришло с Вашего домена, — и в данном случае это так. Аутентификация доказывает происхождение, а не желательность содержимого. После падения репутации страдает и обычная деловая почта: предложения, счета и ответы клиентам начинают попадать в спам, а восстановление может занять много времени.

Связанная ошибка наносит вред даже без спама. Некоторые конфигурации форм отправляют уведомление с адресом посетителя в качестве отправителя («From»). Ваш сервер не уполномочен отправлять почту для домена этого посетителя, поэтому SPF и DKIM не согласуются с адресом From. Если домен публикует строгую политику DMARC, сообщение отклоняется или попадает в спам — включая реальные обращения. Более корректный подход: отправлять с адреса Вашего домена, а адрес посетителя указывать в Reply-To.

И повседневный ущерб

• Потерянное время. Кто-то должен читать, сортировать и удалять. Несколько минут в день за год складываются в целые рабочие дни.
• Теряются реальные обращения. Когда во входящих в основном мусор, люди читают бегло или настраивают агрессивные фильтры. Единственный настоящий запрос предложения удаляется вместе с остальным или получает ответ на неделю позже.
• Фишинг добирается до Вашей команды. По ссылке из собственной контактной формы нажимают охотнее, чем по ссылке из случайного письма. Один пароль, введённый на поддельной странице входа, может стоить дороже всего спама вместе.
• Загрязнённые данные. Если отправки поступают в CRM, список рассылки или тикет-систему, поддельные записи искажают данные и могут запускать дальнейшие автоматические письма.

Что означает «защищено» на практике

Единственного переключателя нет. Форма хорошо защищена, когда несколько уровней перехватывают каждый свою часть проблемы, так что отказ одного уровня не открывает дверь полностью.

Вы можете узнать состояние своих форм, не затрагивая их. Бесплатная проверка на formexposed.com пассивно посещает публичные страницы — ничего не отправляется — и показывает для каждой формы, есть ли CAPTCHA, honeypot, токен CSRF и временная ловушка и выглядят ли они эффективно настроенными. Сканер также выполняет проверки GDPR и доступности; их подробности входят в полный отчёт. Результат — один из трёх уровней: защищено, частично защищено или не защищено. Это хорошая отправная точка для определения недостающего уровня.