Prečo kontaktné formuláre zahlcuje spam – a prečo je to viac než len nepríjemnosť

Takmer každá webová stránka s kontaktným formulárom pozná tento vzorec: pár dní po spustení prichádzajú prvé správy, ktoré v skutočnosti nikto nenapísal. Ponuky SEO služieb, odkazy na pochybné e-shopy, texty v jazykoch, ktoré stránka nikdy nepoužívala. Väčšina ľudí ich jednoducho vymaže – a tým problém podceňuje. Spam z formulárov nie je len šum v schránke – môže z Vašej vlastnej webovej stránky urobiť nástroj, ktorý pracuje proti Vám.

Kto posiela spam cez formuláre

• Prehľadávacie boty. Automatizované programy prehľadávajú web a hľadajú všetko, čo vyzerá ako formulár – vstupné pole, textovú oblasť, odosielacie tlačidlo – a vyplnia to. Nájdu Vás jednoducho preto, že Váš formulár existuje.
• Lacné skripty a hotové nástroje. Softvér na hromadné odosielanie formulárov sa dá ľahko zohnať. Jeden človek dokáže poslať tisíce správ denne bez toho, aby napísal jediný riadok kódu.
• SEO odkazový spam. Mnohé správy existujú len na to, aby niekde umiestnili odkaz – vo Vašej schránke, v sekcii komentárov alebo na stránke, ktorá odoslané príspevky zverejňuje. Dúfa sa, že odkaz sa niekde zaindexuje alebo že naň niekto klikne.
• Phishing a malvér. Niektoré správy napodobňujú faktúry, sťažnosti, upozornenia na porušenie autorských práv alebo varovania typu „s Vašou webovou stránkou je problém“, s odkazom na falošnú prihlasovaciu stránku alebo súbor. Keďže prichádzajú cez Váš vlastný formulár, často pôsobia dôveryhodnejšie ako bežný e-mail.

Keď spam posiela Váš formulár

Mnohé formuláre posielajú automatické potvrdenie na adresu, ktorú návštevník zadal: „Ďakujeme za Vašu správu, tu je kópia toho, čo ste napísali.“ Pre skutočného návštevníka je to milé. Pre spammera je to príležitosť. Bot zadá do e-mailového poľa cudziu adresu a do správy vloží svoju reklamu alebo phishingový odkaz. Váš server potom poslušne pošle tento text – pod názvom Vašej domény – cudziemu človeku, ktorý Vašu stránku nikdy nenavštívil.

Poskytovatelia e-mailových služieb posudzujú prichádzajúcu poštu čiastočne podľa reputácie odosielajúcej domény a servera. Sťažnosti na spam, zachytenie v spamových pascách a náhle nárasty objemu – to všetko sa ráta proti Vám. Nepríjemné je, že SPF, DKIM a DMARC tu nepomôžu. Tieto mechanizmy potvrdzujú, že správa skutočne pochádza z Vašej domény – a v tomto prípade to tak je. Autentifikácia dokazuje pôvod, nie to, že obsah je žiaduci. Keď reputácia klesne, zasiahne to aj Vašu bežnú obchodnú poštu: cenové ponuky, faktúry a odpovede zákazníkom začnú končiť v priečinkoch so spamom a náprava môže trvať dlho.

Súvisiaca chyba škodí aj bez akéhokoľvek spamu. Niektoré nastavenia formulárov posielajú oznámenie s adresou návštevníka ako odosielateľom („From“). Váš server nie je oprávnený posielať poštu za doménu tohto návštevníka, takže SPF a DKIM nie sú zosúladené s adresou From. Ak táto doména zverejňuje prísnu politiku DMARC, správa sa odmietne alebo zaradí do spamu – vrátane skutočných dopytov. Čistejší postup: posielajte z adresy na vlastnej doméne a adresu návštevníka uveďte v poli Reply-To.

A každodenné škody

• Stratený čas. Niekto to musí čítať, triediť a mazať. Pár minút denne sa za rok nazbiera na celé pracovné dni.
• Skutočné dopyty sa strácajú. Keď je schránka plná nezmyslov, ľudia ju len prebehnú očami – alebo si nastavia agresívne filtre. Jediná skutočná žiadosť o cenovú ponuku sa vymaže spolu so zvyškom alebo sa na ňu odpovie o týždeň neskoro.
• Phishing sa dostane k Vášmu tímu. Na odkaz, ktorý prišiel cez Váš vlastný kontaktný formulár, sa klikne ľahšie ako na odkaz v náhodnom e-maile. Jediné heslo zadané na falošnej prihlasovacej stránke môže stáť viac ako všetok spam dokopy.
• Znečistené údaje. Ak odoslané formuláre prúdia do CRM, zoznamu odberateľov newslettera alebo ticketového systému, falošné záznamy skresľujú údaje a môžu spustiť ďalšie automatické e-maily.

Čo znamená „chránený“ v praxi

Neexistuje jeden vypínač. Formulár je dobre chránený vtedy, keď niekoľko vrstiev zachytí každá časť problému, takže zlyhanie jednej vrstvy neotvorí dvere dokorán.

Ako sú na tom Vaše vlastné formuláre, zistíte bez toho, aby ste sa ich dotkli. Bezplatná kontrola na formexposed.com pasívne navštívi Vaše verejné stránky – nič sa neodosiela – a pri každom formulári ukáže, či je prítomná CAPTCHA, honeypot, CSRF token a časová pasca a či sa zdajú byť účinne nakonfigurované. Skener vykonáva aj kontroly GDPR a prístupnosti; ich podrobnosti sú súčasťou úplnej správy. Výsledkom je jedna z troch úrovní: chránený, čiastočne chránený alebo odhalený. To je dobrý východiskový bod na rozhodnutie, ktorá vrstva chýba.