ข้อความสแปม · CAPTCHA

วิธีป้องกันสแปมในฟอร์มติดต่อมีอะไรบ้าง

การป้องกันสแปมได้ผลดีเมื่อใช้หลายวิธีซ้อนกัน มากกว่าพึ่งกลไกเดียว ลำดับที่ลดความไม่สะดวกของลูกค้าคือใช้วิธีที่ลูกค้ามองไม่เห็นก่อน ถ้ายังมีสแปมเยอะค่อยเพิ่ม CAPTCHA

ไม่ว่าวิธีไหน ต้องให้เซิร์ฟเวอร์ตรวจผลซ้ำอีกครั้ง ถ้าติด CAPTCHA ไว้บนหน้าจอแต่เซิร์ฟเวอร์ไม่ตรวจผล โปรแกรมอัตโนมัติจะข้ามหน้าจอแล้วส่งข้อความตรงไปที่เซิร์ฟเวอร์

ช่องทางที่สแปมเข้ามาไม่ได้มีแค่ฟอร์มติดต่อ ที่อยู่อีเมลที่เขียนไว้บนเว็บไซต์ตรง ๆ มักถูกโปรแกรมอัตโนมัติดึงไปใส่รายชื่อส่งอีเมลสแปม ถ้าจำเป็นต้องแสดงที่อยู่อีเมล ให้มีฟอร์มติดต่อควบคู่ และเปิดตัวกรองสแปมของบริการอีเมลไว้

Honeypot ป้องกันสแปมอย่างไร

Honeypot คือวิธีซ่อนช่องกรอกที่คนมองไม่เห็นไว้หนึ่งช่อง แล้วทิ้งข้อความที่ช่องนั้นถูกกรอก คนมองไม่เห็นจึงปล่อยว่าง ส่วนโปรแกรมที่กรอกทุกช่องอัตโนมัติก็ติดกับ

ข้อดีคือลูกค้าไม่ต้องทำอะไรเลย จึงไม่สะดวกน้อยที่สุด แต่ต้องซ่อนช่องนี้จากเทคโนโลยีช่วยเหลือด้วย เพื่อไม่ให้ลูกค้าที่ใช้โปรแกรมอ่านหน้าจอได้ยินแล้วกรอกช่องนั้น

Honeypot ได้ผลดีกับโปรแกรมอัตโนมัติธรรมดา แต่โปรแกรมที่อ่านหน้าจอเหมือนเบราว์เซอร์จริงหลบได้ จึงมักใช้คู่กับการจำกัดจำนวนครั้งการส่งหรือ CAPTCHA

ถ้าสแปมที่เข้ามาส่วนใหญ่เป็นโฆษณาอัตโนมัติธรรมดา แค่ Honeypot กับการจำกัดจำนวนครั้งการส่งก็ลดได้พอสมควร ลูกค้าไม่ต้องลำบากอะไรเลย จึงควรลองก่อนติด CAPTCHA

reCAPTCHA กับ Turnstile ต่างกันอย่างไร

ทั้งสองเป็นบริการ CAPTCHA ที่แยกคนออกจากโปรแกรมอัตโนมัติ reCAPTCHA ให้บริการโดย Google ส่วน Turnstile ให้บริการโดย Cloudflare และทั้งสองรองรับวิธีประเมินเบื้องหลังที่ให้ลูกค้าส่วนใหญ่ผ่านไปได้โดยไม่ต้องแก้โจทย์

เอกสารแนะนำของ reCAPTCHA กำลังย้ายไปอยู่ฝั่งบริการ Google Cloud ฟังก์ชันที่ใช้ได้และเงื่อนไขค่าบริการจึงอาจเปลี่ยน ส่วน Turnstile แจ้งว่าใช้กับเว็บไซต์ที่ไม่ได้ผ่าน Cloudflare ก็ได้ ไม่ว่าจะเลือกแบบไหน ให้ตรวจเงื่อนไขปัจจุบันในเอกสารทางการก่อนติดตั้ง

ทั้งสองบริการประมวลผลข้อมูลผู้เข้าชมในขั้นตอนการตรวจ เวลาติดตั้งจึงต้องพิจารณาด้วยว่าต้องเขียนเรื่องการใช้บริการภายนอกไว้ในนโยบายความเป็นส่วนตัวหรือไม่

ติดตั้งระบบป้องกันสแปมในฟอร์มติดต่อตามลำดับไหน

การป้องกันสแปมควรดูก่อนว่า “ตอนนี้มีสแปมแบบไหนเข้ามาเท่าไร” แล้วติดตั้งเท่าที่จำเป็น ถ้าติดกลไกที่แรงที่สุดตั้งแต่แรก อาจบล็อกลูกค้าจริงไปด้วย

หลังติดตั้งแล้ว ต้องตรวจเป็นครั้งคราวว่าข้อความติดต่อจริงไม่ถูกบล็อก ถ้าได้ยินว่า “ส่งข้อความไปแล้วไม่มีคำตอบ” ให้ตรวจก่อนว่าติดการตั้งค่า CAPTCHA หรือกฎการตรวจเนื้อหาหรือเปล่า

1. 01ดูข้อความติดต่อล่าสุด แล้วสรุปว่าสแปมเข้ามาวันละกี่รายการ เนื้อหาแบบไหน
2. 02ติดตั้งวิธีที่ลูกค้ามองไม่เห็นอย่าง Honeypot และการจำกัดจำนวนครั้งการส่งก่อน
3. 03ถ้ายังมีสแปมเยอะ เพิ่ม CAPTCHA อย่าง Turnstile หรือ reCAPTCHA
4. 04ตั้งค่าให้เซิร์ฟเวอร์ตรวจผล CAPTCHA ซ้ำอีกครั้ง
5. 05ลองส่งข้อความติดต่อจริงด้วยมือถือและคอมพิวเตอร์ แล้วตรวจว่าเข้ามาปกติ
6. 06ตรวจด้วยว่าอีเมลแจ้งเตือนการติดต่อไม่ไปอยู่ในกล่องสแปม
7. 07ดูจำนวนสแปมสักหลายสัปดาห์ แล้วปรับการตั้งค่า

รู้ได้อย่างไรว่าข้อความสแปมเป็นการหลอกลวง

ข้อความหลอกลวงส่วนใหญ่ทำให้กลัวหรือเร่งให้รีบ ตัวอย่างที่พบบ่อยคือข้อความอย่าง “จะฟ้องเรื่องละเมิดลิขสิทธิ์ ให้ตรวจไฟล์แนบ” “รับประกันอันดับ 1 ในการค้นหา” “พบช่องโหว่ในเว็บไซต์ ให้จ่ายเงิน”

หลายครั้งเป้าหมายคือให้เปิดไฟล์แนบหรือกดลิงก์ แม้เนื้อหาจะดูน่าเชื่อ ก็อย่ากดลิงก์ในข้อความ ให้ตรวจเองผ่านเว็บไซต์ทางการหรือเบอร์โทรที่รู้อยู่แล้ว

ข้อความหลอกลวงส่วนใหญ่ส่งประโยคคล้าย ๆ กันไปยังหลายร้าน ถ้าลองค้นหาบางส่วนของประโยคที่ได้รับ มักเจอโพสต์ของคนอื่นที่ได้รับข้อความเดียวกัน

ถ้าได้รับ SMS · อีเมลที่น่าสงสัย หรือกดลิงก์ไปแล้ว สอบถามได้ที่สายปรึกษา 118 ของ KISA Boho Nara (ในเกาหลี) ถ้ามีบริษัทดูแล ให้แจ้งไปพร้อมกันเพื่อตรวจว่าฝั่งเว็บไซต์ไม่มีปัญหา

ความผิดพลาดที่พบบ่อยเวลาติดตั้งระบบป้องกันสแปมมีอะไรบ้าง

ความผิดพลาดที่อันตรายที่สุดคือปล่อย “อีเมลตอบกลับอัตโนมัติ” ของฟอร์มติดต่อไว้แบบเดิม ถ้าโปรแกรมอัตโนมัติใส่อีเมลของคนอื่นแล้วส่งฟอร์ม เว็บไซต์ของเราจะส่งอีเมลไปหาคนนั้น และอีเมลของเราอาจถูกตีตราว่าเป็นผู้ส่งสแปม

เวลาฝากบริษัท ให้ถามด้วยว่าไม่ใช่แค่ฟอร์มติดต่อ แต่ทุกจุดที่รับข้อความ เช่น ฟอร์มจอง · สมัครสมาชิก · ความคิดเห็น ถูกป้องกันไว้หรือไม่ Google ก็แนะนำให้มีกลไกอย่าง CAPTCHA และการตรวจทานในจุดที่ผู้ใช้เขียนข้อความได้

ถ้ารับแจ้งเตือนการติดต่อทางอีเมลหลักเพียงอีเมลเดียว ข้อความติดต่อจริงมักจมอยู่ท่ามกลางสแปม ถ้าให้ข้อความติดต่อเก็บเป็นรายการในหน้าผู้ดูแลด้วย หรือเพิ่มช่องทางรับแจ้งเตือนอีกช่องทาง ข้อความที่พลาดจะลดลง

• ติด CAPTCHA ไว้แค่บนหน้าจอ แต่เซิร์ฟเวอร์ไม่ได้ตรวจ
• ตั้งค่าแรงเกินไปจนลูกค้าจริงส่งข้อความติดต่อไม่ได้
• ป้องกันแค่ฟอร์มติดต่อ แต่ปล่อยฟอร์มจอง · สมัครสมาชิก · ความคิดเห็นไว้
• ใส่ข้อความที่ลูกค้าเขียนลงในอีเมลตอบกลับอัตโนมัติตรง ๆ
• ตั้งค่าแล้วไม่ได้ลองส่งข้อความติดต่อเองเพื่อตรวจสอบ