Компанияның сайтында кері байланыс формасы орнатылған. Келушілер өтінім жібере алады, сұрақ қояды және байланыс деректерін қалдырады. Автоматты спамнан қорғану үшін сайт иесі CAPTCHA немесе Cloudflare Turnstile қосады.
Біраз уақыт бәрі дұрыс жұмыс істейді. Алайда кейін корпоративтік поштаға жарнамалық хабарламалар, мағынасыз өтінімдер және күмәнді сілтемелер қайта келе бастайды.
Орынды сұрақ туындайды: боттардан қорғаныс орнатылған болса, спам неліктен әлі де өтеді?
Себебі бетте CAPTCHA болуы серверге келетін барлық сұраулардың шынымен тексерілетінін білдірмейді.
Келуші CAPTCHA көргені үшін емес, сервер қорғаныс тексеруінің нәтижесін тексеріп, одан өтпеген сұрауларды қабылдамаған кезде ғана форма қорғалған деп есептеледі.
Боттар сайт формалары арқылы спамды қалай жібереді?
Қалыпты келуші бетті ашады, өрістерді толтырады және жіберу түймесін басады. Ал бот басқаша әрекет ете алады.
Ол бетті браузерде ашпай-ақ және көрінетін элементтермен әрекеттеспей-ақ, HTTP сұрауын тікелей форманы өңдейтін мекенжайға жібере алады.
Егер өңдеуші міндетті серверлік тексерусіз деректерді қабылдаса, мұндай сұрау сайт иесіне хат жіберуге әкелуі мүмкін.
WordPress жүйесінде формаларды өңдеу қолданылатын плагинге немесе жеке жазылған кодқа байланысты. Сұраулар REST API, admin-ajax.php немесе арнайы өңдеуші сияқты әртүрлі бағыттар арқылы келуі мүмкін.
Соған қарамастан беттегі форманың түрі қалыпты болып, CAPTCHA сәтті көрсетілуі мүмкін.
CAPTCHA неліктен кейде спамды тоқтатпайды?
1. Тексеру тек браузерде орындалады
Бұл — іске асырудағы ең қауіпті қателердің бірі.
Әзірлеуші CAPTCHA виджетін қосады, бірақ серверлік өңдеуші алынған токенді тексермейді немесе нәтиже теріс болғанда орындалуды тоқтатпайды.
Мұндай жағдайда шабуылдаушы деректерді серверге тікелей жіберіп, қорғанысты айналып өтуге тырысуы мүмкін.
2. Басқа форма қорғалған
Бір сайтта деректерді жіберудің бірнеше механизмі жұмыс істеуі мүмкін: кәдімгі байланыс формасы, өтінім беру формасы, пікірлер, пайдаланушыларды тіркеу және плагиндердің жеке формалары.
Егер Turnstile олардың тек біреуіне қосылса, қалған дерек қабылдау нүктелері осындай тексерусіз қалуы мүмкін.
3. Ескі өңдеуші әлі де сұраулар қабылдайды
Кейде дизайн жаңартылып немесе форма ауыстырылғаннан кейін сайтта бұрынғы серверлік бағыт сақталып қалады.
Ескі форма көзге көрінбесе де, оны өңдеуші жұмысын жалғастыруы мүмкін. Оған жіберілген автоматты сұраулар жаңа форманың қорғанысын айналып өте алады.
4. Бот тексеруден өтеді
CAPTCHA кез келген автоматтандырылған не қажетсіз сұраудан абсолютті қорғанысқа кепілдік бермейді. Кейбір шабуылдаушылар нақты браузерлерді, әрекеттерді автоматтандыруды және өзге де айналып өту әдістерін пайдаланады.
Сондықтан дұрыс бапталған Turnstile-ді де басқа бақылау тетіктерімен толықтыру қажет.
Cloudflare Turnstile: сервер нақты нені тексеруі керек?
Cloudflare Turnstile — формаларды және пайдаланушылардың басқа әрекеттерін автоматтандырылған сұраулардан қорғау құралы.
Дұрыс біріктірілген жағдайда ол екі кезеңде жұмыс істейді.
Сервер токенді Cloudflare Siteverify API қызметіне жіберіп, тексеру нәтижесіне сүйеніп шешім қабылдауы тиіс.
Cloudflare-дің ресми құжаттамасына сәйкес, Turnstile токендерінің бірнеше маңызды шектеуі бар:
- Токеннің жарамдылық мерзімі — 300 секунд, яғни бес минут.
- Бір токен тек бір рет сәтті тексеріле алады.
- Мерзімі өткен, жарамсыз және қайталап пайдаланылған токендер қабылданбауы тиіс.
- Тексеруге арналған құпия кілт сайт келушісіне берілмеуі керек.
Қосымша ретінде қолданба Siteverify қайтаратын hostname және action мәндерінің күтілетін формаға сәйкес келетінін тексере алады.
Егер сайт өтінімді Siteverify нәтижесіне қарамастан қабылдаса, қорғаныс іс жүзінде негізгі міндетін орындамайды. Сервер токен болмаған, жарамсыз немесе расталмаған жағдайда сұрауды қабылдамауы тиіс.
Форма қорғанысының дұрыс жұмыс істейтінін қалай тексеруге болады?
Тексеруді өз сайтыңызда немесе ресурсқа қызмет көрсетуге берілген келісім аясында жүргізу қажет.
Негізгі мақсат — серверлік тексеру сәтті аяқталмайынша сұраудың хат жіберуге әкелмейтініне көз жеткізу.
Форманы WordPress-тің қай компоненті өңдейтінін анықтау
Сұрау жіберудің барлық пайдаланылатын бағыттарын анықтау
Siteverify серверде шақырылатынын тексеру
Токенсіз сұраудың қабылданбайтынына көз жеткізу
Жарамсыз токен кезінде бас тартуды тексеру
Токенді қайта пайдалануға болмайтынын тексеру
Cloudflare байланысындағы қателердің қалай өңделетінін тексеру
Тексеруден бас тартылған соң хат жіберілмейтініне көз жеткізу
Қалыпты өтінімнің сәтті жіберілетінін тексеру
Диагностика кезінде веб-сервердің жауабын, өңдеушінің шешімін және хаттың шын мәнінде жіберілгенін ажырата білу маңызды. HTTP жауабының сәтті болуы өтінім міндетті түрде қабылданды деген сөз емес.
Спамнан қорғанудың қосымша деңгейлері
CAPTCHA жалғыз қауіпсіздік механизмі болмауы керек. Ашық форма үшін бірнеше тексеруді біріктірген дұрыс.
| Механизм | Мақсаты |
|---|---|
| Cloudflare Turnstile | Токенді серверде тексеру арқылы сұрауларды растау |
| Rate limiting | Сұрау жиілігін және жаппай жіберілімдерді шектеу |
| Өрістерді тексеру | Деректердің пішімін, ұзындығын және рұқсат етілген мазмұнын бақылау |
| Антиспам сүзгісі | Қажетсіз және қайталанатын хабарламаларды анықтау |
| Журнал жүргізу | Бас тартуларды, қателерді және әдеттен тыс белсенділікті талдау |
Сұрау жиілігін шектеу
Бір дереккөзден қысқа уақыт ішінде көптеген бірдей немесе ұқсас өтінім келсе, жүйе оларды өңдеуді уақытша шектей алады.
Шектеулерді нақты келушілер санына қарай таңдау керек, әйтпесе интернетке ортақ IP мекенжайы арқылы шығатын адал пайдаланушылар да бұғатталуы мүмкін.
Форма мазмұнын тексеру
Сервер міндетті өрістерді, хабарламаның рұқсат етілген ұзындығын, электрондық пошта мекенжайының пішімін және басқа параметрлерді тексеруі тиіс.
Мынаны есте ұстаған жөн: техникалық жағынан дұрыс толтырылған формада да спам болуы мүмкін. Сондықтан пішімді тексеру мен антиспам талдауы әртүрлі міндеттерді орындайды.
Жасырын өрістер және қосымша тексерулер
Кейбір формаларда қарапайым келуші толтырмайтын жасырын «тұзақ» өрістер қолданылады. Бұл қарапайым боттардың бір бөлігін анықтауға көмектеседі, бірақ толыққанды қорғаныс емес.
Мұндай механизмдерді Turnstile және серверлік шектеулермен бірге қолдануға болады.
Спамның шын мәнінде қайдан келгенін қалай білуге болады?
Сайт иесі спам хат алса, алдымен оның шынымен сайттағы форма өңдеушісі арқылы жасалған-жасалмағанын анықтау қажет.
Хабарламаның ұқсас безендірілуі оның нақты WordPress формасынан өткенін әлі дәлелдемейді.
Техникалық диагностика үшін мына деректер салыстырылады:
- хаттың келіп түскен уақыты;
- веб-сервер мен PHP журналдарындағы жазбалар;
- сұрауды өңдеу бағыты;
- Turnstile тексеруінің оқиғалары мен қателері;
- егер мұндай журнал жүргізілсе, поштаның жіберілуі туралы жазбалар;
- хат тақырыптарындағы жіберуші және жеткізілу жолы туралы мәліметтер.
Кейде хабарлама форма арқылы емес, басқа механизммен жіберілгені немесе тіпті сайт атынан қолдан жасалғаны анықталады.
Сондықтан алдымен дереккөзді анықтап, содан кейін ғана қорғаныс параметрлерін өзгерткен дұрыс.
Тым қатаң шектеулер спамды тоқтатуы мүмкін, бірақ сонымен бірге нақты клиенттерді де бұғаттайды. Жақсы қорғаныс форманың жұмысын сақтап, қарапайым келушілерге барынша аз кедергі келтіруі тиіс.
PHP мен WordPress-ті жаңарту неліктен маңызды?
Форманы қорғау серверлік инфрақұрылым қауіпсіздігінен бөлек қарастырылмайды.
Ескірген плагиндер, қауіпсіз емес өңдеушілер және PHP-дің осал нұсқасы CAPTCHA орнатумен жойылмайтын қатерлер туғызуы мүмкін.
Атап айтқанда, 2026 жылғы қазанда PHP әзірлеушілері екі аса қауіпті осалдықты түзетті. Олардың салдары мен қажет жаңартулар туралы «PHP2Shell: PHP-дің екі аса қауіпті осалдығы» мақаласында толығырақ жаздық.
Сайтты уақтылы сүйемелдеу компоненттерді жаңартуды, резервтік көшірмелерді тексеруді, журналдармен жұмысты және ашық интерфейстердің қауіпсіздігін бақылауды қамтуы тиіс.
IT жүйелеріне қызмет көрсету бойынша жауапкершіліктің маңызын «IT-аутсорсинг: қызмет көрсету шартында не болуы керек?» мақаласында да түсіндіреміз.
Жиі қойылатын сұрақтар
WordPress формаларын спамнан, боттардан және автоматтандырылған сұраулардан қорғау туралы негізгі сұрақтарды талдаймыз.
Cloudflare Turnstile орнатылған форма арқылы спам өте ала ма?
Иә. Бұл біріктіру қателерінен, токенді серверде тексермеуден, балама форма өңдеушілерінің болуынан немесе шабуылдаушылардың сұрау жіберудің басқа тәсілдерін пайдалануынан туындауы мүмкін.
Тіпті дұрыс бапталған Turnstile де абсолютті қорғанысқа кепілдік бермейді. Сондықтан оны басқа бақылау құралдарымен толықтырған жөн.
Бірден бірнеше CAPTCHA орнату жеткілікті ме?
Жоқ. Бірнеше CAPTCHA сайтты пайдалануды қиындатып, плагиндер арасында қайшылық туғызуы мүмкін.
Сервердің токенді шынымен тексеріп, тексеруден өтпеген сұрауларды қабылдамайтынына көз жеткізу әлдеқайда маңызды.
IP мекенжайларын бұғаттау көмектесе ме?
Ішінара көмектеседі. Кейбір IP мекенжайларын бұғаттау спам санын азайтуы мүмкін, бірақ шабуылдаушылар сұрау көздерін өзгерте алады.
Сұрау жиілігін шектеуді (rate limiting), Turnstile тексеруін және антиспам сүзгілеуін біріктірген тиімдірек. Бұл ретте қарапайым келушілерді бұғаттап алмау маңызды.
Кері байланыс формасын алып тастау керек пе?
Әдетте қажет емес. Кері байланыс формасы әлеуетті клиенттердің компанияға хабарласуына көмектеседі.
Дұрысы — спамның өту себебін анықтау, форма өңдеушісін тексеру, қателерді түзету және келушілерге артық кедергі жасамайтын қосымша қорғаныс шараларын орнату.
Дереккөздер
- Cloudflare — Turnstile бойынша нұсқаулық
- Cloudflare — Siteverify токендерін серверде міндетті тексеру
- WordPress — әзірлеушілерге арналған құжаттама
WEB-LABS WordPress сайттарын әзірлеумен және техникалық сүйемелдеумен айналысады. Қажетсіз жіберілімдердің көзін анықтауға, форманың жұмысын тексеруге және келушілерге артық шектеу қоймай қорғаныс орнатуға көмектесеміз. Мәселені талқылау үшін WEB-LABS компаниясына хабарласыңыз.