İletişim Formu Spam Nasıl Durdurulur? Müşteriyi Yormayan Yöntemler

İletişim formu spam nasıl durdurulur?

İletişim formu spamını durdurmanın en güvenilir yolu tek bir engel değil, katmanlı bir düzendir. Önce spamın nereden geldiğini teşhis edin. Ardından gizli tuzak alan, zaman kontrolü, sunucu tarafı doğrulama, hız sınırı ve gerekirse arka planda çalışan bir doğrulama hizmeti ekleyin. Her katmanı gerçek müşteriyi yormayacak sırayla kurun.

Bu sıra önemlidir, çünkü her katmanın ziyaretçiye bir bedeli vardır. Gizli tuzak alan kimseyi yormaz. Görsel bir bulmaca ise gerçek müşteriyi vazgeçirebilir. Dolayısıyla en sessiz önlemlerle başlar, yalnızca gerekirse ağırlaştırırsınız.

Yazının geri kalanı bu planı şu sırayla açıyor:

1. Teşhis: Spam formdan mı geliyor, bot mu gönderiyor, tekrar eden bir kalıp var mı?
2. Sessiz katmanlar: gizli tuzak alan ve zaman kontrolü.
3. Sunucu tarafı doğrulama, gönderim hız sınırı ve bağlantı filtresi.
4. Gerekirse arka planda çalışan doğrulama hizmeti ve gizlilik etkisi.
5. Test: Gerçek müşteri mesajının kaybolmadığını kanıtlamak.

Spam şu anda çok yoğunsa bugün üç geçici adımla rahatlayabilirsiniz:

• Otomatik teşekkür e-postasını geçici olarak kapatın. Böylece formunuz başkalarına e-posta yollatmak için kullanılamaz.
• Bildirimleri ayrı bir klasöre düşüren bir posta kuralı kurun.
• Gönderimlerin yalnızca e-postada değil, panelde de saklandığından emin olun.

İletişim formu spam neden artar ve botlar formunuzu nasıl bulur?

İletişim formu spam saldırıları siteleri tek tek seçmez. Web'de dolaşan otomatik programlar sayfa kodunda form arar ve bulduğu her forma bir mesaj göndermeyi dener. Bu yüzden küçük bir işletme sitesi de hedef olur. Formunuzun herkese açık olması yeterlidir.

Saldırganın amacı çoğu zaman şunlardan biridir:

• Bağlantı yerleştirmek: Mesaj bir yerde yayımlanırsa ya da siz bağlantıya tıklarsanız saldırgan kazanç sağlar.
• Adres toplamak: Yanıt verdiğiniz her e-posta, listelerine canlı bir adres ekler.
• Formu araç yapmak: Otomatik yanıt gönderen bir formu, başkalarına e-posta yollatmak için kullanırlar.
• Açık kapı aramak: Bazı botlar korumasız formları listeler ve sonra geri döner.

OWASP'ın Automated Threats to Web Applications projesi, web uygulamalarının her gün istenmeyen otomatik kullanımla karşılaştığını anlatıyor. Yani sorun sizin sitenize özgü değildir.

Çözümü sonradan eklemek yerine formu baştan doğru kurmak çok daha kolaydır. Kurumsal web tasarım hizmetimizde form alanlarını, doğrulamayı ve kayıt altyapısını birlikte planlarız. Böylece spam geldiğinde müdahale edecek zemin hazır olur.

Spam gerçekten formdan mı geliyor, yoksa sayfadaki e-posta adresinden mi?

Teşhisin ilk adımı, iletişim formu spamının giriş kapısını bulmaktır. Çünkü yanlış kapıyı kapatırsanız emek boşa gider. Örneğin sayfada açık yazan e-posta adresine gelen mesajlar için form korumasının hiçbir etkisi olmaz.

Şu sırayla kontrol edin:

1. Bildirim e-postasının gönderen adresine bakın. Form mesajı sitenizin kendi sistemiyle iletiyorsa gönderen çoğu zaman kendi alan adınızdır.
2. Konu satırını karşılaştırın. Formunuzun otomatik bir konu kalıbı varsa form kaynaklı spam da aynı kalıbı taşır.
3. Mesajı form kayıtlarında arayın. Kayıtta yoksa mesaj büyük olasılıkla doğrudan adresinize gelmiştir.
4. Sitedeki bütün formları sayın. Eski bir açılış sayfasındaki, bülten kaydındaki ya da açılan penceredeki form korumasız kalmış olabilir.

Örnek senaryo: Bildirimlerin hepsi sitenizin gönderen adresinden ve aynı konu kalıbıyla geliyor. Bu, mesajların formdan geçtiğini gösterir. Gönderen adresi tanımadığınız bir alan adıysa mesaj formu hiç görmemiş, doğrudan posta kutunuza ulaşmıştır.

Çoğu durumda sebep, gözden kaçan ikinci bir formdur. Ana iletişim formunu korursunuz, ama spam başka bir formdan akmaya devam eder. Bu yüzden korumaya başlamadan önce tüm giriş noktalarını listeleyin.

Mesajlar doğrudan adresinize geliyorsa sayfadaki adresi forma çevirmek ya da ayrı bir takma adres kullanmak işe yarar. Bu durumda posta sağlayıcınızın filtre ayarları da ilk savunma hattınızdır. Mesajlar formdan geliyorsa okumaya devam edin.

Spamı bot mu gönderiyor, yoksa bir insan mı elle yazıyor?

Bu ayrım, hangi önlemin işe yarayacağını belirler. Botlar hızlıdır ve kalıpla çalışır. İnsanlar ise yavaştır ve her mesajı biraz farklı yazar.

• Bot izi: Aynı metnin ya da küçük değişikliklerle tekrar eden metnin saniyeler içinde gelmesi, rastgele görünen isimler ve çok sayıda bağlantı.
• İnsan izi: Sitenizdeki bir cümleye atıf yapıp sonra genel bir reklam teklifine dönen mesajlar; arama motoru, bağlantı satışı ya da tasarım hizmeti teklifleri.
• Karışık iz: Hazır şablonları insanların elle yapıştırdığı mesajlar.

Bunun pratik sonucu şudur: Gizli tuzak alan ve zaman kontrolü botları yakalar, ama elle yazan insanı yakalamaz. Doğrulama hizmetleri de çoğu zaman insanı durdurmaz, çünkü insan bulmacayı çözebilir. Elle gelen teklifler için ayrı bir yol gerekir; bunu aşağıda ele alıyoruz.

Mesajlardaki kalıp, saat ve ülke izleri neyi gösterir?

Birkaç mesajı yan yana koyduğunuzda iletişim formu spam kalıpları belirginleşir. Bu işi basit bir tabloyla yapın: tarih, saat, mesajın ilk cümlesi, bağlantı sayısı ve varsa gönderen IP adresi.

• Saat aralığı: Dakikalar içinde gelen bir yığın, otomatik bir çalışmaya işaret eder.
• Ülke ya da ağ: Aynı IP bloğundan gelen tekrarlar kaynağı daraltır.
• Bağlantı içeriği: Hep aynı alan adlarına giden bağlantılar tek bir kampanyayı gösterir.
• Ortak e-posta alan adı: Farklı isimlerle gelen mesajların aynı alan adını kullanması şüphe uyandırır.

Ziyaretçinin IP adresini form eklentinizin kayıtlarından alın. E-postanın başlığındaki adres çoğunlukla kendi sunucunuzundur, ziyaretçinin adresi değildir. Bir IP adresinin hangi ülkeye ve ağa ait olduğunu görmek için ücretsiz IP sorgulama aracımızı kullanabilirsiniz.

Ancak yalnızca IP'ye bakıp engellemeyin. Ortak ağlar, ofisler ve VPN kullanan gerçek müşteriler aynı adresi paylaşabilir. Bu kayıtlar asıl olarak eşik belirlerken işinize yarar: Gerçek mesajlarınızla spam örneklerini karşılaştırdığınızda hangi sinyalin ayırt edici olduğunu görürsünüz.

Spam yüzünden formu kaldırıp yalnızca e-posta adresi yazsanız olmaz mı?

Olmaz, çünkü bu spamı bitirmez, yalnızca kanalı değiştirir. Sayfada açık yazan bir adres, otomatik programların kolayca toplayabileceği bir hedeftir. Üstelik form olmadan hız sınırı, kayıt tutma ve filtre gibi katmanları da kuramazsınız.

• Form: Adresinizi gizler, alanları sınırlar ve gönderimleri kayıt altına alır.
• Açık adres: Her bot ve her insan doğrudan yazabilir, filtreyi yalnızca posta sağlayıcınızda kurarsınız.
• İkinci yol: Telefon ya da mesajlaşma bağlantısı, formu aşamayan gerçek müşteriye çıkış sağlar.

Dolayısıyla amaç formu kaldırmak değildir. Amaç, iletişim formu spam oranını düşürürken gerçek müşteriye açık bir yol bırakmaktır.

Katmanlı savunma nasıl çalışır ve hangi sırayla kurulur?

Hiçbir yöntem kusursuz değildir. Bu yüzden her katman spamın bir kısmını yakalar, kaçanı bir sonraki katman karşılar. Sıralama ölçütü ise ziyaretçiye yüklenen zahmettir. Tablo bu sırayı özetliyor.

Kural basit: Sessiz katmanları önce, ziyaretçinin fark ettiği katmanları sonra kurun. Ayrıca her katmanı eklediğinizde gerçek bir test mesajı gönderin. Çünkü yük sütunundaki yok ifadesi, ziyaretçinin bir şey fark etmediği anlamına gelir; katmanın doğru çalıştığını göstermez.

Gizli tuzak alan (honeypot) iletişim formu spam botlarını nasıl yakalar?

Gizli tuzak alan, forma eklenen ve gerçek ziyaretçinin hiç görmediği ekstra bir alandır. Basit botlar formdaki her alanı doldurur. Tuzak alan dolu gelirse gönderimi şüpheli sayarsınız. Ziyaretçiye hiçbir iş yüklemediği için en az yoran katmandır.

Örnek senaryo: Formda gerçek alanların yanında gizli bir web sitesi alanı olsun. İnsan bu alanı hiç görmez. Bot ise alan adını görüp oraya bir bağlantı yazar ve kendini ele verir.

Fikir basit, ama uygulamada dört ayrıntı fark yaratır:

• Alanı gerçek ziyaretçiden gizleyin, ancak ekran okuyucunun da atlayacağı biçimde gizleyin. Aksi halde ekran okuyucu, görme engelli kullanıcıya anlamsız bir alanı okur.
• Klavyeyle Tab tuşuna basan kullanıcı o alana odaklanamamalıdır.
• Alana, tarayıcının otomatik doldurma özelliğinin tanımayacağı sıradan bir ad verin. Tarayıcı alanı adres ya da telefon sanıp doldurursa gerçek müşteriyi yanlışlıkla elersiniz.
• Tuzak dolduğunda mesajı sessizce atmayın; kayıtta şüpheli diye işaretleyin.

Sınırı da bilin. Sayfayı gerçek bir tarayıcı gibi çalıştıran gelişmiş botlar bu alanı atlayabilir. Yine de maliyeti sıfıra yakın olduğu için ilk katman olarak kurmaya değer. Kodunu burada vermiyoruz; alanı şablona eklemek bir geliştiricinin ya da bizim işimizdir.

Zaman kontrolü çok hızlı gönderilen formu nasıl ayıklar?

İnsan formu doldurmak için zaman harcar, bot ise formu çoğu zaman anında gönderir. Zaman kontrolü, formun sayfaya yüklendiği anı kaydeder ve gönderim anıyla karşılaştırır. Aradaki süre gerçekçi olmayacak kadar kısaysa gönderimi şüpheli sayarsınız.

• Eşiği kendi formunuzla belirleyin. Formu dikkatli ama hızlı doldurup süreyi ölçün, eşiği bu sürenin belirgin biçimde altına koyun. Sabit bir sayı vermiyoruz, çünkü süre form uzunluğuna göre değişir.
• Otomatik doldurmayı ve parola yöneticilerini hesaba katın. Bunlar formu çok hızlı doldurur. Bu yüzden çok hızlı sinyalini kesin ret yerine puan olarak kullanın.
• Üst sınır da koyun. Zaman damgasına bir geçerlilik süresi tanımlayın. Böylece eski bir sayfa kopyasından gelen gönderimleri de ayıklarsınız.
• Önbellek tuzağına dikkat edin. Sayfanız tam sayfa önbelleğe alınıyorsa zaman damgası eski kalabilir. Damgayı sayfa açılırken üretin ya da formdan ayrı bir istekle alın.

Özetle bu katman da ziyaretçinin gözünden uzaktadır ve erişilebilirlik sorunu yaratmaz. Ancak tek başına bırakmayın; bir sonraki katman olan sunucu doğrulamasıyla birlikte düşünün.

Sunucu tarafı doğrulama ve gönderim hız sınırı neden şart?

Tarayıcıda çalışan her kontrol atlatılabilir. Bir bot sayfayı hiç açmadan formun adresine doğrudan veri gönderebilir. Dolayısıyla asıl kararı sunucuda verirsiniz.

Doğrulama hizmetlerinin belgeleri de bunu söylüyor. Cloudflare Turnstile belgeleri, istemci tarafındaki bileşenin formlarınızı tek başına korumadığını ve sunucuda doğrulama çağrısı yapmanız gerektiğini yazıyor. hCaptcha belgeleri ise ön yüzdeki bir geri çağrının isteği yetkilendirmediğini belirtiyor.

• Zorunlu alanları, uzunlukları ve e-posta biçimini sunucuda yeniden denetleyin.
• Ad, konu ve e-posta gibi başlığa giren alanlarda satır sonu karakterlerini reddedin. Aksi halde saldırgan formunuzu kendi e-postalarını göndermek için kullanabilir.
• Aynı IP, aynı oturum ya da aynı e-posta için belirli bir sürede gönderim sayısını sınırlayın.
• Sınır aşılınca mesajı sessizce atmayın; kısa bir hata mesajı gösterin ve olayı kaydedin.

Örnek senaryo: Aynı IP adresinden kısa sürede art arda gelen gönderimleri yavaşlatın. Gerçek bir müşteri formu en fazla birkaç kez dener, bir bot ise çok daha sık dener. Ortak IP kullanan ofisleri düşünerek sınırı sert değil, esnek tutun.

Gönderene otomatik teşekkür ya da kopya e-postası yolluyorsanız ekstra dikkat edin. Botlar bu özelliği başkalarının adreslerine e-posta yollatmak için kullanabilir. Bu e-postayı yalnızca denetimden geçen gönderimlerde ve hız sınırıyla gönderin. Genel güvenlik çerçevesi için OWASP Top 10 web güvenlik açıkları rehberimize bakabilirsiniz.

Bağlantı ve kalıp filtresi gerçek müşteriyi kaybetmeden nasıl çalışır?

İletişim formu spam mesajlarının en ayırt edici özelliği çoğu zaman bağlantılarıdır. Gerçek bir müşteri genellikle en fazla kendi sitesini ya da bir ürün sayfasını paylaşır. Bu yüzden bağlantı sayısı iyi bir sinyaldir, ama tek başına karar sebebi olmamalıdır.

• Bağlantı sayısı: Eşiği kendi gerçek mesajlarınıza bakarak belirleyin. Örnek senaryo: Gerçek mesajlarınızın hiçbirinde birden fazla bağlantı yoksa, birden fazla bağlantıyı şüpheli sayabilirsiniz.
• Kalıp listesi: Gelen spamda tekrar eden ifadeleri listeleyin ve eşleşmeyi puana çevirin.
• Alan adı listesi: Spamda sürekli geçen alan adlarını işaretleyin.
• Karantina: Şüpheli mesajı silmeyin; ayrı bir klasörde ya da panelde şüpheli etiketiyle tutun.

Dil engeli gibi sert kurallardan kaçının. Yurt dışından gerçek bir müşteri başka bir dilde yazabilir. Puanlama yaklaşımı daha güvenlidir: Her sinyal bir puan ekler, yalnızca eşik aşılırsa mesaj karantinaya gider. Böylece tek bir bağlantı yüzünden gerçek müşteri kaybolmaz.

Elle gelen reklam ve teklif mesajlarını nasıl azaltırsınız?

Bazı mesajlar bot değil, gerçek bir insandan gelir. Gönderen, çok sayıda sitenin formuna aynı teklifi elle yapıştırır. Bu mesajlar spamın hafif türüdür ve teknik engellerden geçer. Çünkü gönderen bulmacayı çözebilir, tuzak alanı görmez ve yavaş yazar.

• Forma bir konu seçimi ekleyin. Örneğin teklif, destek ve diğer gibi seçenekler sunun; gelen kutunuzu bu seçime göre filtreleyin.
• Formun üstüne kısa bir yönlendirme yazın. Hangi tür başvuruları yanıtladığınızı açıkça söyleyin.
• Tekrar eden teklif kalıplarını filtre kuralına çevirin ve karantinaya yollayın.
• Kalan küçük paya alışın. Teknik bir yöntem, elle yazan her insanı elemez.

Bu noktada hedef sıfır mesaj değil, yönetilebilir bir gelen kutusudur. Gerçek müşteriyi yormadan bu dengeyi kurmak, form tasarımının da işidir.

Arka planda çalışan doğrulama hizmetleri ne zaman gerekir?

Önceki katmanlara rağmen spam sürüyorsa ya da saldırı yoğunsa bir doğrulama hizmeti düşünün. Google reCAPTCHA, Cloudflare Turnstile ve hCaptcha aynı temel mantığı izler. Çoğu kişi bu hizmetlere CAPTCHA der, yani ziyaretçinin insan olup olmadığını sınayan denetimlere. Ziyaretçinin tarayıcısı bir belirteç (token) üretir. Sunucunuz bu belirteci sağlayıcıya sorar ve yanıta göre gönderimi kabul ya da reddeder.

Resmi belgelerde üç hizmet için ortak noktalar açıkça yazıyor:

• Sunucu doğrulaması şarttır. Turnstile belgeleri istemci tarafındaki bileşenin formu tek başına korumadığını söylüyor.
• Belirteçler kısa ömürlüdür ve tek kullanımlıktır. Bunu Turnstile ve hCaptcha belgeleri yazıyor.
• Üçü de sayfanıza üçüncü taraf bir betik ekler. Bu betik sayfa hızınızı ve gizlilik yükünüzü etkiler, bu yüzden yalnızca formun bulunduğu sayfada yükleyin.

Bileşen sayfada duruyor ama spam sürüyorsa önce şunu kontrol edin: Sunucu doğrulaması gerçekten çalışıyor mu? Çoğu durumda sebep budur. Anahtarlar eşleşmiyor olabilir, doğrulama kapalı kalmış olabilir ya da spam korumasız başka bir formdan geliyor olabilir.

Google reCAPTCHA, Cloudflare Turnstile ve hCaptcha arasındaki farklar nelerdir?

Tablo yalnızca sağlayıcıların resmi belgelerinde doğruladığımız bilgilere dayanır. Plan, ürün adı ve koşullar sık değiştiği için güncel durumu sağlayıcının kendi sayfasından kontrol edin.

Hangi doğrulama hizmeti kimin için uygun olabilir?

Üç hizmetin de sunucu doğrulaması istediğini unutmayın. Fark ziyaretçi deneyiminde, veri akışında ve kurulumda ortaya çıkar. Aşağıdaki eşleştirmeler genel mantıktır, kural değildir.

• Google reCAPTCHA: Risk puanını kendi kurallarınıza bağlamak isteyen ve Google Cloud belgelerindeki kurulumu üstlenebilen ekiplere uyar. Puan eşiğini kendi gerçek ve spam örneklerinizle belirlemek size kalır.
• Cloudflare Turnstile: Bileşen türüyle (yönetilen, etkileşimsiz, gizli) ziyaretçi sürtünmesini ayarlamak isteyen sitelere uyar. Belgelerine göre Cloudflare üzerinden geçmeyen sitelerde de çalışır.
• hCaptcha: Erişilebilirlik seçeneklerini, örneğin metin tabanlı alternatifi, bilinçli biçimde açıp yönetmek isteyen sitelere uyar. Seçenekleri açıp açmamak sizin kararınızdır; sağlayıcının erişilebilirlik sayfası bunu açıkça belirtiyor.

Küçük bir işletme formu için pratik yol şudur: Önce üçüncü taraf gerektirmeyen katmanları kurun ve bir süre izleyin. Spam sürerse hizmetlerden birini gizli ya da etkileşimsiz modda deneyin. Seçimi en iyi hizmet diye değil, formunuza uyan hizmet diye yapın.

Görsel bulmacalı doğrulama engelli kullanıcıları nasıl dışlar?

W3C Erişilebilir Platform Mimarisi Çalışma Grubu, Inaccessibility of CAPTCHA (CAPTCHA'nın erişilemezliği) başlıklı bir taslak not yayımladı. Not, CAPTCHA'nın yalnızca bilgisayarla insanı ayırmadığını, çoğu zaman engelli kişilerin istenen işlemi yapmasını da engellediğini söylüyor.

• Görme engelli, az gören ve disleksili kullanıcılar çarpık harf görsellerini okumakta zorlanır.
• Sağır, işitme güçlüğü olan ya da işitsel işlemleme bozukluğu yaşayan kullanıcılar ses seçeneğini yazıya dökemez.
• Hem görme hem işitme engeli olan kullanıcılar için ses ve görüntü seçeneği birlikte kapanır.
• Bilişsel ve öğrenme güçlüğü olan kullanıcılar, birden çok deneme bekleyen tasarımla karşılaşır. Not, böyle bir tasarımı tartışmalı biçimde tasarım gereği erişilemez buluyor.
• Geleneksel bulmacalar, herkesin İngilizce kelimeleri okuyup yazabildiğini varsayar.

Notun sonucu net: Tek ve ideal bir çözüm yok. Yine de öneriler belli. Önce risk analizi yapın, etkileşimli bulmacaları en aza indirin, kullanıyorsanız alternatif zorluk türleri sunun ve etkileşimsiz yaklaşımları tercih edin. Not, etkileşimsiz yaklaşımların erişilebilirlik sorunu çıkarmadığını, ama kişisel veriyi açığa çıkarabileceğini de ekliyor.

Gizli tuzak alan ve zaman kontrolü bu etkileşimsiz yaklaşımlara örnektir. Doğrulama hizmeti seçerseniz formu yalnızca klavyeyle ve bir ekran okuyucuyla deneyin. Erişilebilirliğin temellerini web erişilebilirliği ve WCAG standartları rehberimizde topladık.

Doğrulama hizmeti kullanırsanız gizlilik bildirimi ve çerez onayı gerekir mi?

Bu bir hukuk sorusu olduğu için kesin hüküm vermiyoruz; yazı hukuki danışmanlık değildir, avukatınıza danışın. Yine de mantığı bilmek işinizi kolaylaştırır. Doğrulama hizmeti ziyaretçinin tarayıcısından sinyal toplar ve üçüncü bir tarafın sunucusuyla konuşur. Bu, bir kişisel veri akışı demektir.

• Aydınlatma metni ya da gizlilik bildirimi: Hizmetin adını, amacını ve verinin sağlayıcıya gittiğini yazın. Yurt dışına aktarım varsa bunu da belirtin.
• Çerez ve benzeri depolama: Sağlayıcıların belgeleri bu konuda farklı şeyler söyler. Google'ın SSS sayfası risk analizi için gerekli bir çerezden, hCaptcha'nın erişilebilirlik sayfası ise şifreli bir çerezden söz ediyor. Bunun onay gerektirip gerektirmediği hukuki bir değerlendirmedir.
• Çerez onay çubuğu: Doğrulama betiğini onaydan sonra yüklerseniz form, onay vermeyen ziyaretçiler için korumasız kalabilir. Bu yüzden üçüncü taraf gerektirmeyen katmanları baştan kurun.
• IP adresi: Doğrulama isteğine ziyaretçinin IP adresini eklemek Turnstile'da isteğe bağlı, hCaptcha'da önerilen bir alandır. Ekleyip eklemeyeceğinize bilinçli karar verin.

Genel çerçeveyi KVKK ve GDPR uyumlu web sitesi rehberimizde, sitede bulunması gereken bilgileri ise web sitesinde bulunması gereken zorunlu bilgiler yazımızda anlattık.

Hazır site kurucusu ya da form eklentisi kullanıyorsanız ne yapabilirsiniz?

Çoğu hazır platform ve form eklentisi bu katmanlardan bazılarını ayar olarak sunar. Ayarların adı ürüne ve sürüme göre değiştiği için buton adı vermiyoruz. Panelde ilgili ayarı arayın ve adını resmi yardım sayfasından doğrulayın.

1. Form ayarlarında gizli tuzak alan, hız sınırı ya da doğrulama hizmeti seçeneği var mı bakın.
2. Kayıt tutmayı açın. Gönderimleri yalnızca e-postada bırakmayın, panelde de saklayın.
3. Anahtarları eklediğiniz yerde doğrulamanın gerçekten zorunlu olduğunu bir test gönderimiyle sınayın.
4. Seçenekler yetersizse formu, kendi sunucu tarafı kurallarınızı çalıştırabileceğiniz bir yapıda yeniden kurun.

Platform kontrolü sınırlıyorsa ve sunucu tarafına kendi kurallarınızı ekleyemiyorsanız, platform değiştirmek de bir seçenektir. Bu süreci Wix sitesini taşıma ve alan adı transferi rehberimizde anlattık.

Güvenlik duvarı ve bot yönetimi iletişim formu spamına ne kadar yardım eder?

Güvenlik duvarı (WAF, yani web uygulama güvenlik duvarı) kötü trafiği formunuza varmadan süzer. Bilinen kötü kaynakları, aşırı istek gönderen adresleri ve anormal davranışı kısıtlayabilir. Yani hız sınırını sunucunun önünde uygulamanın bir yoludur.

• Faydası: Yoğun saldırıda sunucuyu rahatlatır ve kaba trafiği formdan önce keser.
• Sınırı: Temiz görünen bir kaynaktan gelen tek tek spam mesajları çoğu zaman geçer.
• Riski: Fazla sıkı bir kural, VPN kullanan ya da ortak ağdaki gerçek müşteriyi de engeller ve 403 hatası gösterebilir.

Kuralları ayarlarken kendi gerçek gönderimlerinizi farklı ağlardan deneyin. Güvenlik duvarının ne yaptığını ve 403 hatalarını ModSecurity ve WAF rehberimizde anlattık. Sunucu tarafındaki kuralları hosting sağlayıcınızla ya da bu işi yapan teknik ekiple birlikte kurun.

Form bildirim e-postaları neden spam klasörüne düşer?

Bu, spam sorununun tersidir: Formunuz çalışıyor, ama bildirim e-postası size ulaşmıyor. Gerçek müşterinin mesajı spam klasöründe kalırsa, spam koruması ne kadar iyi olursa olsun mesajı kaçırırsınız.

Sebep çoğunlukla gönderen kimliğidir. Site, mesajı alan adınız adına yollar. SPF, DKIM ve DMARC, e-postanın gerçekten sizden geldiğini kanıtlayan alan adı kayıtlarıdır. Bu kayıtlar gönderimi doğrulamıyorsa alıcı sağlayıcı e-postayı şüpheli sayar. Ayrıntılı kurulumu burada tekrar etmiyoruz.

• Kayıtları SPF DKIM DMARC kurulum rehberimizdeki adımlarla kurun.
• Kurulumu ücretsiz SPF DKIM DMARC kontrol aracımızla sınayın.
• WordPress kullanıyorsanız e-postaları kimlik doğrulaması yapan bir SMTP (e-posta gönderme) hesabı üzerinden gönderin. WP Mail SMTP kurulum rehberimiz adımları anlatıyor.

Test için formdan kendi başka bir adresinize mesaj gönderin ve iletinin ham başlıklarında doğrulama sonuçlarına bakın. Sonuçlar geçiyorsa sorun spam filtresinde değil, başka bir yerdedir.

Gerçek müşterinin mesajı kaybolmasın diye yanlış pozitifleri nasıl yönetirsiniz?

Her iletişim formu spam filtresi bazen gerçek bir mesajı da yanlışlıkla şüpheli sayar. Buna yanlış pozitif diyoruz. Koruma kurduktan sonra asıl risk, gerçek müşteriyi sessizce kaybetmektir. Bu yüzden bir güvenlik ağı kurun.

1. Her gönderimi yalnızca e-postaya değil, panele ya da veritabanına da kaydedin. Şüpheli olanları silmeyin, etiketleyin.
2. Her yeni önlemden sonra gerçek bir test mesajı gönderin: masaüstünden ve telefondan, otomatik doldurmayla ve doldurmadan.
3. Reddettiğiniz ziyaretçiye açık bir hata mesajı gösterin ve telefon ya da WhatsApp gibi ikinci bir yol sunun.
4. Haftalık kontrol yapın: Şüpheli klasörüne bakın ve içinde gerçek bir mesaj olup olmadığına göz atın.

Formun kendisi de sonucu etkiler. Daha kısa ve net bir form hem gerçek müşteriyi hem filtrenizi rahatlatır. Randevu, teklif ve demo formu tasarımı rehberimiz bu dengeyi anlatıyor.

İletişim formu spam savunmanızı hangi kontrol listesiyle test edersiniz?

Aşağıdaki liste, kurduğunuz katmanların gerçekten çalıştığını doğrulamanız için hazır bir sıradır.

• Spamın formdan mı, sayfadaki adresten mi geldiğini ayırın.
• Sitedeki bütün formların listesini çıkarın ve her birini koruyun.
• Gizli tuzak alanın ekran okuyucudan ve klavyeden gizli olduğunu doğrulayın.
• Zaman kontrolünün eşiğini kendi doldurma sürenize göre ayarlayın.
• Sunucuda alan, uzunluk ve satır sonu denetimini açın.
• Gönderim hız sınırını koyun ve ortak IP kullanan müşterileri düşünün.
• Şüpheli mesajları silmeyin, etiketleyin ve haftada bir gözden geçirin.
• Doğrulama hizmeti kullanıyorsanız sunucu doğrulamasının çalıştığını ve gizlilik bildiriminizin güncel olduğunu kontrol edin.
• Bildirim e-postalarının gelen kutusuna düştüğünü doğrulayın.
• Masaüstü, mobil ve yalnızca klavyeyle gerçek bir test mesajı gönderin.

Listeyi her önemli değişiklikten sonra yeniden çalıştırın. Çünkü bir eklenti, tema ya da güvenlik duvarı güncellemesi bu katmanları sessizce bozabilir.

Bu işi bizimle yapmak isterseniz nasıl ilerliyoruz?

Talha Aslan ve ekibi olarak web sitenizi tasarlar, kurar, taşır ve yönetiriz. Formunuzdaki spamı ele alırken önce örnek mesajlarınıza, sitenizin yapısına ve kullandığınız platforma bakarız. Ardından katmanları ziyaretçinizi yormayacak sırayla kurarız.

• Teşhis: Spam örneklerinizi, saatlerini ve sitedeki formları birlikte inceleriz.
• Kurulum: Gizli tuzak alanı, sunucu doğrulamasını, hız sınırını ve kayıt altyapısını sitenize uygularız.
• Doğrulama hizmeti: Gerekirse seçeneklerin artılarını ve eksilerini anlatır, kararı size bırakırız.
• Test: Gerçek bir mesajın farklı cihazlarda ulaştığını deneriz.

Projeniz için web sitesi tasarımı hizmet sayfamızdan teklif alın. Kapsamı ve fiyatı sitenizi gördükten sonra netleştiririz.