フォームにおける脅威について

Question

自分のメールアドレスに質問が送られてくるフォームを作りたいと思っています。作る際にPHPは用いず、HTML(必要ならjavascriptも)を使います。作るにあたって、送信者からの攻撃など注意するべきことはありますか?できれば、それに関する対策も教えていただけるとありがたいです。

Answer 1

無理に作らず、セキュリティに配慮されたメールフォームサービスを使うのも手段です。

【Google フォーム - アンケートを作成、分析できる無料サービス】
https://www.google.com/intl/ja_jp/forms/about/

【SSL・スマートフォン対応のメールフォームを簡単に作れる「フォームメーラー」】
http://www.form-mailer.jp/

Comments

[pimsawa]

おっしゃるとおりです。無理に作らず、サービスに頼ることにしました。回答ありがとうございました。

Answer 2

大量にSPAMが届く可能性があります。
それでも問い合わせを見落としてはならないので、一般的なSPAMフィルター等は入れられません。
自前でのフィルタ実装を前提としたmailクライアント考える必要があります。

Comments

[pimsawa]

やはり、それらの対策はHTMLだけでは不可能ですか....。回答ありがとうございます。

Answer 3

HTMLだけでメールフォームを作ることは不可能ですので、脅威はありません。

と思ったけど、action=mailto で作るおつもり？

Comments

[pimsawa]

そうする予定でいます。

[退会済みユーザー]

スパムを送りつけられることも想定済みなら構いませんが、普通はそんな実装しませんね。

[pimsawa]

普通はそんなことやりませんよね...回答ありがとうございました。

Answer 4

思い付きレベルですが、
例えば以下みたいな実装にすれば、
メールアドレスを見つけたら無差別にスパムを送りつけるようなケースには対応出来そうな気がします。

スパマーのクローラーのリソースは有限なので、自動で解くにはちょっと面倒にすることで避けてもらう方向です。

一回でも人手で対応されたらアウトですが、その場合はメールアドレスを変更することで対応してイタチゴッコに勝つ方向で。

ただ、どう考えてもサーバサイドでの実装で頑張る方が確実でかつ楽です。

その1

1. フォームのページを.htaccessで日本以外からのアクセスを拒否する。
   1.フォーム自体をjavascriptで動的に生成する。javascriptの実行はスクレイピング時にコストが大きくなるので、実行しないクローラーはここで諦める。
   2.mailtoはフォーム生成時には作らず、フォーム入力が完了した段階で動的に生成する。メールアドレスはバラバラにして変数に格納しておき、javascriptが実行するかソースを理解しないと分からないようにする。
   3.2.のタイミングで、動的に画像を生成して表示される数字を入力させるなど、すると、簡単なjavascriptを実行するようなクローラーにも対応できるかも？普通はサーバサイドと組み合わせないとセキュリティ的には意味が無いです。

その2
フォームのあるページにbasic認証をかけ、フォームへのリンクがあるページにそのid/pwを書いておく。画像ならよりベター

Comments

[pimsawa]

HTMLだけでことを済ませようとするのは無理な話ですね、回答ありがとうございました。