# Две опасные email-уязвимости, которые должен устранить каждый владелец сайта на WordPress

- Canonical: https://asgru.com/ru/dve-opasnye-email-uyazvimosti-kotorye-dolzhen-ustranit-kazhdyj-vladelecz-sajta-na-wordpress/
- Language: ru
- Author: asgru
- Published: 2025-05-14T06:31:31+02:00
- Updated: 2025-05-14T06:46:53+02:00

Недавно мне лично пришлось столкнуться с двумя реальными атаками на email-инфраструктуру сайта. Одна из них вывела из строя канал заявок, вторая поставила под угрозу репутацию домена. Обе — классические и при этом крайне распространённые. Особенно среди владельцев WordPress-сайтов с популярными плагинами форм и стандартными настройками отправки писем.

В этой статье я разложу всё по полочкам: как работает каждая уязвимость, к чему она приводит, и главное — как от неё защититься.

## Атака №1 — Спам через контактную форму

### Суть атаки

Злоумышленники массово отправляют фальшивые заявки через вашу контактную форму. На первый взгляд — ничего страшного. Но тут важно понимать два ключевых момента:

- Ваш канал заявок просто «забивается». Реальные обращения теряются в потоке мусора.

- Если у вас настроен автоответ на email (например: «Мы получили вашу заявку, свяжемся в ближайшее время»), вы начинаете рассылать сотни писем на случайные адреса.

### Последствия

- SMTP-провайдер (например, Gmail, Mailgun, SendGrid) может ограничить или полностью заблокировать отправку писем.

- Ваш домен с высокой вероятностью попадёт в спам-листы и чёрные базы.

- Вы теряете возможность общаться с клиентами, потому что письма начинают попадать в спам или вообще не доходят.

### Как защититься

1. Сохраняйте заявки до отправки письма.
Сначала фиксируйте данные пользователя в CRM или базе данных. Только после этого отправляйте письмо, если оно действительно нужно.

2. Дублируйте уведомления в другие каналы.
Например, настройте отправку заявок в Telegram или Slack — с помощью Webhook’ов, n8n или плагинов вроде WP Webhooks.

3. Обеспечьте защиту самой формы:

- Google reCAPTCHA v2 или v3

- hCaptcha (менее известная, но надёжная альтернатива)

- Honeypot (скрытые поля для ловли ботов)

- Ограничения по IP (не чаще одной заявки в 30 секунд)

- Фильтрация по ключевым словам

### Рекомендованные плагины

- Contact Form 7 — подключите Flamingo, Honeypot, reCAPTCHA

- WPForms — встроенная антиспам-защита, Telegram-интеграция через Webhook

- Fluent Forms — имеет антиспам и поддержку Telegram из коробки

- Gravity Forms — продвинутая фильтрация, интеграции с CRM

- Elementor Forms — добавьте reCAPTCHA, используйте REST API или Webhook для передачи данных

## Атака №2 — Фишинговые письма от вашего имени (спуфинг)

### Суть атаки

Это та атака, с которой я столкнулся буквально недавно.

На ваш email начинают приходить жалобы: мол, от вашего адреса приходят фишинговые письма. При этом никакого взлома не происходило. Просто злоумышленники начали рассылать письма от имени вашего домена, без доступа к серверу или сайту.

Что внутри этих писем — зависит от фантазии атакующего: фальшивые счета, вредоносные ссылки, фишинг и т. д.

### Последствия

- Люди получают вредоносные письма, якобы от вас.

- Урон по репутации — особенно если вы работаете в доверительной нише (финансы, консалтинг, юриспруденция).

- Возможны жалобы в хостинг, доменную зону, судебные претензии.

- Настоящие письма с вашего домена начинают блокироваться или попадать в спам.

## Как защититься от спуфинга

### На 2025 год у каждого домена должны быть настроены следующие DNS-записи:

1. SPF (Sender Policy Framework)
Проверяет, какие серверы имеют право отправлять письма от вашего домена.

Пример записи:

v=spf1 include:_spf.google.com ~all

2. DKIM (DomainKeys Identified Mail)
Добавляет к письму цифровую подпись, которая подтверждает его подлинность и то, что оно не было изменено.

3. DMARC (Domain-based Message Authentication, Reporting & Conformance)
Устанавливает политику: что делать с письмами, не прошедшими SPF/DKIM, и присылает вам отчёты об этих попытках.

Пример записи:

v=DMARC1; p=quarantine; rua=mailto:dmarc@вашдомен.com;

- p=none — только отчёты, без фильтрации

- p=quarantine — подозрительные письма отправляются в спам

- p=reject — блокируются на уровне почтового сервера

### Что это даёт

- Вы получаете отчёты о попытках атаки.

- Ваши настоящие письма проходят проверки и не попадают в спам.

- Фейковые письма блокируются до того, как их увидит пользователь.

## Что ещё важно для WordPress-сайтов

1. Не используйте стандартную функцию wp_mail() или PHP mail().
Они не добавляют ни DKIM, ни корректных заголовков. Такие письма чаще попадают в спам.

2. Используйте SMTP-плагин:

- WP Mail SMTP — интеграции с Gmail, Mailgun, SendGrid, Amazon SES

- Post SMTP — альтернативный плагин с логами и webhook’ами

3. Регулярно проверяйте конфигурацию через:

- [mxtoolbox.com](https://mxtoolbox.com/)

- [mail-tester.com](https://mail-tester.com/)

- [dmarcian.com](https://dmarcian.com/)

## Резюме — чеклист для владельца сайта на WordPress

- Настройте защиту формы (reCAPTCHA, лимиты, фильтры)

- Не отправляйте письма до валидации заявки

- Используйте Telegram/CRM/Slack для параллельных уведомлений

- Установите и проверьте SPF, DKIM, DMARC

- Настройте SMTP для всех исходящих писем

- Мониторьте DMARC-отчёты

Если вам нужна помощь с настройкой формы, SMTP, DNS или интеграций — напишите мне. Всё можно сделать безопасно, без потери заявок и без риска попасть в чёрные списки.

Почтовая гигиена — это не опция, а базовая инфраструктура вашего бизнеса.