Pošta s Vaše web stranice i obrazaca

Modul 7: Newsletteri i e-mail s Vaše web stranice · Vrijeme čitanja: 11 minuta

Cilj učenja: Nakon ove lekcije moći ćete postaviti poštu s web stranice (kontaktni obrasci, potvrde narudžbi, obavijesti WordPressa) tako da stiže, ne izaziva probleme s DMARC-om i da Vaš paket ne bude zlorabljen.

Ključni pojmovi: PHP mail(), SMTP s prijavom, envelope pošiljatelj, From naspram Reply-To, adresa posjetitelja nikada kao From, SMTP dodatak (plugin), transakcijska pošta, spam putem obrazaca, captcha, honeypot, ograničenje slanja, lokalna dostava kada se MX nalazi drugdje

Vaša web stranica je također program za e-poštu

Vaša web stranica šalje više pošte nego što mislite. Kontaktni obrazac Vam šalje svaku poruku. Internetska trgovina šalje potvrde narudžbi, račune i obavijesti o slanju. WordPress šalje poštu kod novog komentara, ažuriranja ili resetiranja lozinke. Za primatelja je to obična pošta s Vaše domene i jednako se strogo provjerava kao i pošta iz Vaše mailbox: SPF, DKIM, DMARC, reputacija.

Ipak, pošta s web stranice češće zakaže nego obična pošta. To je obično posljedica jedne od tri stvari: načina slanja, adrese pošiljatelja ili zlouporabe obrasca.

Način 1: PHP mail()

Najjednostavniji način da web stranica pošalje poštu jest PHP funkcija mail(). Web stranica tada predaje poštu izravno programu za e-poštu web poslužitelja, bez prijave. Obično funkcionira, ali ima nedostataka:

• Envelope pošiljatelj (Return-Path) često postaje sistemski račun Vašeg paketa, poput gebruiker@server.hosting.example, a ne Vaša adresa. SPF se tada provjerava za domenu poslužitelja i stoga nije usklađen (aligned) s domenom u Vašem From polju (lekcija 7.1).
• Hoće li biti dodan DKIM potpis Vaše domene ovisi o poslužitelju. Na nekim poslužiteljima hoće, na drugima ne.
• Ništa ne vidite. Ako pošta ne stigne ili dobijete bounce, on odlazi na sistemski račun koji nitko ne pregledava.
• Nema ograničenja po obrascu. Ako se obrazac zlorabi, poslužitelj šalje poštu u Vaše ime sve dok se ne dosegne ograničenje Vašeg paketa.

Način 2: SMTP s prijavom (bolje)

Neka Vaša web stranica šalje poštu kao što to radi Vaš program za e-poštu: prijavom na odlazni poslužitelj pošte sa stvarnom mailbox, putem priključka 587 (STARTTLS) ili 465 (SSL/TLS), s punom e-mail adresom kao korisničkim imenom (lekcije 1.4 i 2.1). Tada:

• envelope pošiljatelj je Vaša adresa i pošta se potpisuje kao i obična pošta s Vaše domene;
• bounce poruke stižu u mailbox koju možete pročitati;
• poslana pošta se, ako to želite, nalazi u mapi Sent;
• možete po mailbox postaviti vlastito ograničenje slanja.

U WordPressu to radite pomoću SMTP dodatka (plugin). On zamjenjuje standardnu funkciju slanja pošte WordPressa slanjem putem SMTP-a. Upisujete iste podatke kao u programu za e-poštu: poslužitelj, priključak, sigurnost, korisničko ime i lozinku. Za to po mogućnosti izradite zasebnu mailbox, na primjer website@example.com. Ako lozinka ikada bude ukradena, Vaša vlastita mailbox ostaje sigurna, a na prvi pogled vidite koja pošta dolazi s web stranice.

Za vlastitu PHP stranicu postoje biblioteke koje šalju poštu putem SMTP-a, poput PHPMailera. Lozinku stavite u konfiguracijsku datoteku izvan web mape, a ne u kôd stranice.

Kod WebOké podaci za SMTP nalaze se u DirectAdmin uputi 8.1, s nazivom poslužitelja Vašeg paketa; kod drugih pružatelja nalaze se u uputi ili e-mailu dobrodošlice i funkcioniraju na isti način.

Puno transakcijske pošte? Koristite uslugu

Ako šaljete stotine potvrda narudžbi dnevno, isplati se koristiti transakcijsku uslugu: uslugu slanja za automatsku poštu. Ona ima dobru reputaciju i pokazuje što se dogodilo sa svakom porukom. Domenu povezujete isto kao kod usluge za newslettere (DKIM putem CNAME-a, lekcija 7.1). Transakcijsku poštu i newslettere držite odvojenima: neuspjela kampanja ne smije utjecati na potvrdu Vaših narudžbi.

Zlatno pravilo: adresa posjetitelja nikada nije pošiljatelj

Kod kontaktnog obrasca primamljivo je poštu poslati "u ime" posjetitelja. Tada u programu za e-poštu možete izravno kliknuti Odgovori. To izgleda ovako:

From: Pieter <pieter@example.net>
To: info@example.com
Subject: Vraag via het contactformulier

No, Vaš poslužitelj uopće ne smije slati poštu u ime example.net. Pretpostavimo da example.net ima DMARC politiku p=reject. Poslužitelj primatelja (Vaš, ili Googleov ako preusmjeravate poštu) vidi poruku s From adresom example.net koja ne prolazi SPF ili DKIM provjeru domene example.net, i odbija je. Mnoge velike domene za e-poštu imaju strogu politiku: provjerom 8. studenog 2026. domene yahoo.com, aol.com, ziggo.nl i kpnmail.nl imale su DMARC politiku p=reject, a icloud.com, gmx.de i web.de politiku p=quarantine. Posjetitelj s takvom adresom ispuni Vaš obrazac, a Vi poruku nikada ne primite ili završi u mapi neželjene pošte. Domene s politikom p=none (poput, u tom trenutku, gmail.com i hotmail.com) mogu svoju politiku pooštriti u bilo kojem trenutku, a Google u svojim smjernicama izričito navodi da ne smijete oponašati Gmail adrese u From polju. Dakle, nikada se ne oslanjajte na to da će sve biti u redu.

Ispravan način:

From: Website example.com <website@example.com>
Reply-To: Pieter <pieter@example.net>
To: info@example.com
Subject: Vraag via het contactformulier

Pošiljatelj je Vaša vlastita adresa, pa su SPF, DKIM i DMARC ispravni. Adresa posjetitelja nalazi se u polju Reply-To. Kliknete li na Odgovori, Vaš odgovor ide Pieteru. U većini dodataka za obrasce (plugin) to se nalazi u postavkama pošte: kod Pošiljatelj (From) postavite fiksnu adresu svoje domene, a kod Reply-To polje u koje posjetitelj upisuje svoju adresu.

Zaštita obrazaca od zlouporabe

Obrazac bez zaštite prije ili kasnije pronađu botovi. U najboljem slučaju dobivate spam. U najgorem slučaju zlorabe ga za slanje spama drugima: ako Vaš obrazac šalje potvrdu na "adresu koju posjetitelj upiše", bot tamo može upisati bilo koju adresu na svijetu, s vlastitim tekstom u poruci. Tada Vaša domena šalje spam, sa svim posljedicama za Vašu reputaciju (lekcija 5.2).

Zaštita u slojevima:

• Captcha ili nevidljiva provjera (poput reCAPTCHA ili Turnstile) zaustavlja većinu botova.
• Honeypot: skriveno polje koje ljudi ne vide, a botovi ga ispunjavaju. Ako je ispunjeno, poruka se ne šalje.
• Bez slobodnog teksta u potvrdi posjetitelju, ili uopće bez potvrde na navedenu adresu. Jednostavna poruka "Hvala, primili smo Vašu poruku" na stranici je dovoljna.
• Ograničenje slanja po mailbox za mailbox web stranice, niže od onoga za Vaš paket.
• Ažuriranje softvera. Stari dodaci (plugini) poznati su ulaz za zlouporabu.

Primijetite li da Vaš paket odjednom šalje puno pošte ili dobijete obavijest da je dosegnuto dnevno ograničenje dok Vi sami šaljete malo pošte? Odmah promijenite lozinke i provjerite koji obrazac ili skripta šalje poštu (lekcija 3.4).

Pošta je drugdje, web stranica je ovdje

Česta zamka: Vaša web stranica nalazi se kod jednog pružatelja, a Vaša pošta kod drugog (na primjer Microsoft 365 ili Google Workspace). Vaš MX pokazuje na tog drugog pružatelja. No web poslužitelj i dalje misli da sam obrađuje poštu za Vašu domenu, jer se domena nalazi i na njegovom vlastitom paketu. Poštu iz obrasca prema info@example.com tada dostavlja lokalno, u mailbox na web poslužitelju koju nitko ne pregledava, ili vraća grešku poput 550 ... mailbox unavailable.

Rješenje je u panelu web poslužitelja označiti da se pošta obrađuje drugdje. U DirectAdminu kod WebOké to je kvačica "Koristi ovaj poslužitelj za obradu moje e-pošte" kod MX Records (isključite je). Drugi paneli imaju slične postavke, poput "usmjeravanje e-pošte: vanjsko" u cPanelu. Još bolje: neka web stranica šalje poštu putem SMTP-a koristeći mailbox kod pružatelja kod kojeg se zapravo nalazi Vaša pošta.

Sažetak

• Pošta s web stranice provjerava se jednako strogo kao i obična pošta. Neka stranica šalje poštu putem SMTP-a s prijavom, a ne putem mail().
• Koristite zasebnu mailbox za web stranicu, s vlastitim ograničenjem slanja.
• Adresa posjetitelja pripada u Reply-To, nikada u From. Inače DMARC ne prolazi, a kod domena s p=reject (poput yahoo.com, ziggo.nl, kpnmail.nl) pošta se odbija.
• Zaštitite obrasce captchom, honeypotom i izbjegavajte slobodne potvrde na navedene adrese.
• Ako se Vaša pošta nalazi kod drugog pružatelja, isključite lokalnu dostavu na web poslužitelju ili šaljite poštu putem SMTP-a kod tog pružatelja.

Kviz

Zadatak

Zadatak O7.3: Provjera pošte s web stranice. Ispunite obrazac na vlastitoj web stranici koristeći Gmail ili Outlook.com adresu kao pošiljatelja i pogledajte zaglavlja poruke koja Vam stigne. Odgovorite na kontrolni popis: koja adresa stoji u From, nalazi li se adresa posjetitelja u Reply-To, što govore spf=, dkim= i dmarc= kod Authentication-Results, šalje li Vaša stranica poštu putem SMTP-a ili putem mail(), i ima li obrazac captchu ili honeypot? Ako nemate vlastitu web stranicu, odgovorite na pitanja za primjer iz ove lekcije. Nakon toga dobit ćete predloženi odgovor.

Daljnje čitanje

Koraci u ovim člancima vrijede za panele WebOké; kod drugih pružatelja funkcionira slično.

• Kontaktni obrazac na Vašoj web stranici: slanje polja e-poštom i sprječavanje neželjene pošte
• Kako u PHP-u s funkcijom mail() dobiti ispravnog pošiljatelja? SMTP
• Slanje e-pošte putem PHP-a ne radi, MX zapisi upućuju na drugi server
• Ograničenje za slanje e-pošte
• Dosegnuto dnevno ograničenje e-pošte
• DirectAdmin priručnik 8.1: Svi postavci na jednom mjestu: serveri, portovi i sigurnost
• DirectAdmin priručnik 5.10: E-mail kod Microsoft 365 ili Google Workspace, web stranica kod WebOké