Откуда берётся спам
Большая часть спама в формах — это не люди, а программы. Они сканируют интернет, находят формы и отправляют в них ссылки на сомнительные сайты, предложения продвижения и бессмысленный текст. Заранее вам об этом никто не сообщит: просто в почте и CRM копятся лишние заявки, менеджеры тратят время на проверку и перестают доверять поступлениям.
Вторая проблема серьёзнее: через незащищённую форму можно рассылать письма от имени вашего домена. Тогда страдает репутация почты, и настоящие письма клиентам попадают в спам.
Слои защиты от лёгких к жёстким
Скрытое поле-ловушка
В форму добавляют поле, невидимое человеку. Люди его не заполняют, а программы заполняют все поля подряд. Если оно не пустое, заявка отбрасывается.
Проверка времени заполнения
Человек не отправляет форму за секунду после загрузки страницы. Слишком быстрые отправки блокируются.
Ограничение частоты
Не больше нескольких заявок с одного адреса в час. Это защищает и от массовых атак.
Проверка на сервере
Все данные проверяются повторно на сервере: формат телефона, длина, запрещённые символы. Проверки только в браузере легко обойти.
Невидимая капча
Современные решения оценивают поведение и показывают задание только подозрительным посетителям.
Фильтр содержимого
Сообщения со ссылками, повторами и стоп-словами уходят в отдельную папку на проверку, а не удаляются.
Как не навредить настоящим клиентам
- Не требуйте решать картинки на каждой заявке
- Не отбрасывайте подозрительные заявки молча — храните их несколько дней
- Проверяйте форму с телефона и со слабым интернетом
- Телефон проверяйте мягко: принимайте записи с пробелами и скобками
- Не усложняйте форму лишними полями — это снижает конверсию больше, чем спам
- Раз в неделю смотрите папку отклонённых заявок и находите ложные срабатывания
Что защищать кроме форм
- Регистрация и вход
- Ограничьте число попыток входа и включите вторую проверку для администраторов.
- Комментарии и отзывы
- Модерация перед публикацией и запрет ссылок для новых пользователей.
- Подписка на рассылку
- Двойное подтверждение адреса защищает от чужих адресов и жалоб на спам.
Спам в форме — повод проверить и безопасность
Если форма отправляет письма, убедитесь, что адрес получателя нельзя подменить через поля формы. Это распространённая уязвимость старых скриптов, из-за которой через сайт рассылают спам.
Как выбрать капчу
Невидимые капчи от крупных поставщиков хорошо справляются с ботами, но передают данные о посетителях сторонним сервисам. Это нужно учитывать в политике конфиденциальности и в согласии на обработку персональных данных.
Если аудитория чувствительна к приватности или нужно хранение данных в Казахстане, подойдут решения без внешних сервисов: ловушки, ограничения частоты и проверка на сервере закрывают большую часть угроз. Для высоконагруженных сайтов добавляют защиту на уровне сети.
Как понять, что защита настроена правильно
После настройки отправьте несколько тестовых заявок с телефона и компьютера: обычную, очень быструю и с ссылкой в тексте. Первая должна дойти, две других попасть в журнал отклонённых. Если страдают настоящие заявки, смягчите правила и смотрите на статистику.
Через неделю сравните число заявок и долю спама. Цель не нулевой спам любой ценой, а чтобы менеджеры не тратили время на мусор и не пропускали клиентов. Небольшое количество спама, пропущенного защитой, лучше потерянной живой заявки.