Чому контактні форми засипають спамом — і чому це більше, ніж незручність

Майже кожен сайт із контактною формою знає цю картину: через кілька днів після запуску надходять перші повідомлення, яких насправді ніхто не писав. Пропозиції SEO-послуг, посилання на сумнівні магазини, тексти мовами, яких сайт ніколи не використовував. Більшість людей просто їх видаляє, недооцінюючи проблему. Спам із форм — не просто шум у вхідній пошті: він може перетворити Ваш власний сайт на інструмент, що працює проти Вас.

Хто надсилає спам через форми

• Боти-сканери. Автоматизовані програми шукають в інтернеті все, що схоже на форму, — поле введення, текстову область, кнопку надсилання — і заповнюють її. Вони знаходять Вас просто тому, що Ваша форма існує.
• Дешеві скрипти й готові інструменти. Програми для масового надсилання форм легко отримати. Одна людина може надсилати тисячі повідомлень на день, не написавши жодного рядка коду.
• SEO-спам із посиланнями. Багато повідомлень існує лише для того, щоб десь розмістити посилання — у Вашій скриньці, у коментарях або на сторінці, яка публікує надіслані дані. Сподівання полягає в тому, що посилання десь проіндексується або хтось на нього натисне.
• Фішинг і шкідливі програми. Деякі повідомлення імітують рахунки, скарги, повідомлення про авторські права або сповіщення «з Вашим сайтом проблема» й містять посилання на підроблену сторінку входу чи файл. Оскільки вони надходять через Вашу власну форму, часто виглядають надійнішими за звичайний електронний лист.

Коли спам надсилає Ваша форма

Багато форм надсилають автоматичне підтвердження на адресу, яку ввів відвідувач: «Дякуємо за повідомлення, ось копія того, що Ви написали». Для справжнього відвідувача це приємно. Для спамера — можливість. Бот вводить чужу адресу в поле електронної пошти й додає свою рекламу чи фішингове посилання в повідомлення. Тоді Ваш сервер сумлінно надсилає цей текст — від імені Вашого домену — незнайомцю, який ніколи не відвідував Ваш сайт.

Поштові провайдери оцінюють вхідні листи частково за репутацією домену й сервера відправника. Скарги на спам, потрапляння в спам-пастки та раптові стрибки обсягу — усе працює проти Вас. Неприємна деталь: SPF, DKIM і DMARC тут не допомагають. Ці механізми підтверджують, що повідомлення справді походить від Вашого домену, — і в цьому випадку так і є. Автентифікація доводить походження, а не бажаність вмісту. Коли репутація падає, страждає й Ваша звичайна ділова пошта: пропозиції, рахунки та відповіді клієнтам починають потрапляти до спаму, а відновлення може тривати довго.

Пов’язана помилка завдає шкоди навіть без спаму. Деякі налаштування форм надсилають повідомлення з адресою відвідувача як відправником («From»). Ваш сервер не має дозволу надсилати пошту від домену цього відвідувача, тому SPF і DKIM не узгоджуються з адресою From. Якщо цей домен публікує сувору політику DMARC, повідомлення відхиляється або потрапляє до спаму — включно зі справжніми зверненнями. Правильніший підхід: надсилати з адреси на власному домені, а адресу відвідувача вказувати в Reply-To.

І щоденні втрати

• Змарнований час. Хтось мусить читати, сортувати й видаляти. Кілька хвилин на день за рік складаються в цілі робочі дні.
• Справжні звернення губляться. Коли скринька переважно заповнена сміттям, люди переглядають її побіжно — або встановлюють агресивні фільтри. Єдиний справжній запит на пропозицію видаляють разом із рештою або відповідають на нього на тиждень запізно.
• Фішинг дістається Вашої команди. На посилання, яке надійшло через власну контактну форму, натискають охочіше, ніж на посилання у випадковому листі. Один пароль, введений на підробленій сторінці входу, може коштувати більше, ніж увесь спам разом.
• Забруднені дані. Якщо надсилання потрапляють у CRM, список розсилки або систему заявок, підроблені записи спотворюють дані й можуть запускати подальші автоматизовані листи.

Що «захищено» означає на практиці

Єдиного перемикача немає. Форма добре захищена, коли кілька шарів перехоплюють кожен свою частину проблеми, тож відмова одного шару не відчиняє двері повністю.

Ви можете побачити стан власних форм, не змінюючи їх. Безкоштовна перевірка на formexposed.com пасивно відвідує Ваші публічні сторінки — нічого не надсилається — і показує для кожної форми, чи є CAPTCHA, поле-пастка, токен CSRF та часова пастка й чи виглядає їх налаштування дієвим. Сканер також виконує перевірки GDPR і доступності; їхні подробиці входять до повного звіту. Результат належить до однієї з трьох категорій: захищено, частково захищено або незахищено. Це добра відправна точка, щоб визначити відсутній шар.