Vì sao biểu mẫu liên hệ nhận thư rác — và vì sao đó không chỉ là chuyện phiền toái

Hầu như mọi website có biểu mẫu liên hệ đều biết tình huống này: vài ngày sau khi ra mắt, những tin nhắn đầu tiên mà chẳng ai thực sự viết bắt đầu xuất hiện. Lời chào dịch vụ SEO, liên kết tới cửa hàng đáng ngờ, nội dung bằng những ngôn ngữ website chưa từng dùng. Phần lớn mọi người chỉ xóa chúng đi, và như vậy là đánh giá thấp vấn đề. Thư rác qua biểu mẫu không chỉ là tiếng ồn trong hộp thư đến: nó có thể biến chính website của bạn thành công cụ gây hại cho bạn.

Ai gửi thư rác qua biểu mẫu

• Bot thu thập dữ liệu. Các chương trình tự động quét web để tìm bất cứ thứ gì trông giống biểu mẫu — ô nhập liệu, vùng văn bản, nút gửi — rồi điền vào. Chúng tìm thấy bạn đơn giản vì biểu mẫu của bạn tồn tại.
• Tập lệnh giá rẻ và công cụ có sẵn. Phần mềm gửi biểu mẫu hàng loạt rất dễ kiếm. Một người có thể gửi hàng nghìn tin nhắn mỗi ngày mà không cần viết một dòng mã nào.
• Thư rác đặt liên kết SEO. Nhiều tin nhắn chỉ nhằm đặt một liên kết ở đâu đó — trong hộp thư đến, khu vực bình luận hoặc trang công bố các nội dung gửi đến. Mục đích là để liên kết được lập chỉ mục ở một nơi nào đó hoặc có người nhấp vào.
• Lừa đảo và phần mềm độc hại. Một số tin nhắn giả làm hóa đơn, khiếu nại, thông báo bản quyền hoặc cảnh báo “website của bạn có vấn đề”, kèm liên kết tới trang đăng nhập giả hoặc một tệp. Vì đến qua chính biểu mẫu của bạn, chúng thường có vẻ đáng tin hơn e-mail thông thường.

Khi chính biểu mẫu của bạn gửi thư rác

Nhiều biểu mẫu gửi xác nhận tự động tới địa chỉ mà khách truy cập đã nhập: “Cảm ơn tin nhắn của bạn, đây là bản sao nội dung bạn đã viết.” Với khách truy cập thật, đó là một cử chỉ thân thiện. Với kẻ gửi thư rác, đó là cơ hội. Bot nhập địa chỉ của người khác vào trường e-mail và đặt quảng cáo hoặc liên kết lừa đảo vào tin nhắn. Sau đó, máy chủ của bạn cứ thế gửi nội dung ấy — dưới tên miền của bạn — tới một người lạ chưa từng ghé thăm website.

Nhà cung cấp e-mail đánh giá thư đến một phần dựa trên uy tín của tên miền và máy chủ gửi. Các phản ánh về thư rác, thư rơi vào bẫy thư rác và những đợt tăng đột biến về số lượng đều bất lợi cho bạn. Điều khó chịu là SPF, DKIM và DMARC không giúp được trong trường hợp này. Các cơ chế đó xác nhận tin nhắn thực sự đến từ tên miền của bạn — và ở đây đúng là như vậy. Xác thực chứng minh nguồn gốc, không chứng minh nội dung được mong muốn. Khi uy tín giảm, e-mail kinh doanh thông thường cũng bị ảnh hưởng: báo giá, hóa đơn và thư trả lời khách hàng bắt đầu vào thư mục thư rác, và việc khôi phục có thể mất nhiều thời gian.

Một lỗi liên quan còn gây hại ngay cả khi không có thư rác. Một số cấu hình biểu mẫu gửi thông báo với địa chỉ của khách truy cập làm người gửi (“From”). Máy chủ của bạn không được phép gửi thư thay cho tên miền của người đó, nên SPF và DKIM không khớp với địa chỉ From. Nếu tên miền ấy công bố chính sách DMARC nghiêm ngặt, tin nhắn sẽ bị từ chối hoặc đưa vào thư rác, kể cả yêu cầu thật. Cách gọn gàng hơn là gửi từ địa chỉ trên tên miền của bạn và đặt địa chỉ khách truy cập vào Reply-To.

Và những thiệt hại hằng ngày

• Mất thời gian. Phải có người đọc, phân loại và xóa. Vài phút mỗi ngày cộng lại thành nhiều ngày làm việc trọn vẹn trong một năm.
• Yêu cầu thật bị thất lạc. Khi hộp thư đến chủ yếu là thư rác, mọi người đọc lướt hoặc đặt bộ lọc quyết liệt. Yêu cầu báo giá thật duy nhất bị xóa cùng những thư khác hoặc được trả lời muộn cả tuần.
• Lừa đảo tiếp cận nhóm của bạn. Liên kết đến qua chính biểu mẫu liên hệ dễ được nhấp hơn liên kết trong một e-mail ngẫu nhiên. Chỉ một mật khẩu nhập vào trang đăng nhập giả cũng có thể gây tổn thất lớn hơn toàn bộ thư rác cộng lại.
• Dữ liệu bị nhiễu. Nếu các nội dung gửi đến được chuyển vào CRM, danh sách bản tin hoặc hệ thống yêu cầu hỗ trợ, các mục giả làm sai lệch dữ liệu và có thể kích hoạt thêm e-mail tự động.

“Được bảo vệ” có nghĩa gì trong thực tế

Không có một công tắc duy nhất. Biểu mẫu được bảo vệ tốt khi nhiều lớp, mỗi lớp xử lý một phần vấn đề, để việc một lớp hỏng không mở toang toàn bộ cánh cửa.

Bạn có thể biết tình trạng biểu mẫu của mình mà không thay đổi chúng. Kiểm tra miễn phí trên formexposed.com truy cập thụ động các trang công khai — không gửi gì — và cho biết với từng biểu mẫu liệu có CAPTCHA, trường honeypot, token CSRF, bẫy thời gian và chúng có vẻ được cấu hình hiệu quả hay không. Trình quét còn thực hiện kiểm tra GDPR và khả năng tiếp cận; chi tiết nằm trong báo cáo đầy đủ. Kết quả thuộc một trong ba mức: được bảo vệ, được bảo vệ một phần hoặc không được bảo vệ. Đó là điểm khởi đầu tốt để quyết định còn thiếu lớp nào.