İletişim formuna gelen spam'in büyük bölümü sizi hedef alan bir kişiden değil, internette form arayıp otomatik dolduran yazılımlardan gelir. En hızlı sonucu da tek bir ayar değil, birkaç basit katmanın üst üste konması verir: forma insanın görmediği bir tuzak alan eklemek, aynı kaynaktan gelen tekrarlı gönderimi sınırlamak ve mesajı kaydeden tarafta basit bir süzgeç çalıştırmak.
Bu yazı hangi önlemin hangi spam türünü durdurduğunu ayırıyor. Yanlış sırayla kurulan önlem iki yönden zarar verir: gerçek müşteri formu dolduramaz hâle gelir, botlar ise geçmeye devam eder. Önce spam'in nereden geldiğini anlamak, sonra önlem eklemek gerekir.
Spam formunuzu nasıl buluyor?
Bot, sitenizin adını bilmiyor. Tarayıcı yazılımı sayfaları gezer, içinde form etiketi olan adresleri bir listeye yazar ve sonra o listeye sırayla gönderim yapar. Bu yüzden yeni açılmış, hiç tanıtılmamış bir sitenin iletişim formuna da birkaç gün içinde mesaj düşebilir.
Gelen mesajlara bakarak kaynağı ayırmak mümkündür:
- Otomatik toplu gönderim: aynı metin, farklı isimlerle tekrar eder. İsim alanında rastgele harf dizileri, mesaj gövdesinde bağlantı kalabalığı olur.
- Form alanı doldurma denemesi: mesaj anlamsızdır, amaç formun çalışıp çalışmadığını ve cevap dönüp dönmediğini ölçmektir. Bunu genelde gerçek spam akını izler.
- Elle yazılmış tanıtım mesajı: "sitenizi üst sıralara çıkarıyoruz" türü, bir insanın kopyalayıp yapıştırdığı metin. Teknik önlemlerin çoğu bunu durdurmaz; bunlar okunup silinir.
- Kötü niyetli deneme: mesaj alanına kod ya da başlık satırı sokma girişimi. Formun arka tarafı güncel değilse asıl risk budur.
Hangi önlem hangi spam'i durdurur?
Önlemleri "ne kadar engeller" değil, "gerçek müşteriye ne kadar yük bindirir" ölçüsüyle karşılaştırmak gerekir.
| Önlem | Neyi durdurur | Gerçek müşteriye yükü |
|---|---|---|
| Görünmez tuzak alan (honeypot) | Her alanı dolduran basit botların büyük bölümü | Yok, kullanıcı alanı görmez |
| Gönderim süresi kontrolü | Sayfa açılır açılmaz gönderen otomatik istekler | Yok denecek kadar az |
| Aynı kaynaktan sıklık sınırı | Arka arkaya yüzlerce gönderim yapan akınlar | Ortak ağ kullanan ofislerde nadiren takılma |
| Zorunlu alan ve biçim denetimi | Alanları gelişigüzel dolduran istekler | Katı kural koyarsanız yanlış biçimde yazan müşteriyi de keser |
| Bağlantı sayısı süzgeci | Reklam bağlantısı taşıyan toplu metinler | Kendi sitesinin adresini yazan müşteri yanlışlıkla engellenebilir |
| Doğrulama kodu (CAPTCHA) | Geriye kalan otomatik gönderimlerin önemli kısmı | En yüksek yük; her ziyaretçiye bir adım ekler |
Sıralı kurulum: hangi önlem önce?
Sıra önemlidir, çünkü ilk iki adım genelde yükün çoğunu alır ve kimseyi rahatsız etmez.
- Görünmez tuzak alan ekleyin. Forma, ekranda görünmeyen ve insanın dolduramayacağı boş bir alan konur. O alan doluysa gönderim kaydedilmez. Alanın adı "telefon2" gibi sıradan olmalı; "honeypot" gibi tanınan bir ad botlar tarafından atlanır.
- Gönderim süresini ölçün. Sayfanın açıldığı an ile gönderildiği an arasında birkaç saniyeden az fark varsa o gönderim insandan gelmiş olamaz.
- Sıklık sınırı koyun. Aynı kaynaktan kısa aralıkta tekrarlanan gönderimleri reddedin. Bu adım, tek seferlik spam'den çok akınları keser.
- Alan denetimini sıkılaştırın. Mesaj alanına alt sınır koyun, isim alanına uzunluk sınırı koyun, e-posta alanını biçim olarak doğrulayın. Zorunlu alan sayısını artırmak yerine mevcut alanların denetimini düzeltin.
- Kaydı sınıflandırın. Şüpheli gönderimi silmek yerine ayrı bir kutuya düşürün. İlk haftalarda buraya gerçek müşteri düşüp düşmediğini kontrol edersiniz.
- Gerekiyorsa doğrulama kodunu en son ekleyin. Yukarıdaki beş adım yetmediyse sıra buraya gelir.
Doğrulama kodu neden en sona bırakılır?
Doğrulama kodu işe yarar ama bedeli vardır. Formu dolduran her gerçek müşteriye fazladan bir adım bindirir; mobil ekranda bu adım hem yavaş hem de yanlış tıklamaya açıktır. Görme engelli ziyaretçi için görsel bulmaca ciddi bir engeldir, bu yüzden sesli ya da metin tabanlı seçenek sunulmayan bir kod erişilebilirlik sorunu üretir.
Doğrulama kodu eklerken iki şeye dikkat edin: kodun yüklediği harici dosya sayfa açılışını geciktirmesin ve kod yalnızca gönderim anında devreye girsin. Bir de şunu unutmayın: doğrulama kodu elle yazılmış tanıtım mesajını durdurmaz, çünkü karşı tarafta gerçek bir insan vardır.
Spam kayıtları da kişisel veri sayılır mı?
Bir gönderim spam de olsa içinde ad, e-posta ya da telefon yazıyorsa bu kayıt sizin sisteminizde durur. Bu yüzden şüpheli kutusunu süresiz biriktirmeyin; ne kadar süre tutacağınıza karar verin ve o süre sonunda silinmesini sağlayın. Formun kendisinde de yalnızca gerçekten ihtiyacınız olan alanları isteyin — işe yaramayan her alan hem spam yüzeyi hem de koruma yükümlülüğüdür.
Formun arka tarafında gelen metnin olduğu gibi e-postaya yazılması, ayrı bir risk kapısıdır. Mesaj gövdesinin başlık satırlarına karışabildiği eski kurulumlarda, saldırgan formu kendi postasını göndermek için kullanabilir. Form eklentinizi ve site yazılımınızı güncel tutmak bu kapıyı kapatır.
Önlemden sonra formun çalıştığını doğrulayın
En sık yapılan hata, spam durduktan sonra formun gerçekten çalıştığını hiç sınamamaktır. Önlem ekledikten sonra kendi telefonunuzdan, ofis ağı dışından bir gönderim yapın ve mesajın hem kutuya hem de panele düştüğünü görün. Mesaj hiç gelmiyorsa sorun artık spam değil, teslimat tarafındadır; o durumda iletişim formundan mail gelmemesi yazısındaki sıraya bakın.
Kısa kontrol listesi
- Tuzak alan ve gönderim süresi kontrolü kuruldu mu?
- Sıklık sınırı var mı, kaç gönderimden sonra devreye giriyor?
- Şüpheli kayıtlar silinmek yerine ayrı kutuya mı düşüyor?
- O kutuya gerçek müşteri düşmüş mü diye bakıldı mı?
- Form eklentisi ve site yazılımı güncel mi?
- Önlemden sonra dış ağdan test gönderimi yapıldı mı?
DigiWSS, işletmelerin web sitesi ve dijital varlıklarını kurar ve yönetir; form akışının hem spam'e kapalı hem de gerçek talebi kaybetmeyecek biçimde çalışması bu işin parçasıdır.