Pro­teg­ge­re l’indirizzo e-mail sul sito web dallo spam

È ormai prassi per chi gestisce un sito web di inserire su una pagina un contatto e-mail, utile per chi la visita. Tuttavia, l’espo­si­zio­ne in rete delle in­for­ma­zio­ni di contatto nasconde in sé il pericolo di rimanere vittima di attacchi di spam. Esistono diversi trucchi per limitare l’accesso alla casella di posta elet­tro­ni­ca da parte dei co­sid­det­ti spambot, man­te­nen­do al tempo stesso la con­for­mi­tà al GDPR. Ti pre­sen­tia­mo i metodi più popolari, ana­liz­zan­do­ne i relativi vantaggi e svantaggi.

E-mail har­ve­sting: come gli spambot vanno a caccia di prede

Con e-mail har­ve­sting (in italiano: “raccolta di e-mail”) s’intende l’ac­qui­si­zio­ne au­to­ma­ti­ca di indirizzi di posta elet­tro­ni­ca per scopi pub­bli­ci­ta­ri disonesti, attacchi di phishing oppure per dif­fon­de­re software dannosi. In questi casi, software spe­cia­liz­za­ti, i co­sid­det­ti “e-mail harvester”, se­tac­cia­no siti web, mailing list, forum su internet e piat­ta­for­me di social media alla ricerca di indirizzi di posta elet­tro­ni­ca. Le in­di­ca­zio­ni ri­guar­dan­ti le in­for­ma­zio­ni di contatto tanto ambite sono fornite dalla ca­rat­te­ri­sti­ca sintassi alla quale cor­ri­spon­do­no tutti gli indirizzi e-mail, come ad esempio il simbolo “@”. Gli spambot più avanzati includono nella ricerca anche i comuni metodi di scrittura al­ter­na­ti­vi, come ad esempio [at], [AT], (at), (AT).

La presenza di un link mailto all’interno del codice HTML di un sito web è un indizio ancora più chiaro per gli spambot a caccia di indirizzi e-mail. Il link, che ha questo aspetto mailto:utente@dominio.it, permette ai vi­si­ta­to­ri di aprire con un solo clic il proprio client di posta elet­tro­ni­ca preferito. Chi gestisce un sito web farebbe quindi bene a superare i modelli classici uti­liz­za­ti per l’in­se­ri­men­to di un contatto elet­tro­ni­co.

Vi­sua­liz­za­zio­ne classica dell’indirizzo e-mail senza pro­te­zio­ne

Per pro­teg­ge­re un indirizzo di posta elet­tro­ni­ca al meglio da una lettura au­to­ma­ti­ca da parte di e-mail harvester, è utile prendere coscienza di come l’indirizzo venga so­li­ta­men­te integrato all’interno di un sito web. È possibile inserire nel codice di qualsiasi pagina HTML l’esempio seguente di una rap­pre­sen­ta­zio­ne semplice e ac­ces­si­bi­le a tutti di un indirizzo di contatto elet­tro­ni­co:

<p>Se hai domande o suggerimenti scrivi un’e-mail a: 
<a href="mailto:utente@dominio.it">utente@dominio.it</a>.
</p>

Dal punto di vista dell’utente, questa è una rap­pre­sen­ta­zio­ne ideale di un indirizzo di posta elet­tro­ni­ca sul web. Per fare in modo che si mantenga il carattere user-friendly di questa forma di rap­pre­sen­ta­zio­ne, i metodi più popolari usati per pro­teg­ge­re un indirizzo e-mail sug­ge­ri­sco­no di rendere quest’ultimo ir­ri­co­no­sci­bi­le all’interno del codice sorgente, senza che la vi­sua­liz­za­zio­ne finale sul browser venga alterata. In al­ter­na­ti­va, esiste anche la pos­si­bi­li­tà di separare l’indirizzo di posta elet­tro­ni­ca dal sito web stesso e inoltrare la richiesta tramite un rein­di­riz­za­men­to lato server applicato al comando mailto.

Metodo 1: CAPTCHA

I CAPTCHA offrono la pos­si­bi­li­tà di difendere dallo spam un indirizzo e-mail pub­bli­ca­to su un sito web. In questo processo, gli indirizzi e-mail crit­to­gra­fa­ti vengono vi­sua­liz­za­ti in chiaro solo dopo che gli utenti hanno di­mo­stra­to di essere umani at­tra­ver­so un controllo. Questi controlli possono includere compiti come la di­gi­ta­zio­ne di una com­bi­na­zio­ne di lettere o numeri. Sono possibili anche brevi problemi arit­me­ti­ci, esercizi di com­bi­na­zio­ne o puzzle.

I CAPTCHA offrono un livello di pro­te­zio­ne re­la­ti­va­men­te elevato contro lo spam, poiché in questo caso gli indirizzi e-mail non vengono vi­sua­liz­za­ti affatto nel codice sorgente o solo in forma criptata. Grazie alle ampie pos­si­bi­li­tà di pro­get­ta­zio­ne, i CAPTCHA si adattano bene anche al design di un sito web. Tuttavia, lo sforzo ag­giun­ti­vo richiesto per accedere all’indirizzo e-mail ha un impatto negativo sulla facilità d’uso del sito web ed è in contrasto con la richiesta di rendere ac­ces­si­bi­li a tutti im­por­tan­ti in­for­ma­zio­ni di contatto.

Metodo 2: so­sti­tu­zio­ne dell’indirizzo e-mail

Le strategie di pro­te­zio­ne che si basano sulla so­sti­tu­zio­ne can­cel­la­no l’intero indirizzo e-mail dal codice sorgente e lo cambiano o con una rap­pre­sen­ta­zio­ne grafica oppure con un link grazie al comando mailto.

Inserire l’indirizzo e-mail sotto forma di grafica

Se un indirizzo e-mail viene inserito sotto forma di grafica rimane leggibile all’occhio umano, mentre per un e-mail harvester risulta dif­fi­cil­men­te ri­co­no­sci­bi­le. In­clu­den­do le in­for­ma­zio­ni di contatto ap­pro­pria­te sotto forma di grafica, è possibile quindi pro­teg­ge­re in modo re­la­ti­va­men­te efficace l’indirizzo e-mail del proprio sito web dallo spam. Il codice HTML ap­pro­pria­to si presenta, ad esempio, in questo modo:

<img src="percorso/fileimmagine.png" width="120" height="20" alt="="Se hai domande o suggerimenti scrivi un’e-mail a: utente@dominio.it">

Questa rap­pre­sen­ta­zio­ne dell’e-mail risulta leggibile alla maggior parte delle persone. Tuttavia, il testo non può essere né copiato né collegato a un link mailto. Per la maggior parte degli utenti, digitare l’indirizzo rap­pre­sen­ta un’ope­ra­zio­ne piuttosto noiosa. Le persone con problemi di vista possono leggere l’indirizzo solo con l’aiuto dell’attributo alt, uti­liz­zan­do ad esempio uno screen reader. In questo modo, però, il contatto e-mail diventa in­di­vi­dua­bi­le anche dagli spambot. Per questo motivo, questo metodo da solo non è rac­co­man­da­to come misura pre­ven­ti­va contro lo spam.

Rein­di­riz­za­men­to dal col­le­ga­men­to HTML dell’indirizzo e-mail

Per as­si­cu­ra­re una pro­te­zio­ne efficace contro attacchi di har­ve­sting al proprio indirizzo e-mail, c’è la pos­si­bi­li­tà di separare quest’ultimo dal sito web. In questo caso viene so­li­ta­men­te uti­liz­za­to uno script che rein­di­riz­za al ri­fe­ri­men­to mailto dopo un clic sul link. Si apre così il programma di posta elet­tro­ni­ca dell’utente e vi viene inserito l’indirizzo e-mail. Per gli spambot che scan­sio­na­no il codice sorgente di un sito web, un simile col­le­ga­men­to appare come un rimando a un file. L’at­ti­va­zio­ne di questo mec­ca­ni­smo di pro­te­zio­ne avviene, ad esempio, inserendo un link su un file PHP che contiene il rein­di­riz­za­men­to:

<p> Se hai domande o suggerimenti scrivi un’
<a href="redirect-mailto.php">e-mail</a>.
</p>

Il contenuto del file redirect-mailto.php è uno script che rein­di­riz­za al link mailto tramite redirect:

<?php
header("Location: mailto:utente@dominio.it"); 
?>

Lo svan­tag­gio di questa soluzione per la pre­ven­zio­ne dello spam consiste nel fatto che l’utente necessita di un handler (in italiano: gestore degli eventi) per il link mailto così da poter arrivare all’indirizzo mail. Nella pratica, so­li­ta­men­te si tratta di un client di posta elet­tro­ni­ca come Outlook o Thun­der­bird, ma sui browser più recenti possono venire inseriti anche servizi di posta elet­tro­ni­ca online.

Metodo 3: ma­sche­ra­men­to dell’indirizzo e-mail

Se non si desidera che l’ indirizzo e-mail venga so­sti­tui­to com­ple­ta­men­te da una grafica o da un link mailto, sono di­spo­ni­bi­li strategie al­ter­na­ti­ve che per­met­to­no di crit­to­gra­fa­re o ma­sche­ra­re l’indirizzo e-mail.

Ma­sche­ra­men­to tramite codifica dei caratteri

Le codifiche dei caratteri co­mu­ne­men­te uti­liz­za­te per ma­sche­ra­re gli indirizzi e-mail nel testo di origine si basano su entità HTML e codice HEX. Questo metodo di codifica si presta molto bene al ma­sche­ra­men­to di indirizzi di posta elet­tro­ni­ca, poiché i relativi caratteri di ri­fe­ri­men­to vengono au­to­ma­ti­ca­men­te tradotti nella vi­sua­liz­za­zio­ne del browser.

Se i caratteri specifici dell’indirizzo e-mail utente@dominio.it devono venire ma­sche­ra­ti con l’aiuto di entità HTML, prima di tutto questi vengono tradotti nel modo al­ter­na­ti­vo di scrittura.

@ = @ . = . (punto)

Una volta inserito all’interno dell’indirizzo di posta elet­tro­ni­ca, il risultato nel codice sorgente è il seguente:

<p>>Se hai domande o suggerimenti scrivi un’e-mail a:
<a href="mailto:utente&commat;dominio&period;it">utente&commat;dominio&period;it</a>
</p>

Se invece si desidera cifrare l’intero indirizzo e-mail, si può uti­liz­za­re la rap­pre­sen­ta­zio­ne tramite codifica HEX, per cui viene impiegato il codice numerico Unicode e notato come segue:

&#co­di­ce­nu­me­ri­co;

So­li­ta­men­te si utilizza la cifra HEX del carattere in questione con­trad­di­stin­ta da una “x”. La lettera “m” viene quindi tra­scrit­ta “m” oppure in sequenza decimale “&#109”. L’esempio di indirizzo e-mail utente@dominio.it, in­clu­den­do mailto, sarà quindi rap­pre­sen­ta­to nel modo seguente:

<p>Se hai domande o suggerimenti scrivi un’
<a href="&#x6d;&#x61;&#x69;&#x6c;&#x74;&#x6f;&#x3a;&#x75;&#x73;&#x65;&#x72;&#x40;&#x64;&#x6f;&#x6d;&#x61;&#x69;&#x6e;&#x2e;&#x64;&#x65;">e-mail</a>.
</p>

In linea di massima, un ma­sche­ra­men­to dell’indirizzo di posta elet­tro­ni­ca è tra­du­ci­bi­le ab­ba­stan­za ve­lo­ce­men­te in una codifica di simboli. Tuttavia, la loro efficacia nel pro­teg­ge­re un indirizzo e-mail si è ridotta rispetto al passato, poiché nel frattempo la maggior parte degli spambot sono pro­gram­ma­ti in un modo per cui ormai riescono a decifrare questa semplice forma di codifica fa­cil­men­te.

Ma­sche­ra­men­to tramite com­ple­ta­men­to

Di base sarebbe possibile na­scon­de­re un indirizzo di posta elet­tro­ni­ca dagli spambot in­ter­rom­pen­do­lo con simboli ag­giun­ti­vi. Così facendo, i programmi non per­ce­pi­sco­no più l’indirizzo nella sua forma completa, per cui viene impedita anche una sua eventuale lettura au­to­ma­ti­ca. Una pos­si­bi­li­tà semplice di rea­liz­za­re questa opzione è fornita per esempio dai commenti HTML che appaiono nel modo seguente:

<!-- commento -->

Se questi commenti vengono aggiunti all’indirizzo di posta elet­tro­ni­ca, allora gli spambot che stanno scan­sio­nan­do il sito web andranno ine­vi­ta­bil­men­te a im­bat­ter­si nel codice seguente:

<p>Se hai domande o suggerimenti scrivi un’e-mail a: 
u<!-- commento -->tente@domini<!-- commento -->o.it.
</p>

Mentre gli utenti in carne e ossa vedranno sul browser l’indirizzo e-mail corretto, lo spambot, invece, pro­ba­bil­men­te leggerà il testo nascosto all’interno dell’elemento span. Lo svan­tag­gio del ma­sche­ra­men­to tramite com­ple­ta­men­to è che l’indirizzo non può essere collegato con un rimando HTML e gli utenti sono quindi costretti a copiarlo ma­nual­men­te nei propri programmi di posta elet­tro­ni­ca.

Metodo 4: crit­to­gra­fia dell’indirizzo e-mail

ROT13 è una soluzione co­mu­ne­men­te uti­liz­za­ta per crit­to­gra­fa­re un indirizzo e-mail. Questo può essere applicato con poche righe in Ja­va­Script:

<script type="text/javascript">
function decode(a) {
    return a.replace(/[a-zA-Z]/g, function(c){
        return String.fromCharCode((c <= "Z" ? 90 : 122) >= (c = c.charCodeAt(0) + 13) ? c : c - 26);
    })
}; 
function openMailer(element) {
var y = decode("znvygb:orahgmre@qbznva.qr");
element.setAttribute("href", y);
element.setAttribute("onclick", "");
element.firstChild.nodeValue = "Apri il client di posta elettronica";
};
</script>
<a id="email" href=" " onclick='openMailer(this);'>E-mail: fai clic qui</a>

Il codice d’esempio mostra nella riga 9 la versione cifrata dell’indirizzo di posta elet­tro­ni­ca utente@dominio.it in­clu­den­do anche la stringa di testo mailto (znvygb:orahgmre@qbznva.qr), così come nelle righe dalla 2 alla 7 viene mostrato come va decifrato il codice. La funzione che va dalla riga 8 alla 13 apre il client di posta elet­tro­ni­ca pre­de­fi­ni­to dall’utente e scrive l’indirizzo decifrato nella riga del de­sti­na­ta­rio.

Lo script si avvia nel momento in cui si fa clic sul link con il testo di an­co­rag­gio “E-mail: fai clic qui” (righe 15-16). Una volta ef­fet­tua­to il clic, apparirà il testo “Apri il client di posta elet­tro­ni­ca” (riga 12).