Identificar e travar o abuso dos formulários de um site

Sem motivo aparente, começa a receber dezenas (ou até centenas) de emails do tipo "Mail delivery error" e, ao rever o seu conteúdo, vê que se trata de devoluções de todo o tipo de endereços diferentes.

Uma causa possível é o abuso automatizado de um formulário que envia confirmações para o endereço introduzido. As devoluções também podem ser falsificadas ou provir de outro script, de uma conta ou de uma tarefa, pelo que não permitem, por si sós, atribuir a origem.

Reveja os cabeçalhos de uma mensagem, o rastreio de entrega, o remetente real e os registos web da mesma hora. Identifique o URL e a aplicação concretos antes de instalar componentes ou bloquear tráfego.

O aviso Mail delivery error descreve um problema de entrega, mas a mensagem deve ser confrontada com os registos para confirmar se o envio saiu realmente da sua conta.

Atualize a aplicação, o tema e as suas extensões, desative os formulários que não usa e proteja cada ponto confirmado com validação no servidor e limites de frequência. O CAPTCHA ou o reCAPTCHA podem reduzir os bots, mas também produzem falsos positivos e não corrigem vulnerabilidades.

Se usar o reCAPTCHA, restrinja as chaves ao domínio, guarde o segredo apenas no servidor e verifique aí cada resposta. Teste o formulário com utilizadores legítimos, privacidade reforçada, bloqueadores e dispositivos móveis.

Escolha uma integração mantida e compatível com a versão atual da sua aplicação. Não instale plugins ou módulos a partir de um guia antigo sem rever antes a sua publicação oficial, manutenção e permissões.

Evitar que o formulário sirva para enviar spam a terceiros

Limite os destinatários que o visitante decide. Numa confirmação automática, evite devolver conteúdo livre, ligações ou anexos introduzidos por ele para um endereço não verificado. A validação deve ser feita antes de guardar o pedido ou enviar email, também em pedidos diretos ao endpoint.

Teste um envio legítimo e outro sem a validação necessária; reveja depois a fila e o rastreio de entrega. Se travar o abuso desativando uma função, ofereça um contacto alternativo e reative-a só depois de corrigir e testar o ponto de entrada.