ספאם בטפסי לידים - למה בוטים ממלאים את ה-CRM שלך בלידים מזויפים, ואיך עוצרים את זה בלי להרוג את ההמרה

למה זה עולה לכם יותר ממה שחושבים

ספאם בטופס ליד לא נגמר ב"עוד שורה מעצבנת בטבלה". ב-CRM מחובר לאוטומציה כמו GoHighLevel, כל שליחת טופס יכולה להפעיל שרשרת: יצירת איש קשר, פתיחת הזדמנות בפייפליין, SMS או מייל פתיחה אוטומטי, ולפעמים גם הקצאה לנציג מכירות. כשהשליחה מזויפת, כל השלב הזה קורה על ליד שלא קיים - מה שאומר עלות שליחה אמיתית (SMS מתחייב בתשלום לפי מסרון), דוחות המרה מעוותים, ולפעמים גם נציג אנושי שמתקשר למספר שלא שייך לאף אחד. ככל שהאוטומציה אגרסיבית יותר, ספאם עולה יותר - לא פחות.

הכלי הנפוץ ביותר - וגם הפחות מדויק: reCAPTCHA גלוי

reCAPTCHA (תיבת סימון, בחירת תמונות, או הגרסה השקטה v3 שמחשבת ניקוד חשד) היא הפתרון שרוב הבילדרים מציעים כברירת מחדל, אבל היא מגיעה עם מחיר: היא אתגר שמוצג לכל מי שממלא את הטופס, אנושי כמו בוט, ולעיתים נכשלת דווקא בגולשים אמיתיים בדפדפן מובייל, ברקע VPN, או בחיבור ברשת סלולרית. reCAPTCHA לבדה לא פותרת ספאם - היא מוסיפה שכבת סינון אחת, במחיר חיכוך על כל אחד. היא יכולה להיות שכבה משלימה שימושית, אבל לא תחליף לבדיקה בצד השרת שבה בוט פשוט לא מגיע לשלב ההגשה בכלל.

מה שבאמת עובד: מלכודות בלתי נראות בשרת

• Honeypot field - שדה טופס נוסף, מוסתר מעיני אדם באמצעות CSS (לא עם type="hidden", שבוטים מתוחכמים מזהים ומדלגים עליו), אבל גלוי לסקריפט שממלא כל שדה שהוא מוצא ב-HTML. שדה שמגיע מלא = שליחה נחסמת לפני שהיא יוצרת כל רשומה.
• בדיקת זמן מילוי - בני אדם לא ממלאים טופס בן חמישה שדות בפחות משנייה-שתיים; בוט שממלא טופס ברגע שהעמוד נטען כן. חותמת זמן נסתרת בטעינת הטופס, ומדידה בשרת בעת השליחה, חוסמת את הדגימה הזו בלי UX נוסף בכלל.
• תיקוף בצד השרת, לא רק ב-JavaScript - בוט מתוחכם לא טוען את הדף, הוא שולח POST ישירות לכתובת הטופס. אם הבדיקה (שדות חובה, פורמט אימייל, פורמט טלפון) קיימת רק בקוד הלקוח, היא לא קיימת בכלל מנקודת המבט של בוט כזה.
• הגבלת קצב (Rate limiting) לפי IP - חוסם גל שליחות ממקור אחד בפרק זמן קצר, התבנית האופיינית להתקפת ספאם אוטומטית.

החיבור ל-GoHighLevel - לא כל שליחה צריכה ליצור הזדמנות אוטומטית

כשטופס מותאם אישית מוזן ישירות ל-API של GoHighLevel או עובר Webhook לפני כן, יש הזדמנות לעצור ספאם לפני שהוא בכלל נכנס למערכת - לא אחרי. הדרך הנכונה: הטופס שולח לנקודת קצה (endpoint) שמבצעת את כל הבדיקות שלמעלה, ורק שליחה שעברה אותן מייצרת Contact והזדמנות אמיתיים ב-GHL. שליחה חשודה מתויגת (לדוגמה lead_source: flagged) ועוברת לתור בדיקה אנושית - לא נמחקת אוטומטית (כדי לא לאבד ליד אמיתי עם תבנית מילוי חריגה), אבל גם לא מפעילה את אוטומציית הפולואפ המיידי ב-Workflow עד שהיא אושרה.

מה שבטוח לא כדאי

לא להסתפק בבדיקת JavaScript בצד הלקוח בלבד - זו ההנחה השגויה הנפוצה ביותר, וגם הקלה ביותר לבוט לעקוף. לא לתת לכל Contact חדש להפעיל אוטומטית SMS, מייל והקצאה לנציג בלי שכבת סינון קודמת - זה המקום שבו ספאם הופך מ"נתון מעצבן" ל"עלות ותדמית". ולא למחוק שליחות חשודות באופן אוטומטי בלי תור בדיקה - פעמים רבות ליד אמיתי עם מספר טלפון בפורמט לא שגרתי או שם לא לטיני נראה "חשוד" לבדיקה גנרית בלי להיות ספאם בפועל.