Спам в форме заявки: как отсечь ботов

Почему боты нашли именно вашу форму

Это не про вас и не про вашу нишу. Форма заявки видна в коде страницы: там написано, какие в ней поля, как они называются и по какому адресу уходит отправленное. Программа обходит сайты подряд, по шаблону. Находит в коде форму, подставляет в каждое поле заготовку и нажимает кнопку. Ваш сайт попал в этот обход вскоре после того, как его начали показывать в поиске, и перестанет попадать только вместе с сайтом.

Задачи у обходов разные, и по содержимому мусора их видно:

• Размещение ссылок. В поле «комментарий», а то и в поле «имя», лежит адрес чужого сайта. Расчёт на то, что заявка где-то отобразится открыто — в админке, в чате, на странице отзывов.
• Проверка, что форма жива. Пустая или бессмысленная заявка, после которой через неделю приходит поток осмысленного мусора. Первая отправка была разведкой.
• Поиск рабочего отправителя писем. Форма отправляет письмо с вашего сервера. Если её можно заставить отправить его на произвольный адрес, ваш сайт превращается в чужой рассыльный пункт, а домен попадает в чёрные списки.
• Сбор адресов. Ответ на заявку подтверждает, что ящик читает живой человек, и адрес уходит в базу для рассылок.

Важно сразу снять тревогу: мусор в форме — это не взлом. Сайт работает ровно так, как задуман, просто кнопку нажимает программа. Если же заявки перестали доходить до вас вообще, причина другая и ищется по другому списку — он разобран в статье «Заявки с сайта не приходят».

Как работает скрытое поле, которого человек не видит

Самая дешёвая мера и самая действенная из простых. В форму добавляется лишнее поле с нейтральным названием вроде company_fax или email2, спрятанное от глаз. Человек его не видит и не трогает. Программа читает в коде все поля сразу и заполняет их подряд — иначе она не умеет. Пришла заявка с непустой приманкой — значит, отправлял не человек.

Тонкостей здесь три, и каждая однажды всё ломала.

1. Поле прячется стилями, а не пометкой «скрытое». Технически скрытые поля многие обходы распознают и оставляют пустыми.
2. Поле убирается с пути клавиатуры и экранных читалок. Человек, который заполняет форму с клавиатуры или слушает её вслух, иначе попадёт в приманку. Его заявка пропадёт молча — именно у того посетителя, которому и так труднее всех.
3. Отбрасывать нужно без объяснений. Никаких сообщений «вы робот»: на экране всё выглядит как успешная отправка. Иначе обход получает обратную связь и подбирает способ обойти проверку.

Лишних движений у человека приманка не отнимает и денег не стоит. Поэтому она ставится всегда и первой — в том числе на короткую форму из двух полей, про которую мы писали в разборе формы заявки.

Зачем проверять время заполнения

Вторая невидимая мера. Страница запоминает момент, когда форму открыли. Сервер смотрит, сколько прошло до отправки. Человек читает подписи, думает, переключает раскладку и набирает телефон — на это уходят секунды. Программа отправляет мгновенно.

Нижний порог ставится свободным. Трёх секунд на короткую форму хватает, чтобы отсечь мгновенную отправку, и мало, чтобы помешать человеку с подставленными браузером именем и телефоном. Десять секунд — уже опасно: быстрые посетители существуют, и терять их ради лишнего отсечённого мусора невыгодно.

Считать время обязан сервер: проверка, которая живёт только в браузере, обходится вместе с браузером.

Приманка и таймер — две меры, которые ничего не отнимают у человека. Вопрос они не закрывают: поток падает, но не до нуля. Следующие меры уже с ценой, и ставить их стоит по одной, глядя на результат.

Когда помогает ограничение частоты отправок

Правило простое: с одного адреса не больше нескольких заявок за промежуток времени. Разумная отправная точка — три отправки за десять минут и десяток за сутки, дальше форма просит подождать. Честная оговорка: за одним адресом может сидеть целый офис, а мобильный оператор выдаёт один адрес сразу многим абонентам. Поэтому порог ставится свободным, а превышение не блокирует человека навсегда — оно только замедляет поток. Эта мера против вала, а не против единичного мусора. От одной заявки в день она не спасает, зато гасит ночной поток, в котором настоящая заявка теряется между сотнями писем.

Что можно отсечь по содержимому заявки

Здесь мусор режут по признакам самой заявки, и здесь же проще всего навредить себе.

• Ссылка в поле «имя» или «телефон». Надёжный признак: человек туда ссылку не пишет никогда.
• Телефон, который не похож на телефон, при пустом или бессмысленном имени.
• Комментарий длиной в несколько тысяч знаков со списком адресов.
• Латиница в форме, где ожидается русское имя.

Последний признак — пример того, как фильтр ловит живого человека. Клиент по имени John, латинская раскладка на чужом компьютере, иностранный партнёр — всё это настоящие заявки. Поэтому по содержимому заявка не удаляется, а помечается. Она уходит в отдельную папку, и по теме письма видно, что сработал фильтр. Папку раз в неделю просматривают глазами. Разница между «отбросить» и «пометить» стоит ровно столько, сколько стоит одна потерянная сделка.

Когда всё-таки ставить капчу и чем за неё платят

Капча — reCAPTCHA от Google или Yandex SmartCaptcha — ставится последней и не по умолчанию, потому что платят за неё не только деньгами.

Платит за капчу конверсия. Это лишний шаг между человеком и кнопкой: задание не загрузилось на слабом интернете, картинки не распознались с третьего раза, посетитель в метро бросил, человек с экранной читалкой не смог пройти вовсе. Каждый такой случай — заявка, которой у вас не будет, и в отчётах она не видна: несостоявшихся обращений не считает никто. Насколько именно капча снижает число заявок, мы не напишем: своих замеров у нас нет, а чужой процент без названного исследования — цифра из воздуха.

Ставить капчу имеет смысл в трёх случаях: приманка и таймер уже стоят, а поток не падает; мусор идёт сотнями в сутки и разбор отнимает рабочее время; форма ведёт к дорогому действию — оплате, записи на приём, регистрации. Во всех трёх случаях разумнее невидимый вариант. У SmartCaptcha это подключение без кнопки «Я не робот»: по документации Yandex Cloud (обращение 1 ноября 2026 года) окно с заданием видят только те, чьи запросы сервис счёл подозрительными.

И отдельно, потому что это путают: галочка о согласии на обработку персональных данных от ботов не защищает. Программа ставит её так же легко, как заполняет остальные поля, а нужна она совсем для другого.

Что доделывает почта

Абсолютной защиты не бывает, поэтому последний рубеж всегда почтовый: сайт отсекает поток до отправки письма, почта разбирает остаток и раскладывает его по папкам — так входящие остаются чистыми. И отдельная вещь, без которой весь разбор теряет смысл: письмо с формы должно уходить с ящика на вашем домене. Если оно отправляется от имени домена через чужой бесплатный сервис, почтовые службы начинают класть в спам ваши собственные заявки — и настоящие обращения оказываются в той же папке, где лежит мусор. Как это настраивается, разобрано в статье «Почта на своём домене».

Что из этого входит в наш тариф

Форма заявки входит в любой тариф: «Старт» — 24 900 ₽, «Визитка» — 49 900 ₽, «Компания» — 99 900 ₽, «Магазин» — 179 900 ₽. Какие из перечисленных мер в ней уже стоят, стоит уточнить до оплаты — отдельной строкой антиспам в состав тарифа не записан.

Чего эта защита не делает, стоит назвать прямо. Она не охраняет сайт от взлома — это отдельная задача и другие меры. Она не отличает хорошую заявку от бесполезной: человек не из вашего города или с бюджетом вдвое меньше — не спам, и фильтром такое не лечится. Она не даёт нуля. Тот, кто захочет завалить конкретную форму вручную или чужими руками, пройдёт любую капчу — и тогда вопрос решается не настройкой, а отключением формы на несколько дней.

Если мусор начался уже после сдачи, настройка делается в обслуживании: «База» за 4 900 ₽ в месяц даёт две правки, «Актив» за 9 900 ₽ — правки без ограничения. На нашу работу действует гарантия 30 дней.

Как убедиться, что живые заявки доходят

Защиту проверяют с той стороны, с которой придёт клиент. Отправьте заявку сами с телефона, заполняя поля спокойно, и убедитесь, что письмо пришло. Потом отправьте вторую, очень быстро, подставив сохранённые данные. Она тоже обязана дойти — иначе порог таймера выставлен слишком высоко. Повторяйте раз в месяц — форма ломается молча.

И главное, что стоит считать. Смотреть надо не на то, сколько мусора отсечено, а на то, сколько заявок дошло. Если после установки капчи спам исчез, а число обращений за тот же период упало вдвое, защита сработала против вас. Она обошлась дороже того, от чего избавила.