Proteggere l’indirizzo e-mail sul sito web dallo spam

È ormai prassi per chi gestisce un sito web di inserire su una pagina un contatto e-mail, utile per chi la visita. Tuttavia, l’esposizione in rete delle informazioni di contatto nasconde in sé il pericolo di rimanere vittima di attacchi di spam. Esistono diversi trucchi per limitare l’accesso alla casella di posta elettronica da parte dei cosiddetti spambot, mantenendo al tempo stesso la conformità al GDPR. Ti presentiamo i metodi più popolari, analizzandone i relativi vantaggi e svantaggi.

E-mail harvesting: come gli spambot vanno a caccia di prede¶

Con e-mail harvesting (in italiano: “raccolta di e-mail”) s’intende l’acquisizione automatica di indirizzi di posta elettronica per scopi pubblicitari disonesti, attacchi di phishing oppure per diffondere software dannosi. In questi casi, software specializzati, i cosiddetti “e-mail harvester”, setacciano siti web, mailing list, forum su internet e piattaforme di social media alla ricerca di indirizzi di posta elettronica. Le indicazioni riguardanti le informazioni di contatto tanto ambite sono fornite dalla caratteristica sintassi alla quale corrispondono tutti gli indirizzi e-mail, come ad esempio il simbolo “@”. Gli spambot più avanzati includono nella ricerca anche i comuni metodi di scrittura alternativi, come ad esempio [at], [AT], (at), (AT).

La presenza di un link mailto all’interno del codice HTML di un sito web è un indizio ancora più chiaro per gli spambot a caccia di indirizzi e-mail. Il link, che ha questo aspetto mailto:utente@dominio.it, permette ai visitatori di aprire con un solo clic il proprio client di posta elettronica preferito. Chi gestisce un sito web farebbe quindi bene a superare i modelli classici utilizzati per l’inserimento di un contatto elettronico.

Visualizzazione classica dell’indirizzo e-mail senza protezione¶

Per proteggere un indirizzo di posta elettronica al meglio da una lettura automatica da parte di e-mail harvester, è utile prendere coscienza di come l’indirizzo venga solitamente integrato all’interno di un sito web. È possibile inserire nel codice di qualsiasi pagina HTML l’esempio seguente di una rappresentazione semplice e accessibile a tutti di un indirizzo di contatto elettronico:

<p>Se hai domande o suggerimenti scrivi un’e-mail a: 
<a href="mailto:utente@dominio.it">utente@dominio.it</a>.
</p>

Dal punto di vista dell’utente, questa è una rappresentazione ideale di un indirizzo di posta elettronica sul web. Per fare in modo che si mantenga il carattere user-friendly di questa forma di rappresentazione, i metodi più popolari usati per proteggere un indirizzo e-mail suggeriscono di rendere quest’ultimo irriconoscibile all’interno del codice sorgente, senza che la visualizzazione finale sul browser venga alterata. In alternativa, esiste anche la possibilità di separare l’indirizzo di posta elettronica dal sito web stesso e inoltrare la richiesta tramite un reindirizzamento lato server applicato al comando mailto.

Metodo 1: CAPTCHA¶

I CAPTCHA offrono la possibilità di difendere dallo spam un indirizzo e-mail pubblicato su un sito web. In questo processo, gli indirizzi e-mail crittografati vengono visualizzati in chiaro solo dopo che gli utenti hanno dimostrato di essere umani attraverso un controllo. Questi controlli possono includere compiti come la digitazione di una combinazione di lettere o numeri. Sono possibili anche brevi problemi aritmetici, esercizi di combinazione o puzzle.

I CAPTCHA offrono un livello di protezione relativamente elevato contro lo spam, poiché in questo caso gli indirizzi e-mail non vengono visualizzati affatto nel codice sorgente o solo in forma criptata. Grazie alle ampie possibilità di progettazione, i CAPTCHA si adattano bene anche al design di un sito web. Tuttavia, lo sforzo aggiuntivo richiesto per accedere all’indirizzo e-mail ha un impatto negativo sulla facilità d’uso del sito web ed è in contrasto con la richiesta di rendere accessibili a tutti importanti informazioni di contatto.

Metodo 2: sostituzione dell’indirizzo e-mail¶

Le strategie di protezione che si basano sulla sostituzione cancellano l’intero indirizzo e-mail dal codice sorgente e lo cambiano o con una rappresentazione grafica oppure con un link grazie al comando mailto.

Inserire l’indirizzo e-mail sotto forma di grafica¶

Se un indirizzo e-mail viene inserito sotto forma di grafica rimane leggibile all’occhio umano, mentre per un e-mail harvester risulta difficilmente riconoscibile. Includendo le informazioni di contatto appropriate sotto forma di grafica, è possibile quindi proteggere in modo relativamente efficace l’indirizzo e-mail del proprio sito web dallo spam. Il codice HTML appropriato si presenta, ad esempio, in questo modo:

<img src="percorso/fileimmagine.png" width="120" height="20" alt="="Se hai domande o suggerimenti scrivi un’e-mail a: utente@dominio.it">

Questa rappresentazione dell’e-mail risulta leggibile alla maggior parte delle persone. Tuttavia, il testo non può essere né copiato né collegato a un link mailto. Per la maggior parte degli utenti, digitare l’indirizzo rappresenta un’operazione piuttosto noiosa. Le persone con problemi di vista possono leggere l’indirizzo solo con l’aiuto dell’attributo alt, utilizzando ad esempio uno screen reader. In questo modo, però, il contatto e-mail diventa individuabile anche dagli spambot. Per questo motivo, questo metodo da solo non è raccomandato come misura preventiva contro lo spam.

Reindirizzamento dal collegamento HTML dell’indirizzo e-mail¶

Per assicurare una protezione efficace contro attacchi di harvesting al proprio indirizzo e-mail, c’è la possibilità di separare quest’ultimo dal sito web. In questo caso viene solitamente utilizzato uno script che reindirizza al riferimento mailto dopo un clic sul link. Si apre così il programma di posta elettronica dell’utente e vi viene inserito l’indirizzo e-mail. Per gli spambot che scansionano il codice sorgente di un sito web, un simile collegamento appare come un rimando a un file. L’attivazione di questo meccanismo di protezione avviene, ad esempio, inserendo un link su un file PHP che contiene il reindirizzamento:

<p> Se hai domande o suggerimenti scrivi un’
<a href="redirect-mailto.php">e-mail</a>.
</p>

Il contenuto del file redirect-mailto.php è uno script che reindirizza al link mailto tramite redirect:

<?php
header("Location: mailto:utente@dominio.it"); 
?>

Lo svantaggio di questa soluzione per la prevenzione dello spam consiste nel fatto che l’utente necessita di un handler (in italiano: gestore degli eventi) per il link mailto così da poter arrivare all’indirizzo mail. Nella pratica, solitamente si tratta di un client di posta elettronica come Outlook o Thunderbird, ma sui browser più recenti possono venire inseriti anche servizi di posta elettronica online.

Metodo 3: mascheramento dell’indirizzo e-mail¶

Se non si desidera che l’ indirizzo e-mail venga sostituito completamente da una grafica o da un link mailto, sono disponibili strategie alternative che permettono di crittografare o mascherare l’indirizzo e-mail.

Mascheramento tramite codifica dei caratteri¶

Le codifiche dei caratteri comunemente utilizzate per mascherare gli indirizzi e-mail nel testo di origine si basano su entità HTML e codice HEX. Questo metodo di codifica si presta molto bene al mascheramento di indirizzi di posta elettronica, poiché i relativi caratteri di riferimento vengono automaticamente tradotti nella visualizzazione del browser.

Se i caratteri specifici dell’indirizzo e-mail utente@dominio.it devono venire mascherati con l’aiuto di entità HTML, prima di tutto questi vengono tradotti nel modo alternativo di scrittura.

@ = @ . = . (punto)

Una volta inserito all’interno dell’indirizzo di posta elettronica, il risultato nel codice sorgente è il seguente:

<p>>Se hai domande o suggerimenti scrivi un’e-mail a:
<a href="mailto:utente&commat;dominio&period;it">utente&commat;dominio&period;it</a>
</p>

Se invece si desidera cifrare l’intero indirizzo e-mail, si può utilizzare la rappresentazione tramite codifica HEX, per cui viene impiegato il codice numerico Unicode e notato come segue:

codicenumerico;

Solitamente si utilizza la cifra HEX del carattere in questione contraddistinta da una “x”. La lettera “m” viene quindi trascritta “m” oppure in sequenza decimale “m”. L’esempio di indirizzo e-mail utente@dominio.it, includendo mailto, sarà quindi rappresentato nel modo seguente:

<p>Se hai domande o suggerimenti scrivi un’
<a href="&#x6d;&#x61;&#x69;&#x6c;&#x74;&#x6f;&#x3a;&#x75;&#x73;&#x65;&#x72;&#x40;&#x64;&#x6f;&#x6d;&#x61;&#x69;&#x6e;&#x2e;&#x64;&#x65;">e-mail</a>.
</p>

In linea di massima, un mascheramento dell’indirizzo di posta elettronica è traducibile abbastanza velocemente in una codifica di simboli. Tuttavia, la loro efficacia nel proteggere un indirizzo e-mail si è ridotta rispetto al passato, poiché nel frattempo la maggior parte degli spambot sono programmati in un modo per cui ormai riescono a decifrare questa semplice forma di codifica facilmente.

Mascheramento tramite completamento¶

Di base sarebbe possibile nascondere un indirizzo di posta elettronica dagli spambot interrompendolo con simboli aggiuntivi. Così facendo, i programmi non percepiscono più l’indirizzo nella sua forma completa, per cui viene impedita anche una sua eventuale lettura automatica. Una possibilità semplice di realizzare questa opzione è fornita per esempio dai commenti HTML che appaiono nel modo seguente:

<!-- commento -->

Se questi commenti vengono aggiunti all’indirizzo di posta elettronica, allora gli spambot che stanno scansionando il sito web andranno inevitabilmente a imbattersi nel codice seguente:

<p>Se hai domande o suggerimenti scrivi un’e-mail a: 
u<!-- commento -->tente@domini<!-- commento -->o.it.
</p>

Mentre gli utenti in carne e ossa vedranno sul browser l’indirizzo e-mail corretto, lo spambot, invece, probabilmente leggerà il testo nascosto all’interno dell’elemento span. Lo svantaggio del mascheramento tramite completamento è che l’indirizzo non può essere collegato con un rimando HTML e gli utenti sono quindi costretti a copiarlo manualmente nei propri programmi di posta elettronica.

Metodo 4: crittografia dell’indirizzo e-mail¶

ROT13 è una soluzione comunemente utilizzata per crittografare un indirizzo e-mail. Questo può essere applicato con poche righe in JavaScript:

<script type="text/javascript">
function decode(a) {
  return a.replace(/[a-zA-Z]/g, function(c){
    return String.fromCharCode((c <= "Z" ? 90 : 122) >= (c = c.charCodeAt(0) + 13) ? c : c - 26);
  })
}; 
function openMailer(element) {
var y = decode("znvygb:orahgmre@qbznva.qr");
element.setAttribute("href", y);
element.setAttribute("onclick", "");
element.firstChild.nodeValue = "Apri il client di posta elettronica";
};
</script>
<a id="email" href=" " onclick='openMailer(this);'>E-mail: fai clic qui</a>

Il codice d’esempio mostra nella riga 9 la versione cifrata dell’indirizzo di posta elettronica utente@dominio.it includendo anche la stringa di testo mailto (znvygb:orahgmre@qbznva.qr), così come nelle righe dalla 2 alla 7 viene mostrato come va decifrato il codice. La funzione che va dalla riga 8 alla 13 apre il client di posta elettronica predefinito dall’utente e scrive l’indirizzo decifrato nella riga del destinatario.

Lo script si avvia nel momento in cui si fa clic sul link con il testo di ancoraggio “E-mail: fai clic qui” (righe 15-16). Una volta effettuato il clic, apparirà il testo “Apri il client di posta elettronica” (riga 12).