Kontaktni obrazci v WordPressu: varnostni kontrolni seznam

Večina spletnih mest WordPress uporablja enega od peščice vtičnikov za obrazce: Contact Form 7, WPForms, Gravity Forms, Ninja Forms, Fluent Forms in nekaj drugih. Vsakega od njih je mogoče upravljati varno ali pustiti na stežaj odprtega. Razlika redko tiči v samem vtičniku, temveč v njegovih nastavitvah, dodatkih okoli njega, načinu, kako pošta zapusti strežnik, in v tem, kaj se zgodi s sporočili, ko prispejo.

• Vtičnik za obrazce in vsak dodatek redno posodabljajte, tiste, ki jih ne uporabljate več, pa izbrišite.
• Omogočite lastno zaščito vtičnika pred neželeno pošto – past-polje, integracijo CAPTCHA, Akismet, kjer je primeren – in potrdite, da dejansko deluje.
• Obvestila pošiljajte prek overjenega SMTP z naslova na svoji lastni domeni.
• Omejite nalaganje datotek po vrsti in velikosti ter preprečite, da bi bile naložene datoteke javno navedene ali brskljive.
• E-poštnega naslova prejemnika ne imejte na strani in v njeni izvorni kodi.
• Shranjujte le vnose, ki jih potrebujete, in le toliko časa, kolikor jih potrebujete.
• Po vsaki posodobitvi WordPressa, teme ali katerega koli vtičnika izvedite kratko preverjanje.

Posodobitve: vtičnik za obrazce in vse okoli njega

Vtičniki za obrazce so priljubljene tarče, ker sprejemajo vnose od kogar koli na internetu. Varnostni popravki prihajajo kot običajne posodobitve, zato posodabljajte hitro – in ne le glavnega vtičnika. Dodatki za plačila, nalaganje datotek, povezave s CRM, pogojno logiko ali dodatne ponudnike CAPTCHA so ločena koda z lastnimi ranljivostmi. Prav tako vtičniki, ki ste jih nekoč namestili za test in nanje pozabili. Deaktivacija ne zadostuje: deaktivirani vtičniki so še vedno na strežniku, do njihovih datotek pa je v nekaterih primerih mogoče dostopati neposredno. Če ga ne uporabljate, ga izbrišite.

Zaščita pred neželeno pošto: vklopite jo in nato dokažite, da deluje

Večina vtičnikov za obrazce ima lastne možnosti zaščite pred neželeno pošto ali se povezuje z zunanjimi storitvami: past-polje, ki ga roboti izpolnijo, ljudje pa nikoli ne vidijo, CAPTCHA, kot so reCAPTCHA, hCaptcha ali Cloudflare Turnstile, in Akismet, ki vsebino sporočila primerja s podatkovno bazo neželene pošte. Možnosti se razlikujejo glede na vtičnik in različico, zato preverite nastavitve, namesto da bi domnevali. Zunanje CAPTCHA nalagajo skripte tretje osebe, Akismet pa oddano vsebino pošlje zunanji storitvi – oboje spada v Vašo politiko zasebnosti in, odvisno od Vaše nastavitve, v Vaše upravljanje privolitev.

Pogostejša težava je zaščita, ki je vklopljena, a ne deluje. CAPTCHA z javnimi testnimi ključi spusti vse skozi. Gradnik, katerega skripto blokira vtičnik za predpomnjenje ali optimizacijo ali napaka JavaScript, ne ustavi ničesar. Past-polje brez slogov, ki ga skrijejo, bralniki zaslona preberejo, pravi obiskovalci pa ga izpolnijo. Zato po vsaki spremembi obrazec odprite v zasebnem oknu, preverite konzolo brskalnika in izvorno kodo strani ter pošljite testno sporočilo. Če želite zaščito, ki ni odvisna od Googla, brezplačni vtičnik formexposed za WordPress doda past-polje, preverjanje časa in dokaz dela ter spletno mesto po posodobitvah vtičnikov ponovno preveri – ena od več možnosti.

Pošta: kako se pošilja in kam gre

WordPress privzeto pošto preda funkciji PHP mail na strežniku, pri številnih gostiteljih pa so ta sporočila slabo overjena in končajo med neželeno pošto – ali tiho izginejo. Namesto tega pošiljajte prek vtičnika SMTP ali poštne storitve svojega gostitelja, s pravim poštnim predalom z uporabniškim imenom in geslom ter naslovom pošiljatelja na svoji lastni domeni, na primer z namenskim naslovom forms@. Zapisi SPF, DKIM in DMARC domene morajo zajemati tega pošiljatelja. Naslova obiskovalca ne vnašajte v polje From: to ni Vaša domena, zato sporočilo ne more prestati usklajenosti DMARC in, odvisno od politike domene obiskovalca, konča med neželeno pošto ali je zavrnjeno. Nastavite ga kot Reply-To in še vedno lahko odgovorite z enim klikom.

Naslov prejemnika spada v nastavitve vtičnika, ne na stran. Preverite izvorno kodo svoje kontaktne strani: povezava mailto ob obrazcu ali skrito polje z naslovom prejemnika ta naslov preda vsakemu robotu za zbiranje naslovov. Pri starejših ali po meri izdelanih obrazcih je lahko še huje – če strežnik zaupa skritemu polju prejemnika, ga lahko vsakdo spremeni in prek Vašega obrazca pošilja pošto na poljubne naslove.

Nalaganje datotek in shranjeni vnosi

Nalaganje datotek je najbolj tvegana funkcija obrazcev, zato se najprej vprašajte, ali jo sploh potrebujete. Če jo, dovolite le vrste, ki jih dejansko pričakujete – na primer PDF in običajne slikovne formate – namesto da blokirate nekaj nevarnih, in nastavite omejitev velikosti. Preverite, kam vtičnik shranjuje naložene datoteke: ne smejo biti navedene v javnem imeniku in po možnosti sploh ne dosegljive na ugibljivem naslovu. Izbrišite jih, ko so obravnavane, ali jih pošljite kot priloge, namesto da jih hranite na strežniku.

Veliko vtičnikov za obrazce ali njihovih dodatkov vsako oddajo shrani v podatkovno bazo WordPress, pogosto vključno z neželeno pošto. To je koristna varnostna kopija, ko pošta odpove, a tudi vse večji kup osebnih podatkov. Po načelu omejitve shranjevanja iz GDPR (člen 5(1)(e)) se takšni podatki ne bi smeli hraniti dlje, kot je potrebno. Odločite se, ali potrebujete shranjene vnose, katera polja in za koliko časa, nato uporabite nastavitev samodejnega brisanja vtičnika, če obstaja, ali stare vnose redno brišite. Varnostne kopije podatkovne baze vsebujejo iste podatke.

Po vsaki posodobitvi

1. 1Kontaktno stran odprite v zasebnem oknu: obrazec in njegov element za zaščito pred neželeno pošto se prikažeta pravilno, konzola brskalnika pa ne kaže napak.
2. 2Oglejte si izvorno kodo strani: past-polje in skripta CAPTCHA sta še vedno tam, naslova prejemnika pa ni.
3. 3Pošljite testno sporočilo: pristane v poštnem predalu, ne med neželeno pošto, glave pa kažejo, da SPF, DKIM in DMARC uspešno prestanejo preverjanje.
4. 4Preverite pomembne nastavitve: prejemnik, naslov pošiljatelja, dovoljene vrste in velikosti naloženih datotek, kako dolgo se hranijo vnosi.
5. 5Preverite, ali sta povezava do politike zasebnosti in morebitno besedilo privolitve še vedno prikazana ob obrazcu.
6. 6Zabeležite datum in kaj ste preverili, da veste, kdaj je obrazec nazadnje dokazljivo deloval.

Ko postane rutina, to vzame malo časa in ujame natanko tiste tihe napake, ki sicer tedne ostanejo neopažene. Za zunanji pogled brezplačno preverjanje na formexposed.com pregleda javne strani z obrazci spletnega mesta, ne da bi kar koli oddalo, in pokaže, ali je pričakovana zaščita prisotna in učinkovito nastavljena – račun ni potreben.