Mail-Formulare auf Webseiten mit PHP absichern

PHP-Quellcode im jEdit

Immer noch gibt es Webseiten, die unsichere PHP-Formulare oder veraltete (englisch: "deprecated") Technologien einsetzen. Erst letztens (Oktober 2009) ist mir ein Projekt untergekommen, bei dem noch die veralteten HTTP_SERVER_VARS benutzt wurden. Man trifft leider auch immer wieder auf PHP-Skripte, die für Spam missbraucht werden können.

// UNSICHER NICHT BENUTZEN!
    
   if (mail('vorname.nachname@deine-domain.tld',
       'PHP-Mail (gesendet: ' . date('Y-m-d H:i:s') . ')',
       'Dies ist eine Testnachricht. Es wird der PHP-Befehl "mail()" verwendet.',
       'From: ' . $_POST['mail_address']))
   {
       echo 'E-Mail wurde erfolgreich versendet.';
   }
   else
   {
       echo 'E-Mail konnte NICHT versendet werden.';
   }

Der c't-Artikel "Versandkontrolle" erklärt sehr gut, wie man Gefahren bei Mail-Skripten umgehen kann. Die PHP-Skripte können auch als ZIP heruntergeladen werden. Einige Techniken werden ich hier genauer erläutern.

skriptgesteuerten Angriffe verhindern

reguläre Ausdrücke für Sicherheitsprüfungen

Prüfung der MX-Records mit "getmxrr()"