Zakaj kontaktne obrazce zasipava neželena pošta – in zakaj je to več kot nadloga

Skoraj vsako spletno mesto s kontaktnim obrazcem pozna vzorec: nekaj dni po zagonu prispejo prva sporočila, ki jih v resnici ni napisal nihče. Ponudbe za storitve SEO, povezave do dvomljivih spletnih trgovin, besedilo v jezikih, ki jih spletno mesto nikoli ni uporabljalo. Večina ljudi jih preprosto izbriše – in s tem podceni težavo. Neželena pošta prek obrazcev ni le šum v poštnem predalu – Vaše lastno spletno mesto lahko spremeni v orodje, ki deluje proti Vam.

Kdo pošilja neželeno pošto prek obrazcev

• Spletni roboti. Avtomatizirani programi pregledujejo splet in iščejo vse, kar je videti kot obrazec – vnosno polje, besedilno polje, gumb za oddajo – in ga izpolnijo. Najdejo Vas preprosto zato, ker Vaš obrazec obstaja.
• Poceni skripte in pripravljena orodja. Programsko opremo za množično oddajo obrazcev je lahko dobiti. Ena oseba lahko na dan pošlje na tisoče sporočil, ne da bi napisala eno samo vrstico kode.
• Povezovalna neželena pošta za SEO. Veliko sporočil obstaja le zato, da bi nekam postavila povezavo – v Vaš poštni predal, v področje za komentarje ali na stran, ki objavlja oddaje. Upanje je, da bo povezava nekje indeksirana ali da jo bo kdo kliknil.
• Lažno predstavljanje in zlonamerna programska oprema. Nekatera sporočila posnemajo račune, pritožbe, obvestila o avtorskih pravicah ali opozorila »z Vašim spletnim mestom je težava«, s povezavo do lažne prijavne strani ali datoteke. Ker prispejo prek Vašega lastnega obrazca, so pogosto videti bolj verodostojna kot običajna e-pošta.

Ko neželeno pošto pošilja Vaš obrazec

Veliko obrazcev na naslov, ki ga je vnesel obiskovalec, pošlje samodejno potrditev: »Hvala za Vaše sporočilo, tukaj je kopija tega, kar ste napisali.« Za pravega obiskovalca je to prijazno. Za pošiljatelja neželene pošte je to priložnost. Robot v polje za e-pošto vnese tuj naslov, v sporočilo pa postavi svoj oglas ali povezavo za lažno predstavljanje. Vaš strežnik nato poslušno pošlje to besedilo – pod imenom Vaše domene – neznancu, ki Vašega spletnega mesta ni nikoli obiskal.

Ponudniki e-pošte dohodno pošto deloma presojajo po ugledu pošiljajoče domene in strežnika. Pritožbe zaradi neželene pošte, zadetki v pasteh za neželeno pošto in nenadni skoki v količini štejejo proti Vam. Neprijetno pri tem: SPF, DKIM in DMARC tu ne pomagajo. Ti mehanizmi potrjujejo, da sporočilo res prihaja z Vaše domene – in v tem primeru res prihaja. Overjanje dokazuje izvor, ne pa tega, da je vsebina zaželena. Ko ugled pade, je prizadeta tudi Vaša običajna poslovna pošta: ponudbe, računi in odgovori strankam začnejo končevati v mapah z neželeno pošto, okrevanje pa lahko traja dolgo.

Sorodna napaka povzroča škodo tudi brez kakršne koli neželene pošte. Nekatere nastavitve obrazcev pošljejo obvestilo z naslovom obiskovalca kot pošiljateljem (»From«). Vaš strežnik ni pooblaščen za pošiljanje pošte za domeno tega obiskovalca, zato se SPF in DKIM ne ujemata z naslovom From. Če ta domena objavlja strogo politiko DMARC, je sporočilo zavrnjeno ali uvrščeno med neželeno pošto – vključno s pravimi povpraševanji. Čistejši vzorec: pošiljajte z naslova na svoji lastni domeni, naslov obiskovalca pa vnesite v Reply-To.

In vsakodnevna škoda

• Izgubljen čas. Nekdo mora brati, razvrščati in brisati. Nekaj minut na dan se v letu nabere v cele delovne dni.
• Prava povpraševanja se izgubijo. Ko je poštni predal večinoma poln smeti, ljudje le preletijo – ali nastavijo agresivne filtre. Edino pravo povpraševanje za ponudbo se izbriše skupaj z ostalim ali pa dobi odgovor teden dni prepozno.
• Lažno predstavljanje doseže Vašo ekipo. Povezavo, ki prispe prek Vašega lastnega kontaktnega obrazca, kliknemo laže kot tisto v naključnem e-poštnem sporočilu. Eno samo geslo, vneseno na lažni prijavni strani, lahko stane več kot vsa neželena pošta skupaj.
• Onesnaženi podatki. Če oddaje tečejo v CRM, seznam za e-novice ali sistem za zahtevke, lažni vnosi popačijo podatke in lahko sprožijo nadaljnja samodejna sporočila.

Kaj v praksi pomeni »zaščiteno«

Enega samega stikala ni. Obrazec je dobro zaščiten, ko več slojev vsak ujame del težave, tako da en odpovedan sloj ne odpre vrat na stežaj.

Kje so Vaši obrazci, lahko vidite, ne da bi se jih dotaknili. Brezplačno preverjanje na formexposed.com pasivno obišče Vaše javne strani – ničesar ne odda – in za vsak obrazec pokaže, ali so CAPTCHA, past-polje, žeton CSRF in časovna past prisotni in videti učinkovito nastavljeni. Pregledovalnik izvaja tudi preverjanja GDPR in dostopnosti; njihove podrobnosti so del celotnega poročila. Rezultat je ena od treh ravni: zaščiten, delno zaščiten ali izpostavljen. To je dobro izhodišče za odločitev, kateri sloj manjka.