Saiba como proteger seus formulários usando duplo opt-in, CAPTCHA e Cloudflare.
Backstory
Acordei até 200 novos assinantes na newsletter do meu site,Vídeo.comO meu site finalmente virou viral?
Depois de verificar os novos assinantes, notei que ninguém tinha verificado seus endereços de e-mail, nem mesmo um, que definitivamente não é uma confiança.
Depois de algumas pesquisas rápidas, eu entendi que eu realmente tinha sido spam. mas todos os e-mails parecem legítimos.
[email protected]
[email protected]
[email protected]
[email protected]
Após algumas pesquisas iniciais (inserindo os e-mails emHÁBITOPEDIDO), parece que a maioria desses endereços de e-mail foram em algum tipo de hack ou violação.
Então, o que estava acontecendo?Como posso evitar isso no futuro?
Alguém decidiu usar endereços de e-mail comprometidos para spam meu formulário. Ou para poluir meu boletim informativo, para ver até onde eles poderiam ir, ou simplesmente porque eles podem?
O que aprendi
Quando fizer qualquer coisa publicamente disponível na internet, haverá spammers, haverá bots, e haverá pessoas tentando hackeá-lo.
Acontece que esse tipo de ataque de spam é mais comum do que você pensa (especialmente desde o meuNotícias do BlogOs bots navegam pela web e procuram formulários, geralmente boletins de notícias ou formulários de contato, e depois começam a enviar endereços de e-mail “leaked”.
Mas por que? aqui estão algumas razões que eu encontrei:
- Não
- Para contaminar sua lista de e-mails (se este é um ataque pessoal, o que eu não acho que é neste caso) Não
- Para verificar a validade dos e-mails?? Não
- Para irritar os proprietários de endereços de e-mail vazados, tendo-os assinados a milhares de newsletters Não
- Para irritar o proprietário do site (eu) Não
Como eu resolvi
Tenho algumas soluções para esse problema.
Passo 1: Ative o duplo opt-in
O primeiro e mais importante passo é certificar-se de que todas as suas newsletters são “double opt-in”, o que significa que o usuário tem que confirmar seu endereço de e-mail antes de se inscrever.
No Listmonk (o software de newsletter que estou usando), certifique-se de que a lista para a qual você está se inscrevendo seus usuários édouble opt in.
Isso significa que, mesmo que seu formulário seja spamado, você pode simplesmente remover todos os endereços que não verificaram seu e-mail (após alguns dias / semanas).
Quer saber como configurar seu próprio boletim informativo auto-hostado com a Listmonk?Como configurar uma newsletter auto-hostada usando o Listmonk. o
Passo 2: Adicione Captcha ou Cloudflare JS Challenge
O segundo passo que tomei foi habilitar algum tipo de captcha. Inicialmente, eu configurei um HCaptcha via Listmonk. Mas eu não acho que seja a melhor solução, pois é uma espécie de irritante.Vídeo.comnewsletter. Se você está interessado em como fazer isso, aqui está como:
- Não
- Abra o listmonk web UI Não
- Vá para as configurações Não
- Em Segurança, habilite o captcha e insira uma chave da API hCaptcha.com (você terá que se inscrever primeiro em hcaptcha.com) Não
No entanto, com esta configuração, se você estiver usando formulários personalizados (como o formulário de assinatura de e-mail abaixo), o processo de submissão será um pouco quebrado.
Então, em vez disso, o que eu encontrei e estou atualmente usando em4a Cidade.comNewsletter é usar o Cloudflare JS Challenge em um subdomínio específico.
A maneira que eu tenho configurado meu boletim de e-mail é que eu tenho Listmonk em execuçãonewsletter.4rkal.comum subdomínio separado.
Isso significa que eu posso definir esse subdomínio específico como “sob ataque” no Cloudflare e pedir aos usuários que, por vezes, completem um Captcha.
Para fazer isso:
- Não
- Acesse o site cloudflare.com Não
- Registe-se e vá para o painel do seu domínio específico Não
- Em Segurança, selecione WAF Não
- Clique em Criar Regra Não
- Dê-lhe qualquer nome Não
- Em Campo selecione nome de host e em Operador selecione wildcard, em Value insira o subdomínio, no meu caso, que é newsletter.4rkal.com. A expressão deve parecer assim (http.host wildcard "newsletter.4rkal.com") Não
- Em Escolher ação selecione JS Challenge Não
- Clique em Salvar Não
E isso é sobre isso.
Resumo
Obter seu site de spam nunca é divertido, mas espero que este artigo tenha dado clareza para as pessoas que passam pelo mesmo problema que eu.
assinado
Junte-se à nossa newsletter aqui:HTTPS://newsletter.4rkal.com/subscription/form
