Waarom ontvangt uw website spam via het contactformulier, en hoe voorkomt u dat?

Inleiding

U ziet een nieuwe aanvraag binnenkomen via uw website, u opent hem vol verwachting… en het is reclame voor badkleding, een aanbieding voor “SEO op pagina 1” of een link naar een website die u niet kent. Herkenbaar? Dan bent u zeker niet de enige.

Spam via het contactformulier komt bij bijna elke website voor. In dit artikel leest u waarom dat gebeurt, hoe u spam herkent, wat u er beter niet mee doet en hoe u het grootste deel kunt tegenhouden.

Waarom ontvangt uw website spam?

De meeste spam wordt niet door mensen verstuurd, maar door bots: programma’s die automatisch het internet afstruinen op zoek naar formulieren. Vinden ze er een, dan vullen ze dat in met hun eigen tekst en versturen ze het. Dat gebeurt dag en nacht, bij duizenden websites tegelijk.

Het is dus geen persoonlijke aanval en het zegt niets over uw website. Een contactformulier is voor spammers simpelweg een gratis manier om hun bericht rechtstreeks in een echte inbox te krijgen. Hun doel is meestal:

• reclame maken voor een product of dienst;
• u naar een (soms onbetrouwbare) website lokken;
• phishing: u laten klikken op een link of gegevens laten invullen;
• controleren of uw formulier werkt, zodat ze er later meer kunnen sturen.

Hoe herkent u spam?

Spam ziet er vaak net echt uit. Let op deze signalen:

• Alle keuzes zijn aangevinkt. Een echte klant kiest één of twee onderwerpen, een bot vinkt vaak gewoon alles aan.
• Een link naar een onbekende website, zonder dat er een echte vraag bij staat.
• Een algemene aanhef, zoals “Hoi hoi, hoop dat het goed met je gaat!”, zonder uw naam of bedrijf te noemen.
• Het bericht gaat nergens over uw diensten, maar over iets wat de afzender wil verkopen.
• Een naam en e-mailadres die niet bij elkaar passen, of een tekst in gebrekkig of automatisch vertaald Nederlands.
• Verzonden midden in de nacht, vaak meerdere berichten kort na elkaar.

Wat doet u met een spambericht?

• Klik niet op links in het bericht.
• Antwoord niet. Daarmee bevestigt u dat het adres actief is.
• Markeer het bericht als spam in uw mailprogramma en verwijder het.
• Twijfelt u of een bericht echt is? Zoek het bedrijf of de persoon dan zelf op, in plaats van op de link in het bericht te klikken.

Zo voorkomt u spam via uw contactformulier

Helemaal spamvrij wordt een formulier nooit. Maar met een paar maatregelen houdt u verreweg het meeste tegen. Het beste werkt een combinatie.

1. Een honeypot (onzichtbaar veld)

Een honeypot is een extra veld dat bezoekers niet zien, maar bots wel. Een bot vult alles in, dus ook dat veld. Is het ingevuld, dan weet uw website dat het om een bot gaat en wordt het bericht niet verstuurd. Echte bezoekers merken er niets van.

• Elementor Pro: voeg in uw formulier een veld toe van het type Honeypot.
• Contact Form 7: installeer een honeypot-plugin, zoals Honeypot for Contact Form 7.

2. Een CAPTCHA, het liefst zonder puzzels

Een CAPTCHA controleert op de achtergrond of er een mens achter het scherm zit. De bekende varianten zijn Google reCAPTCHA v3 en Cloudflare Turnstile. Beide werken meestal onzichtbaar, zonder dat bezoekers plaatjes met zebrapaden hoeven aan te klikken.

Let op: een CAPTCHA van een externe partij stuurt gegevens van uw bezoekers naar die partij. Vermeld dat in uw privacyverklaring. Turnstile verzamelt minder gegevens dan reCAPTCHA en is daarom vaak de privacyvriendelijkere keuze.

3. Een inhoudsfilter

Een filter zoals Akismet kijkt naar de inhoud van het bericht en vergelijkt die met spam die elders al is gemeld. Akismet werkt onder andere samen met Contact Form 7. Voor zakelijke websites is een betaald abonnement nodig.

4. Slimme regels

Ook zonder extra diensten kunt u veel spam herkennen aan het gedrag. Denk aan:

• berichten die binnen enkele seconden na het laden van de pagina worden verstuurd (geen mens typt zo snel);
• berichten waarin alle keuzevakjes zijn aangevinkt;
• berichten met links, zeker in combinatie met andere signalen;
• te veel berichten in korte tijd vanaf hetzelfde adres.

Deze regels vragen meestal wat maatwerk of een extra plugin. Op onze eigen website gebruiken wij precies zo’n combinatie: een honeypot, een tijdscontrole, een maximum aantal berichten per uur en een spamscore op de inhoud. Verdachte berichten worden dan stil tegengehouden, zonder dat echte bezoekers iets merken.

5. Houd uw website up-to-date

Verouderde formulierplugins kunnen zwakke plekken hebben die spammers misbruiken. Werk WordPress, uw thema en uw plugins daarom regelmatig bij. Lees ook hoe u updates uitvoert zonder risico.

Niet te streng afstellen

Een spamfilter dat te streng staat, houdt ook echte aanvragen tegen. En die mist u liever niet. Test daarom na elke aanpassing zelf uw formulier, bijvoorbeeld vanaf uw telefoon, en controleer of het bericht netjes binnenkomt. Komt er ineens helemaal niets meer binnen? Lees dan ook Mijn contactformulier werkt niet.

Kort samengevat

• Spam via het contactformulier komt van bots en overkomt bijna elke website.
• Herken het aan alle aangevinkte keuzes, onbekende links en algemene teksten.
• Klik niet op links, antwoord niet en markeer het bericht als spam.
• Combineer een honeypot, een onzichtbare CAPTCHA en eventueel een inhoudsfilter.
• Test uw formulier na elke wijziging, zodat echte aanvragen gewoon binnenkomen.

Hulp nodig?

Krijgt u veel spam via uw formulier, of wilt u dat wij de beveiliging voor u instellen? Wij kijken graag mee en stellen uw formulier zo in dat spam wordt tegengehouden en echte aanvragen gewoon binnenkomen. Neem contact met ons op, of laat het onderhoud aan ons over met een onderhoudspakket.