SynoPower Club Punkt:<\/strong> Jeg har arbejdet i supportafdelingen hos Synology i \u00e5revis, og den mest almindelige bekymring jeg h\u00f8rte om selvhosting var, at \u00e9n d\u00e5rlig nat ville lukke siden ned. Det gjorde den ikke denne gang. NAS'en blev ved med at vise sider, butikken blev ved med at tage imod ordrer, og det eneste symptom var ti linjer i formularindtastningerne. Det, der gjorde forskellen, var at have alt samlet \u00e9t sted: formularindtastningerne, mailloggen og de bes\u00f8gendes IP-adresser l\u00e5 alle p\u00e5 den samme Synology-boks, s\u00e5 det tog \u00e9n str\u00e6kning at spore e-mailbomben i stedet for tre supporttickets til tre forskellige hostingfirmaer.<\/p>\n<\/blockquote>\n\n\n\n Emailbombning beh\u00f8ver ikke at bryde ind i noget. Angriberen tager offerets adresse og indtaster den i s\u00e5 mange offentlige formularer som muligt: tilmeldinger til nyhedsbreve, kontoregistreringer og kontaktformularer, der sender en kopi af beskeden tilbage til afsenderen. Hver hjemmeside sender derefter en \u00e6gte, korrekt underskrevet e-mail til offeret. Ingen af disse beskeder er spam i teknisk forstand, s\u00e5 de sejler forbi filtre og hober sig op i indbakken.<\/p>\n\n\n\n M\u00e5let er sj\u00e6ldent selve oversv\u00f8mmelsen. Microsoft Threat Intelligence har dokumenteret grupper, der bruger e-mailbombning som f\u00f8rste skridt og derefter ringer til offeret og foregiver at v\u00e6re den IT-helpdesk, der skal l\u00f8se spamproblemet. Andre angribere bruger oversv\u00f8mmelsen til at skjule en bankadvarsel, en k\u00f8bsbekr\u00e6ftelse eller en meddelelse om \u00e6ndring af adgangskode, mens de misbruger en stj\u00e5let konto.<\/p>\n\n\n\n Kontaktformularer er attraktive, fordi mange af dem automatisk svarer til den adresse, der indtastes i e-mailfeltet. For angriberen er det et gratis, anonymt mailrel\u00e6 med et trov\u00e6rdigt afsendernavn. For webstedsejeren betyder det, at dit dom\u00e6ne sender mail til folk, der aldrig har bedt om det, og nogle af dem vil trykke p\u00e5 spam-knappen.<\/p>\n\n\n\n M\u00f8nsteret var tydeligt, da vi kiggede p\u00e5 bidragene side om side. Mellem aftenen den 24. september og den n\u00e6ste morgen modtog vores supportformular ti bidrag, med en til to timers mellemrum. Det langsomme tempo er bevidst: det holder sig under de fleste hastighedsgr\u00e6nser og ligner almindelig trafik.<\/p>\n\n\n\n Ingen af disse personer havde nogensinde bes\u00f8gt SynoPower Club. Vores bekr\u00e6ftelsesmail med et emne som SynoPower #1234: Produktforesp\u00f8rgsel blev sendt til hver af dem. Hvis du modtog en af disse beskeder og aldrig kontaktede os, var du m\u00e5l for e-mailbombning: din adresse blev indtastet af en anden. Der blev ikke oprettet nogen konto til dig, og der blev ikke opkr\u00e6vet noget. Vores guide til hvordan man ved, om en e-mail virkelig er fra SynoPower Club<\/a> viser alle adresser, vi sender fra.<\/p>\n\n\n\n Vores formular havde allerede to forsvar mod spam aktiveret, men e-mailbombningen gik lige igennem dem: Cloudflare Turnstile og et skjult honeypot-felt. Begge fungerede, og ingen af dem var bygget til dette.<\/p>\n\n\n\n En honeypot fanger scripts, der udfylder alle felter p\u00e5 siden, inklusive et felt, der er skjult for mennesker. Disse indsendelser kom fra en rigtig browser, der kun udfyldte de synlige felter, s\u00e5 f\u00e6lden forblev tom. Turnstile kontrollerer, om den bes\u00f8gende opf\u00f8rer sig som en rigtig browser og person. Hver af de ti indsendelser indeholdt en gyldig Turnstile-token, som fort\u00e6ller os, at afsenderen brugte en \u00e6gte browser i et menneskeligt tempo, ikke et groft script.<\/p>\n\n\n\n Det er den \u00e6rlige gr\u00e6nse for bot-tjek mod e-mail-bombning. De g\u00f8r masseautomatiseret misbrug dyrt, men en t\u00e5lmodig afsender, der indsender \u00e9n formular i timen via en normal browser, ligner pr\u00e6cis en kunde. For at stoppe det skal der v\u00e6re et signal om, hvor anmodningen kommer fra, ikke kun hvordan den opf\u00f8rer sig.<\/p>\n\n\n\n Fordi hele stakken k\u00f8rer p\u00e5 \u00e9t Synology-system, forlod unders\u00f8gelsen aldrig NAS'en. Disse fire kontroller, vi k\u00f8rte, i r\u00e6kkef\u00f8lge, og de fungerer for ethvert WordPress-websted, der hostes i Container Manager eller Web Station.<\/p>\n\n\n \u00c5bn listen over indl\u00e6g i dit formular-plugin, og sorter efter dato. Kig efter tilf\u00e6ldige navne eller beskeder, gentagne emner og et stabilt interval mellem indl\u00e6g, og noter derefter den IP-adresse, der er gemt sammen med hvert indl\u00e6g.<\/p>\n<\/div>\n<\/div>\n \u00c5bn mailloggen for dit SMTP-plugin eller leveringsloggen i Synology MailPlus Server, og s\u00f8g efter postnumrene. Dette viser, om dit websted rent faktisk sendte en bekr\u00e6ftelse til hver adresse, og om den blev leveret.<\/p>\n<\/div>\n<\/div>\n Download Tor-projektets masseudgangsliste og s\u00f8g efter hver IP-adresse fra posterne. I vores tilf\u00e6lde var alle ti adresser Tor-udgangsnoder, mens ingen af de 199 \u00e6gte poster siden 2024 kom fra en adresse p\u00e5 den liste.<\/p>\n<\/div>\n<\/div>\n S\u00f8rg for, at IP-adresserne i dine logfiler tilh\u00f8rer bes\u00f8gende og ikke Cloudflare eller din reverse proxy. Hvis hver post viser de samme f\u00e5 adresser, skal du gendanne den oprindelige bes\u00f8gendes IP-adresse, f\u00f8r du drager nogen konklusioner.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n L\u00f8sningen p\u00e5 e-mailbombningen skulle opfylde to betingelser: stoppe denne afsender helt og ikke skabe gnidning for de kunder, der bruger formularen til at sp\u00f8rge om licenser hver uge. Vi besluttede os for \u00e9n m\u00e5lrettet \u00e6ndring.<\/p>\n\n\n\n Formularindsendelser, der ankommer via Tor-netv\u00e6rket, afvises nu p\u00e5 alle formularer p\u00e5 webstedet. Cloudflare markerer Tor-trafik med den s\u00e6rlige landekode T1, og vi kontrollerer ogs\u00e5 den bes\u00f8gendes IP-adresse mod Tor-projektets exit-liste, der opdateres dagligt, s\u00e5 reglen g\u00e6lder stadig, hvis en anmodning nogensinde n\u00e5r NAS'en uden at passere gennem Cloudflare. Enhver, der afvises, ser en kort besked med vores supportadresse, s\u00e5 en \u00e6gte kunde, der foretr\u00e6kker Tor, stadig kan kontakte os via e-mail.<\/p>\n\n\n\n Browsing-, betalings- og kontosider forbliver uber\u00f8rte. \u00c6ndringen g\u00e6lder kun i det \u00f8jeblik, en formular indsendes, hvilket er pr\u00e6cis der, hvor misbruget fandt sted.<\/p>\n\n\n\n Det st\u00e6rkeste forsvar mod e-mailbombning via en formular er at stoppe med at sende noget til den adresse, der er indtastet i den. Hvis formularen kun giver dig besked, opn\u00e5r en angriber intet ved at indtaste en fremmeds adresse. Vi overvejede den mulighed alvorligt.<\/p>\n\n\n\n Vi valgte at beholde bekr\u00e6ftelsen. Mange af vores kunder skriver ind, fordi en licensn\u00f8gle ikke blev aktiveret, eller fordi en ordre-e-mail er havnet i spam-mappen, og et \u00f8jeblikkeligt svar, der siger, at vi har modtaget beskeden, med et ticketnummer, reducerer deres stress betydeligt. At fjerne det ville straffe alle rigtige kunder og dermed genere \u00e9n afsender.<\/p>\n\n\n\n Afvejningen er dog klar. Blokering af Tor lukker den rute, som denne afsender brugte, men en m\u00e5lrettet angriber kunne skifte til almindelige proxyer. Hvis u\u00f8nskede indl\u00e6g returneres fra ikke-Tor-adresser, er n\u00e6ste skridt at g\u00f8re bekr\u00e6ftelsen valgfri eller sl\u00e5 den fra, og den beslutning h\u00f8rer hjemme p\u00e5 din tjekliste, f\u00f8r det sker, ikke under den n\u00e6ste h\u00e6ndelse.<\/p>\n\n\n\n Trin 4 i unders\u00f8gelsen fortjener sin egen sektion, fordi det er den mest almindelige f\u00e6lde, n\u00e5r et selvhostet websted h\u00e5ndterer email bombing eller andet misbrug. En anmodning til SynoPower Club g\u00e5r gennem Cloudflare, derefter den reverse proxy i Synology DSM, f\u00f8r den n\u00e5r WordPress i sin container. Uden ekstra konfiguration ser WordPress adressen p\u00e5 det sidste hop, s\u00e5 hver formularindtastning, kommentar og ordre registreres med en Cloudflare- eller proxy-IP.<\/p>\n\n\n\n Cloudflare sender den oprindelige adresse i CF-Connecting-IP-headeren, og Apache kan kun f\u00e5 besked p\u00e5 at stole p\u00e5 den header, n\u00e5r anmodningen kommer fra Cloudflare eller din egen proxy. Vi havde rettet dette blot f\u00e5 dage tidligere for at screene for svindel p\u00e5 ordrer, og det gav pote med det samme: formularindtastningerne viste de rigtige Tor-exitadresser, hvilket gjorde m\u00f8nsteret synligt p\u00e5 f\u00e5 minutter.<\/p>\n\n\n\n Hvis du hoster p\u00e5 en Synology NAS bag Cloudflare, skal du tjekke dette, f\u00f8r du har brug for det. Indsend en testindtastning fra din telefon p\u00e5 mobildata, og bekr\u00e6ft, at den gemte IP-adresse matcher den, din telefon rapporterer.<\/p>\n\n\n\n En butik, der s\u00e6lger Synology-licenser, burde kunne k\u00f8re p\u00e5 Synology, og vores g\u00f8r det hele. Virtual Machine Manager<\/a> v\u00e6rt for Virtual DSM-instansen, der indeholder webstedet, Container Manager k\u00f8rer WordPress og dets database, og Synology MailPlus<\/a> sender alle ordrebekr\u00e6ftelser, licensleveringer og formularsvar.<\/p>\n\n\n\nHvad e-mailbombning er, og hvorfor kontaktformularer er m\u00e5l<\/h2>\n\n\n\n
Hvordan e-mailbombning dukkede op i vores Synology-hostede butik<\/h2>\n\n\n\n
\n
![\"E-mailbomber](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/email-bombing-form-entries.webp\")
Hvorfor t\u00e6llekorset og en honningkrukke ikke stoppede det<\/h2>\n\n\n\n
Sporing af e-mailbombning p\u00e5 en Synology NAS i 4 trin<\/h2>\n\n\n\n
L\u00e6s formularindtastningerne<\/h3>\n
Tjek hvem der har modtaget post<\/h3>\n
Sammenlign IP'er med Tor-listen<\/h3>\n
Bekr\u00e6ft at IP-adresserne er rigtige bes\u00f8gende<\/h3>\n
![\"WordPress](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/email-bombing-mail-log.webp\")
Hvad vi \u00e6ndrede efter unders\u00f8gelsen<\/h2>\n\n\n\n
Skal du beholde det automatiske svar efter e-mailbombning?<\/h2>\n\n\n\n
S\u00e5dan f\u00e5r du den rigtige bes\u00f8gendes IP-adresse bag Cloudflare og Synology Reverse Proxy<\/h2>\n\n\n\n
Hvorfor vi k\u00f8rer SynoPower Club p\u00e5 Synology<\/h2>\n\n\n\n
![\"WordPress-](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/synopower-club-on-virtual-dsm.webp\")