Mam taką zasadę, że jeśli nie wydarzy się nic naprawdę nadzwyczajnego (ew. planowanego z jakichś przyczyn na taką porę), to wieczorem nie pracuję. Nie pracuje, to również znaczy, że w większości przypadków nie korzystam z komputera. Nie tylko dlatego, że w moim przypadku ciężko odróżnić co jest pracą a co nie… Wczoraj wieczorem musiałem jednak usiąść do komputera, bo dostałem e-mail od SparkPost, a konkretnie ichniejszego “compliance”.

SparkPost zawiesił konto za link w wiadomości z formularza kontaktowego

Wieczorny wypoczynek przerwać postanowiłem głównie dlatego, że konto, którego dotyczyło powiadomienie, jest wykorzystywane na stornie jednego z klientów do wysyłania m.in. wiadomości e-mail z formularza kontaktowego. Wprawdzie w przypadku tej strony (i branży) formularz kontaktowy nie jest szczególnie intensywnie wykorzystywany, to postanowiłem sprawy nie ignorować.

Zaczęło się od wiadomości e-mail, którą otrzymałem o godzinie 19:22, a w której zostałem powiadomiony o zawieszeniu konta:

Temat: SparkPost Account Suspended: Customer Account ID: spc-12345 Ticket: SBP-123456

Your SparkPost account has been suspended due to concern about a possible violation of our Messaging Policy. (…)

Korzystając z tego, że jeszcze leżałem na kanapie i oglądałem film, odpisałem z komórki krótkie, acz treściwe “why?”. Już po kilku minutach otrzymałem wiadomość, która nie tylko nie była automatyczna, ale zawierała w końcu coś konkretnego:

Thank you for contacting SparkPost. Your account was suspended for sending a malicious link. Please explain your use-case for sending the below link:

http://v.h t/zEav (link broken with space for safety)

I tak dowiedziałem się, że moje konto w SparkPost zostało zawieszone, bo w wiadomości wysłanej z mojego konta znalazł się “podejrzany link”. Co istotne, była to wiadomość wysłana na nasz wewnętrzny adres (klienta) z formularza kontaktowego na stronie, co udało mi się szybko zweryfikować dzięki dodatkowi Flamingo do wtyczki Contact Form 7:

Konkretnie były to 2 wiadomości, bo formularz kontaktowy wysyła od razu na dwa różne adresy e-mail, dla pewności:

Dalszej wymiany 2-3 kolejnych wiadomości nie ma co cytować, wystarczy w skrócie stwierdzić, że osoba z supportu dziwiła się, jak mogło się coś takiego stać, że w treści wiadomości z formularza kontaktowego ktoś mógł wysłać tego typu link (sic!). Sugerując jako magiczne rozwiązanie wdrożenie reCAPTCHA, jakby ten system faktycznie miał coś pomóc w tym przypadku.

W każdym razie szybko uznałem, że nie ma co marnować czasu na dalszą debatę, i szybko uciąłem konwersację, życząc miłego dnia (u nich dzień w pełni zapewne jeszcze), oraz… przełączając wysyłkę wiadomości w WordPressie na innego dostawcę tego typu usługi (SMTP jako SaaS). Dzięki czemu mogłem wrócić do oglądania filmu…

Don’t be evil

Nie jestem może jakoś przesadnie stary, ale też mam tyle lat, że pamiętam nie tylko numer 0202122 Telekomunikacji Polskiej (obecnie Orange), ale i początki Google. Bo to m.in. tacy jak ja pomogli im urosnąć, zmieniając na komputerach znajomych i rodziny domyślną wyszukiwarkę (ew. stronę domową) właśnie na Google. Było w tym coś magicznego, buntowniczego – mała firma, która rzuciła wyzwanie dużym graczom… Jak to się skończyło, chyba wszyscy wiemy – tamtych albo już nie ma, albo zostali zmarginalizowani, a wyhodowaliśmy sobie potwora, który – do spółki z Facebookiem – próbuje zawłaszczyć internet. I niestety robi to dość skutecznie. Na tyle skutecznie, że już o haśle “don’t be evil” chyba nikt w Google nie pamięta. A przynajmniej nikt, z osób decyzyjnych…

I mam wrażenie, że niestety musimy się do tego przyzwyczaić, bo czasy romantycznego internetu mamy już chyba za sobą. Romantycznego, czyli takiego, gdzie nie decydowały dolary i działy księgowe, ale faktycznie ktoś robić coś dla idei.

Akapit poświęcony Google nie powstał, by wyrobić wierszówkę, bo nikt takowej ode mnie nie wymaga i tym bardziej mi za nią nie płaci. Powstał dlatego, że historia SparkPost przypomina mi trochę historię Google. Relatywnie mało znana usługa, po tym, jak usługa Mandrill stała się płatnym elementem płatnej usługi MailChimp, rzuca wszystkim zostawionym jakby na lodzie koło ratunkowe – 100 000 wiadomości co miesiąc za darmo. Zadziałało – usługa szybko zyskuje na popularności, rozwija się… Dziś – wg informacji z ich strony – jest największym dostawcą rozwiązań tego typu, obsługując ponad 37% wszystkich wiadomości e-mail w segmencie B2C i B2B.

Niecałe 2 lata później SparkPost informuje, że likwiduje bezpłatne konta z tak dużym limitem, choć tylko dla nowych, bo jednak obietnica to obietnica i zostanie dotrzymana:

These changes notwithstanding, I would like to reaffirm a promise I made to honor the terms of our former 100K free plan for all existing customers of that plan.

Kolejna 2 lata później, czyli w lipcu 2019 po obietnicy nie ma już śladu, i użytkownicy bezpłatnych kont otrzymują propozycję nie do odrzucenia – albo płacicie, albo pakujcie manatki w sio, bo od 15 września 2019 bezpłatne konta będą pozwalały na wysyłkę nie więcej niż 500 wiadomości e-mail w miesiącu.

I nawet jeśli pomimo złamania obietnicy (w końcu to biznes) rozważałem, czy by nie przejść na plan płatny w SparkPost, to po wczorajszej akcji już wiem, że nie ma takiej możliwości. Bo wystarczy jeden żartowniś z nieodpowiednim linkiem, i cały mój system wysyłki wiadomości e-mail leży. Zresztą nie tylko mój, bo taki dowcipniś może przeskanować internet w poszukiwaniu ofiar… ;-)