WordPress kontakt obrasci: kontrolna lista bezbednosti

Većina WordPress sajtova koristi jedan od nekoliko dodataka za obrasce: Contact Form 7, WPForms, Gravity Forms, Ninja Forms, Fluent Forms i još nekoliko. Svaki od njih može raditi bezbedno ili ostati širom otvoren. Razlika retko leži u samom dodatku, već u podešavanjima, proširenjima oko njega, načinu na koji pošta napušta server i onome što se dešava sa porukama kada stignu.

• Redovno ažurirajte dodatak za obrasce i svako proširenje i izbrišite one koje više ne koristite.
• Uključite sopstvenu zaštitu dodatka od neželjenih poruka — polje zamku, CAPTCHA integraciju, Akismet gde odgovara — i potvrdite da zaista radi.
• Šaljite obaveštenja preko autentifikovanog SMTP-a sa adrese na svom domenu.
• Ograničite otpremanja po tipu i veličini i sprečite javno izlistavanje ili pregledanje otpremljenih datoteka.
• Držite adresu e-pošte primaoca van stranice i njenog izvornog koda.
• Čuvajte samo unose koji su Vam potrebni i samo dok su Vam potrebni.
• Pokrenite kratku proveru posle svakog ažuriranja WordPress-a, teme ili bilo kog dodatka.

Ažuriranja: dodatak za obrasce i sve oko njega

Dodaci za obrasce popularne su mete jer prihvataju unos od bilo koga na internetu. Bezbednosne ispravke stižu kao obična ažuriranja, zato ažurirajte brzo — i to ne samo glavni dodatak. Proširenja za plaćanja, otpremanja, CRM veze, uslovnu logiku ili dodatne CAPTCHA pružaoce predstavljaju zaseban kod sa sopstvenim ranjivostima. Isto važi za dodatke koje ste jednom instalirali radi probe i zaboravili. Deaktiviranje nije dovoljno: deaktivirani dodaci i dalje stoje na serveru i njihovim datotekama se u nekim slučajevima može pristupiti direktno. Ako nešto ne koristite, izbrišite ga.

Zaštita od neželjenih poruka: uključite je, pa dokažite da radi

Većina dodataka za obrasce ima sopstvene opcije zaštite od neželjenih poruka ili se povezuje sa spoljnim uslugama: polje zamka koje botovi popunjavaju, a ljudi nikada ne vide, CAPTCHA kao reCAPTCHA, hCaptcha ili Cloudflare Turnstile i Akismet, koji proverava sadržaj poruka prema bazi neželjenih poruka. Opcije zavise od dodatka i verzije, pa proverite podešavanja umesto pretpostavki. Spoljni CAPTCHA učitava skripte treće strane, a Akismet šalje sadržaj poruke spoljnoj usluzi — oba pripadaju Vašoj politici privatnosti i, zavisno od postavke, upravljanju pristankom.

Češći problem je zaštita koja je uključena, ali ne radi. CAPTCHA sa javnim probnim ključevima sve propušta. Vidžet čiju skriptu blokira dodatak za keširanje ili optimizaciju ili JavaScript greška ništa ne zaustavlja. Polje zamka bez stilova koji ga skrivaju čitaju čitači ekrana i popunjavaju stvarni posetioci. Zato nakon svake promene otvorite obrazac u privatnom prozoru, proverite konzolu pregledača i izvorni kod stranice i pošaljite probnu poruku. Ako želite zaštitu koja ne zavisi od Google-a, besplatni WordPress dodatak formexposed dodaje polje zamku, vremensku proveru i dokaz rada i ponovo proverava sajt posle ažuriranja dodataka — jedna od više opcija.

Pošta: kako se šalje i gde ide

WordPress podrazumevano predaje poštu PHP funkciji za poštu na serveru, a na mnogim hostinzima te poruke imaju slabu autentikaciju i završavaju u neželjenoj pošti — ili tiho nestaju. Umesto toga šaljite preko SMTP dodatka ili usluge e-pošte svog hostinga, koristeći stvarno sanduče sa korisničkim imenom i lozinkom i adresu pošiljaoca na sopstvenom domenu, poput namenske adrese forms@. SPF, DKIM i DMARC zapisi domena moraju pokrivati tog pošiljaoca. Ne stavljajte adresu posetioca u polje From: nije Vaš domen, pa poruka ne može proći DMARC usklađivanje i, zavisno od politike domena posetioca, završava u neželjenoj pošti ili se odbija. Postavite je kao Reply-To i i dalje možete odgovoriti jednim klikom.

Adresa primaoca pripada podešavanjima dodatka, ne stranici. Proverite izvorni kod kontakt stranice: mailto link pored obrasca ili skriveno polje sa adresom primaoca predaju tu adresu svakom botu za prikupljanje. Kod starijih ili namenski pravljenih obrazaca može biti još gore — ako server veruje skrivenom polju primaoca, svako ga može promeniti i koristiti Vaš obrazac za slanje pošte na proizvoljne adrese.

Otpremljene datoteke i sačuvani unosi

Otpremljene datoteke su najrizičnija funkcija obrasca, zato prvo pitajte da li su Vam uopšte potrebne. Ako jesu, dozvolite samo tipove koje stvarno očekujete — recimo PDF i uobičajene formate slika — umesto blokiranja nekoliko opasnih i postavite ograničenje veličine. Proverite gde dodatak čuva datoteke: ne smeju biti izlistane u javnom direktorijumu i idealno uopšte ne bi trebalo da budu dostupne na adresi koja se može pogoditi. Izbrišite ih kada ih obradite ili ih šaljite kao priloge umesto čuvanja na serveru.

Mnogi dodaci za obrasce ili njihova proširenja čuvaju svako slanje u WordPress bazi podataka, često uključujući neželjene poruke. To je korisna rezerva kada pošta zakaže, ali i rastuća gomila podataka o ličnosti. Prema principu ograničenja čuvanja GDPR-a (Art. 5(1)(e)), takve podatke ne bi trebalo čuvati duže nego što je potrebno. Odlučite da li su Vam potrebni sačuvani unosi, koja polja i koliko dugo, pa koristite automatsko brisanje dodatka ako postoji ili redovno brišite stare unose. Rezervne kopije baze sadrže iste podatke.

Posle svakog ažuriranja

1. 1Otvorite kontakt stranicu u privatnom prozoru: obrazac i njegov element zaštite od neželjenih poruka prikazuju se ispravno, a konzola pregledača ne pokazuje greške.
2. 2Pogledajte izvorni kod stranice: polje zamka i CAPTCHA skripta su i dalje tu, a adresa primaoca nije.
3. 3Pošaljite probnu poruku: stiže u prijemno sanduče, ne u neželjenu poštu, a zaglavlja pokazuju da SPF, DKIM i DMARC prolaze.
4. 4Proverite važna podešavanja: primaoca, adresu pošiljaoca, dozvoljene tipove i veličine otpremanja i rok čuvanja unosa.
5. 5Proverite da se link do politike privatnosti i eventualni tekst pristanka i dalje prikazuju kod obrasca.
6. 6Zabeležite datum i šta ste proverili da znate kada je obrazac poslednji put dokazano radio.

Kada postane rutina, ovo traje kratko i otkriva upravo tihe kvarove koji inače nedeljama ostaju neprimećeni. Za spoljni pogled, besplatna provera na formexposed.com proverava javne stranice obrazaca sajta bez slanja bilo čega i pokazuje da li očekivana zaštita postoji i da li je delotvorno podešena — bez naloga.