Kontaktformular Absender Adresse Problem

[Svend]

Hallo, ich bin Svend und neu hier im Forum,
ich habe mir ein Kontaktformular (Werner-Zenker) generiert und es funktioniert auch sehr gut, mein Problem ist, wenn ich über das Formular eine Nachricht bekomme und direkt aus meinem E-Mail Account darauf antworten möchte wird nicht die Absender Adresse, sondern meine Empfänger Adresse angezeigt. Also ich schreibe mir quasi selber die Antwort. Die E-Mail habe ich als Pflichtfeld hinterlegt im Formular.! Getestet habe ich es unter web.de und t-online.de mit realen E-Mail-Adressen. und bei beiden habe ich das gleiche Problem.

[Tommy Herrmann]

Hallo Svend,

willkommen bei uns im Forum

Ich nutze ja seit Jahren die Formular-Softwarte von "Arclab" - da geht das auch mit dem Button Antworten:

https://www.mobirise-tutorials.com/Formular/

... und nicht mehr jenes vom Werner Zenk.

Wie Du ja sicher schon mitbekommen hast, hat Werner alle seine Seiten vom Netz genommen. Ich hatte ja gehofft, dass er bald wieder zurück sein wird - aber anscheinend hat er keine Lust mehr.

Werner hatte mir damals seinen älteren Formular-Generator überlassen, sodass dieser auf meinen Seiten weiter genutzt werden kann. Groß umprogrammieren will und kann ich den aber nicht.

Ich habe das eben nochmals getestet und ja - da hast Du vollkommen recht - Du musst zum Antworten auf den Link der Email Adresse vom Versender klicken. Das ist übrigens eine recht gängige Technik, die sehr viele solcher Formulare verwenden. Man kann sehr oft nur über die mitgesendete E-Mail-Adresse dem Absender antworten und nicht über den Antworten Button der Mail-Software.

[Svend]

Hallo Tommy, vielen Dank für deine Nachricht.
Ja sehr schade das Werner nicht mehr seine Seite hat. Aber der kommt bestimmt wieder zurück, der kann nicht ohne Ich denke mal es ist nur ein ganz kleiner Fehler aber nur wo .

Des Weiteren ist mir aufgefallen das seit vorgestern
Grafiken als Button verwenden nicht mehr funktioniert. Wenn man einen Haken setzt bekommt man nach Formular erstellen nur noch eine blanko Seite

Vielen Dank für deine Mühe, ich würde mich sehr freuen wenn du das Formular bestehen lassen würdest vielleicht meldet sich Werner ja nochmal und ist so nett es zu Reparieren.

Viele Grüße aus der grauen Stadt am Meer (Da wo der Wind weht)
Svend

[Klaus]

Thema hatten wir schon ein paar Mal ...

->Kurz: Statt "From" "Reply-To" verwenden, dann sollte es funktionieren:
Hier ist das AddReplyTo in einem Beitrag zu sehen:
viewtopic.php?p=13523#p13523

... u.A. hier:
viewtopic.php?p=7500&hilit=reply+To#p7500


Ich hab mich schon länger nicht mehr mit Formularen beschäftigt aber ...

Also "From" in einer Mail verwendet man normalerweise nicht's was aus dem Formular selber kommt.

Die meisten Hoster lassen das weder über mail() vom PHP zu, noch per SMTP.
(Oft gilt dass zum Versand ("From") eine gültige E-Mail Adresse des jeweiligen Hostings verwendet werden muss.)

Der Empfang solcher Mails falls es der Hoster zulässt ist das nächste Problem.
Bei eingen Hostern landen die Mails im SPAM, bei anderen werden sie überhaupt nicht zugestellt.
Weil Du web.de schreibst ... was ja mehr oder weniger auch/mit GMX ist ... da gilt vermutlich folgendes:
https://postmaster.gmx.net/de/e-mail-policy

[Volker]

Hi Klaus,

wäre toll wenn Du das mal hier in dem Code vom Generator zeigen könntest, wo, was, wie eingefügt werden muss, damit das Reply-To klappt.

Code: Alles auswählen

<?php
/*
   Aktion: Formulardaten als E-Mail versenden.
   Formular - PHP 5.4+, Zeichenkodierung: UTF-8

   Erstellt mit dem Formular Generator (11.12.2024) - 
   https://www.mobirise-tutorials.com/Formular-Generator/

   Bitte testen Sie das Formular ausführlich und
   beachten Sie die Hinweise im Quelltext!
*/

// PHP Fehlermeldungen (1 um das Formular zu testen) anzeigen.
error_reporting(1); // (0/1)

// Weiterleitung - Nach dem absenden des Formulars,
// gelangt der Benutzer über einen Link auf folgende Seite:
$Weiterleitung = "index.php"; // Relativer Pfad, ausgehend vom Formular.

$name = isset($_POST["name"]) ? htmlspecialchars(trim($_POST["name"])) : ""; // Name
$email = isset($_POST["email"]) ? htmlspecialchars(trim($_POST["email"])) : ""; // E-Mail
$betreff = isset($_POST["betreff"]) ? htmlspecialchars(trim($_POST["betreff"])) : ""; // Betreff
$nachricht = isset($_POST["nachricht"]) ? htmlspecialchars(trim($_POST["nachricht"])) : ""; // Nachricht

// Benutzereingaben überprüfen
// Die Meldungen müssen hier eventuell angepasst werden.
$Fehler = ["name"=>"", "email"=>"", "betreff"=>"", "nachricht"=>""];
if (isset($_POST["submit"])) {
 $Fehler["name"] = strlen($_POST["name"]) < 1 ? " Bitte füllen Sie dieses Feld aus!" : "";
 $Fehler["email"] = filter_var($_POST["email"], FILTER_VALIDATE_EMAIL) === false ? " Geben Sie eine gültige E-Mail-Adresse ein!" : "";
 $Fehler["betreff"] = strlen($_POST["betreff"]) < 1 ? " Bitte füllen Sie dieses Feld aus!" : "";
 $Fehler["nachricht"] = strlen($_POST["nachricht"]) < 10 ? " Bitte füllen Sie dieses Feld aus (min. 10 Zeichen)!" : "";
}

// Formular erstellen
$Formular = "
<form action='" . $_SERVER["SCRIPT_NAME"] . "' method='post'>

<p>
 <label> Name:
<span class='pflichtfeld'>&#10034; " . $Fehler["name"] . "</span><br>
  <input type='text' name='name' value='" . $name . "' size='35' tabindex='1'>
 </label>
</p>

<p>
 <label> E-Mail:
<span class='pflichtfeld'>&#10034; " . $Fehler["email"] . "</span><br>
  <input type='email' name='email' value='" . $email . "' size='35' tabindex='2'>
 </label>
</p>

<p>
 <label> Betreff:
<span class='pflichtfeld'>&#10034; " . $Fehler["betreff"] . "</span><br>
  <input type='text' name='betreff' value='" . $betreff . "' size='45' tabindex='3'>
 </label>
</p>

<p>
 <label> Nachricht:
 <span class='pflichtfeld'>&#10034; " . $Fehler["nachricht"] . "</span><br>
 <textarea name='nachricht' cols='40' rows='8' tabindex='4'>" . $nachricht . "</textarea>
 </label>
</p>

<p>
 <br>
 <input type='submit' name='submit' value='Formular absenden' tabindex='5'>
</p>

<p>
 <small>Bitte alle mit <span class='pflichtfeld'>&#10034;</span>
 markierten Felder ausfüllen.</small>
</p>

</form>
";

// Formular abgesendet
if (isset($_POST["submit"])) {

 // Sind keine Benutzer-Eingabefehler vorhanden
 if (implode("", $Fehler) == "") {

  // Daten als E-Mail versenden (Vorschlag) - Bitte anpassen!

  // Zeitzone und das aktuelle Datum setzen
  // http://de3.php.net/manual/de/timezones.europe.php
  date_default_timezone_set("Europe/Berlin");
  $Datum = date("d.m.Y H:i");

  // Empfänger E-Mail
  // Eine beim Provider registrierte E-Mail Adresse verwenden!
  $Mailto = "name@example.com";

  // Inhalt der E-Mail setzen
  $Text = "   Gesendet am: $Datum Uhr
   Name: $name
   E-Mail: $email
   Betreff: $betreff
   Nachricht: $nachricht
  ";

  // E-Mail versenden
  mb_language("de");
  mb_internal_encoding("UTF-8");
  $Betreff = mb_encode_mimeheader($betreff, "UTF-8", "Q");
  $Kopfzeile = "MIME-Version: 1.0;\nFrom: " . mb_encode_mimeheader($name, "UTF-8", "Q") .
   "<" . $Mailto . ">" . "\nContent-Type: text/plain; Charset=UTF-8;\n";

  if (mail($Mailto, $Betreff, $Text, $Kopfzeile)) {

   echo "<p>Vielen Dank, die Nachricht wurde versendet.</p>";
  }
  else {

   // Wenn die Daten nicht versendet werden konnten,
   // wird die E-Mail-Adresse für den direkten Kontakt eingeblendet.
   echo "<p>Beim Senden der Nachricht ist ein Fehler aufgetreten!<br>" . 
   "Bitte wenden Sie sich direkt an: <a href='mailto:" . $Mailto . "'>" . $Mailto . "</a></p>";
  }

  // Weiterleitung
  echo "<p><a href='" . $Weiterleitung . "' target='_top'>Weiter</a></p>";
 }
 else {

  // Formular und Benutzer-Eingabefehler ausgeben
  echo $Formular;
 }
}
else {

 // Formular ausgeben
 echo $Formular;
}
?>

Ich glaube das können einige brauchen ( ich eingeschlossen )

[Klaus]

Meine Antwort oben war mehr ein "Dump" von Infos zum "Einlesen".

Bei einem konkreten Einbauvorschlag lege ich andere Maßstäbe an ...
"Nur" einbauen in das normale PHP mail() ist jetzt nicht das Problem ... das ist in einer Zeile fix gemacht.
Der $Kopfzeile einfach was anfügen:

Code: Alles auswählen

   "Reply-To: " . "aus Sicherheitsgründen entfernt";

(Ich sende es Dir zum ausprobieren mal per PN.)

Nur sicher ist das nicht!

Für eine ausreichende Formular Eingabe/Daten Validierung fehlt mir aktuell die "Übung".
"PHP email injection" war schon vor über 15 Jahren Thema und ist es noch.
https://www.infosecinstitute.com/resour ... -injection
https://www.sonarsource.com/blog/why-ma ... ous-in-php

Aktuell wäre mir selber das "normale" PHP mail zu heiß.
Im PHPMailer ist meines Wissens eine kleine Validierung (s.h. PHPMailer.php -> addOrEnqueueAnAddress) drinnen und wäre das was ich verwenden würde.
(Entspricht dann dem Beirag: viewtopic.php?p=13523#p13523)

Vermute mal das Wissen wie man es "sauber macht" ist u.A. auch "das" was man bei Arclab eben mit bezahlt ...
https://www.arclab.com/en/kb/php/how-to ... ction.html

[Tommy Herrmann]

Werner hat das ja alles über Variablen gemacht, so sieht der Versand der Mail aus:

Code: Alles auswählen

  // E-Mail versenden
  mb_language("de");
  mb_internal_encoding("UTF-8");
  $Betreff = mb_encode_mimeheader($betreff, "UTF-8", "Q");
  $Kopfzeile = "MIME-Version: 1.0;\nFrom: " . mb_encode_mimeheader($name, "UTF-8", "Q") .
   "<" . $Mailto . ">" . "\nContent-Type: text/plain; Charset=UTF-8;\n";

[Volker]

Danke Klaus,

das funktioniert sehr gut. Ob das Sicher ist kann ich auch nicht beurteilen, aber zumindest regiert ein Mailprogramm jetzt beim Antworten auf die im Formular angegebene E-Mail Adresse.
Aber ein someone@somedomain.tld%0ACc:someoneelse@somedomain.tld%0ABcc:anotherone@somedomain.tld ist ja ausgeschlossen und wird vom Script verworfen.

Was könnte noch schief gehen damit ?

Wir ( Du) kannst es ja mal testen ob man was "Böses" machen kann.
https://fotoschulungen.com/kontakt/

Kleiner Schönheitsfehler - Da steht natürlich immer noch gesendet von mir an mich Aber wie man sieht geht die Antwort an die richtige E-Mail ja raus.

[Klaus]

Das was ich Dir gesendet hab prüft nur den namen "etwas" (so wie es Werner für den Namen bei From gemacht hat), die email aber gar nicht.

Wie geschrieben ich bin aktuell in PHP nicht mehr fit genug um da guten Gewissens was zu zeigen.

Selbst das mit dem Filter wäre nach dem 2ten (Sonar) Link nicht sicher genug, s.h. Abschnitt "Why FILTER_VALIDATE_EMAIL is not secure" ... wobei dann weiter unten steht dass es reicht im Header "\r" und "\n" zu entfernen ... Problem sind dann immer noch die verschiedenen Zeichensätze die man verwenden kann ...

Ich kanns aktuell nich beurteilen, damit muss man sich eine Zeit lang beschäftigen wenn man das sauber machen will und ich würde wenn ich selber ein Formular verwende so was gar nicht machen, falls es doch mal sein müsste dann mit dem PHPMailer.

[Volker]

Das Emailfeld wird ja geprüft. Ich weiß jetzt nicht ob das vom Script kommt oder von Mobirise, aber man sieht ja das angemeckert wird, wenn nach dem @ Zeichen was anderes als Buchstaben kommen.

[Klaus]

Das ist ja nur die "Clientvalidierung" im Browser die vom HTML5 kommt und selbst mit JavaScript zusätzlich wäre das nicht sicher.
Clientvalidierung ist nur dazu da dass der Benutzer selber keinen "groben Fehler" bei der Eingabe machen kann oder was vergisst.

Damit es sicher wird müssen Benutzereingaben immer am Server (zusätzlich) geprüft werden.

Du kannst ja an die "action" aus dem Formular auch Daten direkt senden mit Tools wie Postman oder SoapUI.
Da kannst Du senden was Du haben möchtest ...


Ah moment, die eine Prüfung oben in Deinem Formularcode filter_var($_POST["email"], FILTER_VALIDATE_EMAIL) hatte ich jetzt nicht gesehen ... bleibt dann aber immer noch "Why FILTER_VALIDATE_EMAIL is not secure" aus dem Sonar Link ...

[Volker]

Das der Mailversand mit PHP mail() unsicher ist, ist ja nun mal so. Aber durch Deine Ergänzung wird es ja nicht unsicherer als es eh schon ist finde ich. Wer also den Generator nutzt und den Code, geht eh ein Risiko ein ( Ich glaub Thommy kann ein Lied davon singen )

Halten wir also fest:
Man kann den Fehler der Antwort Email mit einer Zeile Code ändern, geht aber immer das Risiko ein, dass Dritte Zugang zum Webserver bekommen oder Spam über diesen versenden.

[Tommy Herrmann]

seither ich eine Millionen E-Mails in wenigen Tagen erhalten habe und mir IONOS alle Mail-Adressen gesperrt hat, verwende ich nur noch die Formulare von "Arclab".

Ich weiß nicht, ob die komplett sicher sind, denn der PHPMailer ist es ganz sicher auch nicht (habe ich auch schon jede Menge Massenmails erhalten), bisher - toi, toi, toi - ist aber noch nichts passiert.

Nun wird ja zum Glück nicht jeder Opfer solcher Hacker.

[Volker]

Tommy,

100 % Sicherheit gibt es nicht im Internet - wissen wir alle hier.
Ich habe zig 100 oder manchmal 1000 Attacken auf meinen Server laut Logfiles. Bis her Glück gehabt kann man sagen.
Hatte auch mal so ein Spam Problem wie Du und war mit zig Domains auf jeder Blacklist im Netz. War auch Arbeit das zu reparieren

Aber den Generator vom Werner nutzen ja etliche User, nicht nur hier im Forum und mit Mobirise. Die Zahl der Meldungen über Missbrauch finde ich sehr überschaubar bis gar nicht vorhanden.

Wer also wissen möchte was man im Formular ändern muss, damit man mit Outlook oder anderen Maiclients auf Antworten klicken kann, der melde sich bitte bei mir oder Klaus. Ich werde dann die entsprechende Code Zeile per privater Nachricht senden.

[Tommy Herrmann]

Du ja - klar - nur möchte ich den "Formular-Generator" vom Werner jetzt nicht wirklich ändern. Ich kenne mich lange nicht so gut (eher gar nicht) mit PHP aus wie unser Klaus.

Wie man Mail mit PHP erstellen muss, kann man aber auch in jedem PHP-Buch nachlesen:

https://www.php.net/manual/de/function.mail.php

Dort steht das auch mit "reply-to" haarklein beschrieben.

[Klaus]

Es sind ja (mindestens) 2 Unterschiedliche Sachen.

1.) "Massenversand" von SPAM an die eigene Adresse wenn keine gute Sperre drinnen ist Captcha, IP, Counter
2.) "Massenversand" von SPAM an beliebige Adressen

1 trifft einen nur selber, sehe ich daher als weniger kritisch auch wenn einem der Hoster erst mal sperrt.
2 ist da schon übler wenn wegen solchen Sachen wie fix mal einen zusätzlichen Header einbauen SPAM vom eigenen Server unter ggf. der eigenen E-Mail Adresse an beliebige Personen geht ... wenns ganz übel kommt bekommt man von den "Opfern" eine (kostenpflichtige) Abmahnung mit Unterlassung und "ordentlicher Strafe" wenn man sich nicht dran hält. Die nächsten SPAM Mails werden dann richtig teuer ...
(Ist auch mit der Grund warum ich nie aus einem Formular eine autom. Antwort (Kopie) an den "vermeintlichen Absender" senden würde.)

Daher ... lieber finger weg ... wenn man sich nicht wirklich auskennt!


Btw., ich hab mir das Arclab Dings mal angesehen ... da sind rein von der Validierung noch mehr eigene Sachen drinnen, aber ... ist da der einzige SPAM Schutz das eigene eingebaute oder das "Spitzel Captcha" von google"?
Hat das keine Zähler oder IP Sperre?

[Tommy Herrmann]

Hallo Klaus,

mir ist jetzt nicht bekannt, ob Arclab da noch anderen Spamschutz hat, glaube eher nicht.

https://www.arclab.com/de/webformular-g ... chutz.html

Normalerweise reicht das aber auch.

Ich meine Arclab hat keine anderen Sperren vorgesehen.

Bei mir war das mit der Sperre durch den Provider "1&1 IONOS" schon ziemlich schlimm. Kaum wurde diese von IONOS aufgehoben hatte ich Minuten später wieder mehrere Tausend Mails und die automatische Sperre setzte wieder ein, obwohl ich fast alle Formulare inzwischen gelöscht oder deaktiviert hatte. Das hatte auch zur Folge, dass sich niemand mehr im Forum registrieren konnte und ich auch keinerlei Mails mehr erhalten habe.

Das ging auch noch mindestens 2 Wochen, nachdem die Formulare nichts mehr gesendet haben, im Hintergrund so weiter, was man sehr gut an der Protokoll-Datei von IONOS sehen konnte, ca. 2-3 Einträge pro Sekunde.

Hier hatte ich damals darüber berichtet:

viewtopic.php?t=1284

[Svend]

Hallo ihr lieben, oh man was habe ich den hier für eine Lawine ausgelöst.

Äh... Ich benötige Werners Formular nicht mehr.

Ich habe mir auf Empfehlung von Tommy mal die Testversion von Formular-Software von "Arclab" heruntergeladen und getestet.

Eine Nacht darüber geschlafen und am nächsten Morgen habe ich mir die Lizenz gegönnt.

Mein Problem, was ich noch habe mit dem Programm, ich bekomme es einfach nicht zentriert. Es ist immer linksbündig. Aber das ist ja ein anderes Thema was hier nicht hingehört.

Viele Grüße Svend

[Tommy Herrmann]

Moin,

na klar - alle Themen gehören hier her

Willst Du alle Felder zentriert darstellen oder was genau meinst Du? Da müsste ich auch erst einmal gucken.

... oder eben zentriert auf der Mobirise-Seite, wie z.B. dieses Beispiel:

https://www.mobirise-tutorials.com/Form ... rclab.html

Am besten Du publizierst Deine Seite mal und postest hier die URL zur Seite, dann kann man mal in die CSS gucken und besser helfen.

Ich benutze eigentlich fast immer einen einfachen Textblock aus der Mobirise-Gruppe "Article" zum Einbau.

In meinem Fall geschieht die Zentrierung durch die class="media-container-row" von Mobirise, dabei werden alle Elemente durch die CSS-Anweisung:

justify-content: center;

im Block zentriert, egal wie breit dieser ist:

Code: Alles auswählen

.media-container-row {
  display: flex;
  flex-direction: row;
  flex-wrap: wrap;
  justify-content: center;
  align-content: center;
  align-items: start;
}

Hier mal der Code von meiner Seite vom Link. Ich nutze immer die JavaScript-Variante unter "Finalisierung", die Du natürlich dann mit Deinem, von der Software generierten, JavaScript tauschen müsstest:

Code: Alles auswählen

<section class="mbr-section article content1">
    
    <mbr-parameters>
    <!-- Block parameters controls (Blue "Gear" panel) -->
        <input type="range" inline title="Oben" name="paddingTop" min="0" max="8" step="1" value="5">
        <input type="range" inline title="Unten" name="paddingBottom" min="0" max="8" step="1" value="4">
        <input type="range" inline title="Width Content" name="widthContent" min="1" max="4" step="1" value="1">
        <input type="color" title="Hintergrundfarbe" name="bgColor" value="#efefef">
    <!-- End block parameters -->
    </mbr-parameters> 

    <div class="container">
        <div class="media-container-row">
            <div class="mbr-text col-12 mbr-fonts-style" mbr-theme-style="display-4" data-app-selector=".mbr-text" data-multiline mbr-article mbr-class="{'col-md-6': widthContent == 1, 'col-md-8': widthContent == 2, 'col-md-10': widthContent == 3, 'col-md-12': widthContent == 4}">
                       
                <!-- Beginn Formular von Arclab -->
                <div id="awf-form">
                    <script>
                        var awf_file='formular.php';
                        var awf_x=new XMLHttpRequest();awf_x.open('GET',awf_file+'?js=awf');awf_x.onreadystatechange=function(){if(awf_x.readyState===4&&awf_x.status===200){var s=document.createElement('script');s.innerHTML=awf_x.responseText;document.head.appendChild(s);awf_Run('awf-form');}};awf_x.send();
                    </script>
                </div>
                
                <noscript>Bitte aktivieren Sie Javascript in Ihrem Browser!</noscript>
                <!-- Ende Formular von Arclab -->
                        
            </div>
        </div>
    </div>
</section>

Wichtig ist auch, dass Du in der Arclab-Software bereits unter "Formularbreite" 100% dynamische Breite wählst:

[Klaus]

... für eine Lawine ausgelöst.

Das ist in Foren ja oft so ... die "Forenfreaks" sind ab einem gewissen Punkt unter sich und die Ausgangsfrage ist dann eigentlich eher unwichtig geworden. ;-)