Lo spam dal modulo contatti è una delle segnalazioni che ricevo più spesso da chi ha un sito da qualche anno. Di solito la domanda è «come lo blocco?», ma ce n’è una che viene prima: le richieste vere arrivano ancora tutte? Sono Martina Tempesta, web designer a Roma con MarTe Graphics, e quando metto le mani su un modulo controllo sempre tutte e due le cose, perché una difesa sbagliata fa più danni dello spam.
In breve: lo spam nei moduli arriva da programmi automatici che compilano qualsiasi modulo trovino. Il captcha da solo non basta e può bloccare anche i clienti. Il rischio più serio sono le richieste vere che spariscono in silenzio; subito dopo vengono i moduli che possono essere usati per spedire spam ad altri e le iscrizioni finte lasciate aperte.
Da dove arriva lo spam nei moduli?
Lo spam nei moduli arriva quasi sempre da programmi automatici, non da persone che hanno visitato il tuo sito. Girano sul web giorno e notte, trovano le pagine che hanno un modulo e lo compilano a ripetizione con pubblicità, link verso siti dubbi o tentativi di truffa. Per finire nel loro giro basta avere un modulo raggiungibile, qualunque sia l’attività.
Lo spam che vedo più spesso
- Offerte di servizi in inglese, spesso per «migliorare il posizionamento» del sito.
- Messaggi pieni di link verso farmaci, casinò online o siti per adulti.
- Finti avvisi sul dominio o sul sito in scadenza, che chiedono un pagamento.
- Messaggi vuoti o con caratteri a caso: sono programmi che provano se il modulo risponde.
- Richieste che sembrano vere, ma con un link da aprire o un allegato da scaricare.
Una parte dello spam è scritta a mano, ed è quella che passa più facilmente i filtri: il messaggio sembra una richiesta normale, solo un po’ generica. Per questo nessuna difesa ferma tutti i messaggi indesiderati, e chi ti promette zero spam semplifica. L’obiettivo realistico è un altro: ridurre lo spam a poche unità e avere la certezza che ogni cliente vero riesca a scriverti.
Cosa non fare: non rispondere ai messaggi di spam e non aprire i link o gli allegati, nemmeno per curiosità. Rispondere conferma che dietro il modulo c’è una casella attiva, e i finti avvisi di scadenza portano spesso a pagine che chiedono dati di pagamento.
Perché il captcha non basta?
Il captcha, cioè la casella «non sono un robot» o il quiz con le immagini, ferma i programmi più semplici ma non quelli più organizzati, che lo superano in automatico o con l’aiuto di persone. In più ha un effetto collaterale: ogni ostacolo davanti al pulsante «Invia» fa rinunciare qualche cliente vero, soprattutto da telefono.
C’è poi un problema meno noto. Il captcha più diffuso è un servizio esterno, che si carica da un altro sito: alcuni banner dei cookie lo trattano come uno strumento pubblicitario e lo bloccano finché il visitatore non accetta. Chi rifiuta i cookie, o usa un browser impostato per rifiutarli in automatico, a volte non vede neanche il banner: il modulo gli risponde con un errore e lui non riesce a scriverti. L’ho trovato su un sito di cui mi occupo, e il modulo sembrava funzionare benissimo a chi lo provava dal proprio computer.
| Difesa | Cosa ferma | Il suo limite |
|---|---|---|
| Captcha | I programmi più semplici | Disturba i clienti e dipende da un servizio esterno |
| Campo trappola nascosto | I programmi che compilano tutti i campi | Se è fatto male, scarta anche i clienti veri |
| Filtro sul contenuto | Messaggi con link e frasi tipiche dello spam | Può scambiare una richiesta vera per spam |
| Limite agli invii | Gli invii a raffica dallo stesso punto | Da solo non ferma lo spam lento |
Nessuna di queste difese basta da sola, e messe insieme a caso si ostacolano a vicenda. La combinazione giusta dipende da quanto spam arriva, da chi sono i tuoi clienti e da come è costruito il sito: è un lavoro tecnico che faccio io, e che si verifica con prove d’invio vere.
Perché a volte le richieste vere non arrivano più?
Le richieste vere si perdono quando una difesa contro lo spam scambia un cliente per un programma, oppure quando il messaggio parte ma non arriva nella tua casella. Il caso peggiore è il primo: il cliente compila il modulo, vede il ringraziamento e se ne va convinto di averti scritto, mentre la richiesta viene scartata in silenzio. Nessuno dei due sa che c’è un problema.
È successo sul mio sito, a settembre 2026. Il modulo dei preventivi aveva una trappola per i programmi: un campo nascosto, invisibile alle persone, che solo un programma automatico avrebbe riempito. Il browser Chrome, con la compilazione automatica attiva, lo scambiava per il campo del telefono e lo riempiva da solo con i dati salvati. Il sito lo prendeva per un programma, mostrava il ringraziamento e scartava la richiesta. L’ho scoperto facendo una prova d’invio dal mio browser, con i miei dati salvati, come farebbe un cliente qualsiasi.
Un caso diverso, con lo stesso effetto, sul sito appena rifatto di un’agenzia immobiliare. Il modulo usava un codice di controllo antispam, diverso per ogni visitatore. La memoria temporanea dell’hosting, quella che serve a far aprire le pagine più in fretta, conservava la pagina con il codice dentro e la dava uguale a tutti: dopo il primo messaggio, gli altri venivano respinti come sospetti. Sul mio computer funzionava, perché lì quella memoria non c’era. L’ho trovato con i controlli che faccio sul sito appena va online.
Un segnale da non ignorareSe dal sito non arriva più nessuna richiesta da settimane, il silenzio va verificato, non dato per buono. Spesso il motivo è banale, ma per saperlo serve una prova d’invio vera, fatta come la farebbe un cliente.
Il secondo caso, la richiesta che parte ma non arriva, dipende quasi sempre da come il sito spedisce le email: le notifiche partono a nome di un indirizzo sbagliato e i servizi di posta le mettono nello spam o le rifiutano. Ne parlo nell’articolo sulle email aziendali che finiscono in spam.
Il tuo modulo può essere usato per mandare spam ad altri?
Sì, se è costruito senza limiti. Il caso tipico è il modulo che manda una copia del messaggio all’indirizzo scritto da chi compila: un programma può inserire l’indirizzo di una vittima e far partire una raffica di email dal tuo sito, a nome tuo. La vittima riceve spam, ma il danno resta a te, perché il dominio che spedisce è il tuo.
Le conseguenze arrivano a catena. I servizi di posta segnano il dominio come fonte di spam, e da quel momento anche le email normali dell’attività, i preventivi, le fatture, le risposte ai clienti, cominciano a finire nello spam. Nei casi più gravi l’hosting sospende l’invio di posta o l’intero spazio, per proteggere gli altri siti che ospita.
Ricostruendo il sito di uno studio professionale, il controllo di sicurezza che faccio prima della messa online ha trovato proprio questo: il modulo poteva essere usato per bombardare di email una casella qualsiasi. L’ho chiuso prima della pubblicazione. Su un sito che ho preso in carico, invece, ho trovato un vecchio modulo per l’invio di email di molti anni prima: nessuno lo usava più, ma era ancora raggiungibile da chiunque conoscesse l’indirizzo.
Cosa non fare: non lasciare sul sito moduli, pagine di prova o componenti che non usi più. Un modulo dimenticato non compare nel menu, ma i programmi automatici lo trovano lo stesso, e su un sito non aggiornato è una delle porte da cui si entra. Se il problema è già più grave, leggi cosa fare quando il sito è stato hackerato.
Perché le iscrizioni e gli utenti finti sono un rischio?
Le iscrizioni finte nascono quando il sito lascia aperta la registrazione degli utenti, spesso per un’impostazione attivata anni prima e mai più controllata. Ogni account creato da un programma è un accesso in più: può lasciare commenti e link, riempie il sito di dati inutili e, su un sito vecchio con componenti non aggiornati, può diventare il punto di partenza per un attacco.
Sullo stesso sito la registrazione era aperta a chiunque da anni, senza che servisse a niente: si erano iscritti decine di account falsi, alcuni con il nome pieno di pubblicità di casinò online. Non erano loro il problema più grave del sito, ma erano il segnale di un sito che nessuno controllava più.
C’è anche un aspetto di privacy. Un sito che raccoglie account o salva le richieste del modulo conserva dati personali, e quei dati vanno protetti e tenuti solo per il tempo che serve. Se nessuno sa che ci sono, nessuno li protegge. Di cosa deve avere un sito per essere in regola parlo nell’articolo sul sito web a norma.
Come imposto un modulo che filtra lo spam senza perdere clienti?
Un modulo ben fatto combina più difese leggere, invisibili al cliente, al posto di un solo ostacolo pesante davanti al pulsante di invio. E viene provato davvero, da più browser e da telefono, dopo ogni modifica. Il mio lavoro parte da un controllo: da dove arriva lo spam, se le richieste vere arrivano tutte e dove finiscono le notifiche.
Cosa ottieni quando sistemo un modulo
- Ogni richiesta arriva a una casella del tuo dominio, spedita in modo che i servizi di posta la riconoscano come vera.
- Una copia di ogni richiesta resta salvata in un’area protetta del sito, così niente si perde se un’email non arriva.
- Le difese contro lo spam lavorano dietro le quinte, senza quiz per il cliente.
- Il modulo non può essere usato per spedire email ad altri.
- Una prova d’invio vera dopo ogni modifica, fatta come la farebbe un cliente.
Se il sito l’ha fatto un altro e non sai come è costruito il modulo, si parte comunque dallo stesso controllo. A volte basta correggere un pezzo, a volte il modulo è il sintomo di un sito che va ripreso in mano: lo valuto caso per caso, e te lo dico prima di toccare qualcosa. È uno dei problemi che seguo nell’assistenza siti web, insieme a velocità, sicurezza e aggiornamenti.
Se il tuo modulo riceve più spam che richieste, o se da un po’ non ti scrive più nessuno, raccontami cosa succede: controllo il modulo e ti rispondo con una proposta chiara.
Domande frequenti
Le risposte più richieste
Di solito no. Un indirizzo email scritto in chiaro sulla pagina viene raccolto dagli stessi programmi che compilano i moduli, e lo spam arriva direttamente nella casella, senza nessun filtro in mezzo. In più perdi un vantaggio: il modulo ti fa arrivare richieste ordinate, con i dati che ti servono per rispondere. Conviene tenere il modulo e farlo funzionare bene, lasciando l’email come seconda strada.
Può farlo, soprattutto quando chiede di riconoscere immagini o lettere deformate, che da telefono diventano un piccolo esame. Ogni passaggio in più davanti al pulsante di invio fa rinunciare qualcuno, e chi rinuncia non ti avvisa. Per questo preferisco difese che il cliente non vede, e uso un controllo visibile solo quando lo spam è tanto da giustificarlo.
Il modo più sicuro è una prova d’invio vera, dal tuo telefono e da un computer, con i tuoi dati salvati nel browser, controllando che la richiesta arrivi. Un altro segnale è il confronto nel tempo: se prima arrivavano richieste ogni settimana e da un certo giorno più nulla, qualcosa è cambiato. Se il sito salva una copia delle richieste, si può confrontare con quello che è arrivato in casella.
Lo spam normale no: qualche messaggio al giorno non pesa sul sito. Diventa un problema quando gli invii sono a raffica, perché ogni messaggio impegna il server, oppure quando il sito salva tutto e accumula migliaia di messaggi e account inutili. In quei casi il sito può rallentare e l’hosting può segnalare un uso anomalo delle risorse. Lo spam a raffica va controllato anche perché spesso cerca un punto debole.
Quasi sempre perché il sito spedisce le notifiche a nome di un indirizzo che non ha il permesso di usare, per esempio una casella Gmail o Libero, oppure da un server che i servizi di posta considerano poco affidabile. Per chi riceve è un messaggio sospetto. Si risolve sistemando il mittente e i permessi di invio del dominio, come spiego nell’articolo sulle email aziendali che finiscono in spam.
Il modulo deve sempre mostrare, prima dell’invio, il collegamento all’informativa privacy, che spiega chi tratta i dati e per cosa. Per rispondere a una richiesta di solito non serve un consenso in senso stretto, mentre per usare l’indirizzo per offerte o newsletter serve una casella a parte, non già spuntata. Per il tuo caso specifico ne parli con il tuo consulente privacy.
Martina TempestaWeb designer a Roma, titolare di MarTe Graphics. Dal 2013 progetto siti per studi professionali, aziende e attività locali.
