Varför kontaktformulär spammas – och varför det är mer än ett irritationsmoment

Nästan alla webbplatser med ett kontaktformulär känner igen mönstret: några dagar efter lanseringen kommer de första meddelandena som ingen egentligen har skrivit. Erbjudanden om SEO-tjänster, länkar till tvivelaktiga butiker, text på språk som webbplatsen aldrig har använt. De flesta raderar dem bara – och underskattar därmed problemet. Formulärspam är inte bara brus i en inkorg – det kan göra din egen webbplats till ett verktyg som arbetar emot dig.

Vem som skickar formulärspam

• Crawlande botar. Automatiserade program söker igenom webben efter allt som ser ut som ett formulär – ett inmatningsfält, ett textområde, en skicka-knapp – och fyller i det. De hittar dig helt enkelt för att ditt formulär finns.
• Billiga skript och färdiga verktyg. Programvara för massinskick av formulär är lätt att få tag på. En enda person kan skicka tusentals meddelanden om dagen utan att skriva en enda kodrad.
• SEO-länkspam. Många meddelanden finns bara till för att placera en länk någonstans – i din inkorg, i ett kommentarsfält eller på en sida som publicerar inskick. Förhoppningen är att länken indexeras någonstans eller att någon klickar på den.
• Nätfiske och skadlig kod. Vissa meddelanden efterliknar fakturor, klagomål, upphovsrättsanmälningar eller varningar om att ”det är något fel på din webbplats”, med en länk till en falsk inloggningssida eller en fil. Eftersom de kommer via ditt eget formulär ser de ofta mer pålitliga ut än vanlig e-post.

När ditt formulär skickar spammet

Många formulär skickar en automatisk bekräftelse till den adress som besökaren angav: ”Tack för ditt meddelande, här är en kopia av det du skrev.” För en riktig besökare är det vänligt. För en spammare är det en möjlighet. Boten anger någon annans adress i e-postfältet och lägger sin reklam- eller nätfiskelänk i meddelandet. Din server skickar sedan plikttroget den texten – under ditt domännamn – till en främling som aldrig har besökt din webbplats.

E-postleverantörer bedömer inkommande e-post delvis utifrån ryktet hos den sändande domänen och servern. Spamklagomål, träffar i spamfällor och plötsliga toppar i volym räknas alla emot dig. Det besvärliga: SPF, DKIM och DMARC hjälper inte här. Dessa mekanismer bekräftar att ett meddelande verkligen kommer från din domän – och i det här fallet gör det det. Autentisering bevisar ursprunget, inte att innehållet är önskat. När ryktet väl sjunker påverkas även din vanliga affärspost: offerter, fakturor och svar till kunder börjar hamna i skräppostmappar, och återhämtningen kan ta lång tid.

Ett närliggande misstag gör skada även helt utan spam. Vissa formulärlösningar skickar aviseringen med besökarens adress som avsändare (”From”). Din server är inte behörig att skicka e-post för besökarens domän, så SPF och DKIM stämmer inte överens med From-adressen. Om den domänen publicerar en strikt DMARC-policy avvisas meddelandet eller sorteras som spam – riktiga förfrågningar inräknade. Det renare mönstret: skicka från en adress på din egen domän och lägg besökarens adress i Reply-To.

Och den vardagliga skadan

• Bortkastad tid. Någon måste läsa, sortera och radera. Några minuter om dagen blir till hela arbetsdagar under ett år.
• Riktiga förfrågningar försvinner. När inkorgen mest består av skräp skummar folk – eller ställer in aggressiva filter. Den enda äkta offertförfrågan raderas tillsammans med resten, eller besvaras en vecka för sent.
• Nätfiske når ditt team. En länk som kommer via ditt eget kontaktformulär klickas lättare på än en i ett slumpmässigt e-postmeddelande. Ett enda lösenord som anges på en falsk inloggningssida kan kosta mer än allt spam tillsammans.
• Förorenade data. Om inskick flödar in i ett CRM, en nyhetsbrevslista eller ett ärendesystem snedvrider falska poster datan och kan utlösa ytterligare automatiska mejl.

Vad ”skyddat” betyder i praktiken

Det finns ingen enskild strömbrytare. Ett formulär är väl skyddat när flera lager vart och ett fångar en del av problemet, så att ett lager som fallerar inte öppnar dörren helt.

Du kan se hur det står till med dina egna formulär utan att röra dem. En gratisgranskning på formexposed.com besöker dina offentliga sidor passivt – ingenting skickas – och visar för varje formulär om en CAPTCHA, honeypot, CSRF-token och tidsfälla finns och ser ut att vara verkningsfullt konfigurerade. Skannern kör också GDPR- och tillgänglighetskontroller; detaljerna ingår i den fullständiga rapporten. Resultatet är en av tre nivåer: skyddat, delvis skyddat eller exponerat. Det är en bra utgångspunkt för att avgöra vilket lager som saknas.