Аналог php функции mail()

[apexis]

Пришло сообщение в админку сайта о рассылке 500 сообщений с сервера хостинга. Мне сказали, что с помощью функции mail(), которую я использую в форме обратной связи, можно рассылать спам. Как можно заменить функцию mail() или обезопасить форму обратной связи?

[Zippovich]

капча

[SelenIT]

http://phpfaq.ru/mail#inj

[apexis]

http://phpfaq.ru/mail#inj

Из статьи я понял, что все $_POST должны быть только в $body, как в коде ниже, и этого будет достаточно.

$header ="Content-Type: text/html; charset=windows-1251\n";
$body = '<br />ФИО: '.$_POST['name'].'<br />Телефон: '.$_POST['phone'].'<br />E-mail:'.$_POST['email'].'<br />Сообщение:'.$_POST['message'];
$to = 'a@mail.ru';
$subject = 'Сообщение';
mail ($to,$subject,$body,$header);

Правильно?

Edited April 13, 2013 by apexis

[Zippovich]

почему люди меня не слушают?

на Вашу форму натравили робота, поставьте капчу, это решит проблему.

[moron]

капча

Походу тут более глубокая проблема: почему через форму обратной связи, которая по логике, должна слать письма только на определенные ящики, можно спамить широкому кругу людей? Можно конечно поставить капчу, но куда логичнее было бы изменить сам код...

[Zippovich]

Может так оно и есть.

[apexis]

капча

Капча мне не нравиться из-за того что нужно заполнять лишнее поле и не всегда вводишь правильные символы с первого раза. К тому же, роботы и её умеют обходить.

[sitemaker999]

wwt, ну почему ты убегаешь

извините, это я одного ловлю по всему форуму

Edited April 14, 2013 by sitemaker999

[wwt]

wwt, ну почему ты убегаешь

извините, это я одного ловлю по всему форуму

не стоит флудить во всех темах, если у вас есть какой-то конкретный вопрос к кому то просто напишите ему в ЛС, а то как то не удобно даже )

[rus]

1) как уже написали выше, все данные введенные в форму юзером - необходимо проверять на корректность.

2) установить таймаут между отправленными сообщениями на ...n время для одного и того же юзера, т.е. для одной и той же сессии.

[SelenIT]

Из статьи я понял, что все $_POST должны быть только в $body,

Да, главная мысль такая. Нельзя, чтобы «сырые» пользовательские данные использовались в SMTP-заголовках (напр. обратном адресе, не говоря уже об адресе получателя).

[apexis]

Еще такой вопрос. В форме указан мой e-mail. Как его защитить от спам-ботов?

[wwt]

Вставляйте его на стороне сервера статически не используя данные полученные с клиентской стороны.

[apexis]

Вставляйте его на стороне сервера статически не используя данные полученные с клиентской стороны.

Можно пример?

[Zippovich]

mail('to@my-email.com', ...);

[apexis]

mail('to@my-email.com', ...);

А разве есть разница, e-mail в переменной или в mail()?

Edited April 16, 2013 by apexis

[Kelin]

mail('to@my-email.com', ...);

А разве есть разница, e-mail в переменной или в mail()?

Конечно, есть. Значение переменной e-mail можно изменить, что и делали спам-боты.

[SelenIT]

В переменную можно засунуть что-нибудь типа "me@here.com\r\nTo: you@there.net\r\n...\r\nTo: somebody-else@somewhere.org", т.е. огромный список адресатов вместо одного.

[apexis]

Ясно, спасибо за советы