Identifier et freiner l'abus des formulaires d'un site web

Sans raison apparente, vous commencez à recevoir des dizaines (voire des centaines) d'e-mails du type « Mail delivery error » et, en examinant leur contenu, vous voyez qu'il s'agit de rejets provenant de toutes sortes d'adresses différentes.

Une cause possible est l'abus automatisé d'un formulaire qui envoie des confirmations à l'adresse saisie. Les rebonds peuvent aussi être falsifiés ou provenir d'un autre script, d'un compte ou d'une tâche ; ils ne permettent donc pas à eux seuls d'attribuer l'origine.

Examinez les en-têtes d'un message, le suivi de distribution, l'expéditeur réel et les journaux web de la même heure. Identifiez l'URL et l'application précises avant d'installer des composants ou de bloquer du trafic.

L'avis Mail delivery error décrit un problème de distribution, mais le message doit être comparé aux journaux pour confirmer si l'envoi est réellement parti de votre compte.

Mettez à jour l'application, le thème et leurs extensions, désactivez les formulaires que vous n'utilisez pas et protégez chaque point confirmé par une validation côté serveur et des limites de fréquence. Un CAPTCHA ou reCAPTCHA peut réduire les bots, mais produit aussi des faux positifs et ne corrige pas les vulnérabilités.

Si vous utilisez reCAPTCHA, limitez les clés au domaine, gardez le secret uniquement sur le serveur et vérifiez-y chaque réponse. Testez le formulaire avec des utilisateurs légitimes, une confidentialité renforcée, des bloqueurs et des appareils mobiles.

Choisissez une intégration maintenue et compatible avec la version actuelle de votre application. N'installez pas de plugins ou de modules d'après un ancien guide sans vérifier d'abord leur publication officielle, leur maintenance et leurs permissions.

Éviter que le formulaire serve à envoyer du spam à des tiers

Limitez les destinataires choisis par le visiteur. Dans une confirmation automatique, évitez de renvoyer du contenu libre, des liens ou des pièces jointes saisis par lui vers une adresse non vérifiée. La validation doit avoir lieu avant d'enregistrer la demande ou d'envoyer un e-mail, y compris pour les requêtes directes vers l'endpoint.

Testez un envoi légitime et un autre sans la validation nécessaire ; vérifiez ensuite la file d'attente et le suivi de distribution. Si vous contenez l'abus en désactivant une fonction, proposez un contact alternatif et ne la réactivez qu'après avoir corrigé et testé le point d'entrée.