Спам-заявки · капча

Какие есть способы защитить форму обратной связи от спама?

Защита от спама работает лучше, если сочетать несколько методов, а не полагаться на один. Меньше всего неудобств клиентам, если сначала использовать незаметные методы и добавлять капчу, только если спама всё равно много.

Какой бы метод ни использовался, проверку нужно повторять на сервере. Если поставить капчу на страницу, но не проверять её результат на сервере, бот просто пропустит страницу и отправит данные напрямую на сервер.

Спам приходит не только через форму. Адрес почты, указанный прямо на сайте, боты легко собирают и вносят в спам-рассылки. Если показывать почту необходимо, разместите рядом форму обратной связи и включите спам-фильтр в почтовом сервисе.

Как ханипот защищает от спама?

Ханипот — это скрытое поле ввода, невидимое человеку: заявки с заполненным полем отбрасываются. Человек его не видит и оставляет пустым, а программа, которая автоматически заполняет все поля, попадается.

Плюс в том, что клиенту ничего не нужно делать, — неудобств нет совсем. Но поле нужно скрыть и от вспомогательных технологий, чтобы клиенты с программами экранного доступа не прочитали и не заполнили его.

Ханипот хорошо работает против простых ботов, но программы, читающие страницу как настоящий браузер, могут его обойти. Поэтому его часто сочетают с ограничением числа отправок или капчей.

Если большая часть спама — простая автоматическая реклама, одних ханипота и ограничения отправок может хватить, чтобы его заметно сократить. Клиентам это не доставляет неудобств, поэтому стоит попробовать до установки капчи.

Чем reCAPTCHA отличается от Turnstile?

Оба — сервисы капчи, отличающие людей от ботов. reCAPTCHA предоставляет Google, Turnstile — Cloudflare, и оба поддерживают фоновую оценку, при которой большинство клиентов проходит проверку, не решая задач.

Документация reCAPTCHA переезжает в Google Cloud, поэтому доступные функции и условия оплаты могут меняться. О Turnstile сообщается, что его можно подключить и к сайтам, не работающим через Cloudflare. В любом случае перед подключением проверьте текущие условия в официальной документации.

Оба сервиса в ходе проверки обрабатывают данные посетителей. Поэтому при подключении проверьте и то, нужно ли указать в политике конфиденциальности использование внешнего сервиса.

В каком порядке подключать защиту от спама к форме?

Защиту от спама лучше добавлять по мере необходимости, посмотрев, «какой спам и сколько приходит сейчас». Если сразу поставить самую жёсткую защиту, можно отсечь и настоящих клиентов.

И после подключения время от времени проверяйте, не блокируются ли настоящие заявки. Если слышите «отправил заявку, а ответа нет», сначала проверьте, не сработали ли настройки капчи или правила проверки содержимого.

1. 01Посмотрите последние заявки и выясните, сколько спама приходит в день и какого содержания.
2. 02Сначала подключите незаметные клиентам методы — ханипот и ограничение числа отправок.
3. 03Если спама всё равно много, добавьте капчу вроде Turnstile или reCAPTCHA.
4. 04Настройте повторную проверку результата капчи на сервере.
5. 05Сами отправьте настоящие заявки с телефона и компьютера и проверьте, доходят ли они.
6. 06Проверьте и то, что письма-уведомления о заявках не попадают в спам.
7. 07Несколько недель следите за числом спам-сообщений и корректируйте настройки.

Как распознать мошенничество среди спам-заявок?

Мошеннические заявки чаще всего пугают или торопят. Типичные примеры: «Подадим в суд за нарушение авторских прав, откройте вложение», «Гарантируем 1-е место в поиске», «Мы нашли уязвимость на вашем сайте — платите».

Часто цель — заставить открыть вложение или нажать ссылку. Даже если текст правдоподобен, не переходите по ссылкам из заявки, а проверяйте сами через известный вам официальный сайт или телефон.

Мошенники обычно рассылают почти одинаковый текст множеству заведений. Если поискать часть полученного текста, часто находятся сообщения других людей, получивших то же самое.

Если вы получили подозрительное SMS или письмо или уже нажали ссылку, можно проконсультироваться по телефону 118 — горячей линии KISA Bohonara. Если у вас есть подрядчик, сообщите и ему, чтобы проверить, нет ли проблем на стороне сайта.

Какие ошибки чаще всего совершают при подключении защиты от спама?

Самая опасная ошибка — оставить «автоответ» формы как есть. Если бот отправит форму с чужим адресом почты, ваш сайт отправит письмо этому человеку, и ваш адрес может попасть в списки рассыльщиков спама.

Поручая защиту подрядчику, спросите, защищены ли все места, где можно оставить текст, — не только форма заявки, но и форма записи, регистрация, комментарии. Google тоже советует ставить капчу и модерацию там, где пользователи оставляют тексты.

Если получать уведомления о заявках только на одну основную почту, настоящие заявки легко теряются среди спама. Если заявки также сохраняются списком в админ-панели или уведомления приходят ещё в одно место, пропусков будет меньше.

• Капча стоит только на странице, а на сервере не проверяется
• Настройки слишком жёсткие, и настоящие клиенты не могут отправить заявку
• Защищена только форма заявки, а форма записи · регистрация · комментарии — нет
• В автоответ дословно вставляется текст, который написал клиент
• После настройки никто не проверил, отправив заявку сам