Testando a Segurança do seu Site – Parte 2

Formulários de Contato

Formulários de contato previnem que programas de spam coletem seu endereço de e-mail. No entanto, se eles não forem construídos corretamente, eles podem expor seu endereço de e-mail mesmo assim. E, se o script por trás do formulário apresentar uma falha de segurança, hackers poderão explorá-la, usando seu site para enviar spams. Esse é um problema sério e, infelizmente, muito comum. Se o seu site for usado para enviar spams, em questão de minutos seu domínio será incluído em listas negra e você terá problemas para enviar e-mails legítimos.

Primeiro, vamos falar sobre o básico. O código HTML do formulário de contato não deve expor qualquer endereço de e-mail. Na Figura 1, você pode ver o código de um formulário de contato de um site que apresenta esse problema. Note, onde colocamos setas vermelhas, que os endereços de e-mail dos destinatários estão presentes no código HTML. Isso significa que, quando o usuário selecionar o “departamento para contato”, o formulário fará a conversão entre o departamento e o endereço de e-mail correspondente. Isso não deveria acontecer, pois, como foi explicado, os endereços de e-mail serão expostos publicamente dessa maneira.

Figura 1: Endereços de e-mail expostos em um formulário de contato

Em vez disso, o endereço de e-mail não deve ficar exposto no código HTML e o script para onde os dados são enviados deve ser capaz de decodificar esse requerimento e enviar a mensagem para o endereço de e-mail adequado. Em outras palavras, a conversão entre um nome (“departamento”) e um endereço de e-mail deve ser feito por trás dos panos, longe dos olhos de curiosos.

É claro que você não deve usar um nome que seja apenas a primeira parte de um endereço de e-mail ou usar um endereço óbvio, já que eles são muito fáceis de serem descobertos por programas de spam. Por exemplo, se você tem uma opção de contato (“departamento”) chamada “sac”, não crie um e-mail chamado [email protected]; ele é muito óbvio e fácil de descobrir.

A adição de códigos de verificação em formulários de contato, também conhecido como CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart ou Teste Turing Público Completamente Automatizado para diferenciar Computadores de Humanos), é indispensável. Você provavelmente já viu muito disso, como uma imagem com letras e números aleatórios que deverão ser redigitados ou uma pergunta como “qual é o resultado de 1 + 1 - 2?”. Isso deve ser feito para evitar que programas de spam tentem enviar spams automaticamente através do seu formulário de contato. Mesmo que seu formulário não apresente uma falha de segurança que permita o uso de seu formulário de contato para enviar spams para terceiros, você acabará recebendo muitos spams em seu e-mail vindo do seu formulário de contato.

Figura 2: Uso de um código CAPTCHA