Ein HTML-Formular ohne PHP an E-Mail senden

Ändere die action des Formulars von deinem PHP-Skript auf die URL eines Formular-Backends, behalte die Feldnamen und lösche das Skript. Das Backend macht, was mail() gemacht hat, plus das, was es nie gut gemacht hat: Spamfilter, Speicherung und Mail, die nicht im Spam landet. Es funktioniert auf statischen Hosts, auf denen PHP gar nicht laufen kann.

Was hier anders ist

Die meisten PHP-Kontaktformulare sind dieselben zwanzig Zeilen, vor Jahren aus einem Tutorial kopiert. Sie lesen $_POST, bauen einen String, rufen mail() auf und leiten weiter. Hier ein typisches:

<?php
$name = $_POST["name"];
$email = $_POST["email"];
$phone = $_POST["phone"];
$message = $_POST["message"];

$to = "hello@example.com";
$subject = "Website enquiry from $name";
$body = "Name: $name\nEmail: $email\nPhone: $phone\n\n$message";
$headers = "From: $email\r\nReply-To: $email";

if (mail($to, $subject, $body, $headers)) {
  header("Location: /thanks.html");
} else {
  echo "Sorry, something went wrong.";
}

Es sieht harmlos aus und hat funktioniert, als es geschrieben wurde. Heute geht es auf vier Arten kaputt, und nur die erste ist offensichtlich:

Du könntest jedes Problem einzeln beheben: jeden Wert validieren, über einen SMTP-Anbieter mit einer Bibliothek wie PHPMailer senden, SPF und DKIM für deine Domain einrichten, einen Honeypot und ein Rate-Limit hinzufügen und in eine Datenbank loggen. Das ist ein vernünftiges Projekt, wenn du ohnehin PHP betreibst. Wenn nicht, verlagere die Arbeit an ein Formular-Backend.

Das Formular von PHP lösen

Behalte die Feldnamen exakt so, wie sie sind. Nur die action ändert sich, plus zwei versteckte Eingabefelder:

<form action="/contact.php" method="post">
  <input name="name" required />
  <input name="email" type="email" required />
  <input name="phone" type="tel" />
  <textarea name="message" required></textarea>
  <button>Send</button>
</form>

<form action="https://ikiform.com/f/frm_xxxxxxxxxxxxxxxx" method="post">
  <input name="name" required />
  <input name="email" type="email" required />
  <input name="phone" type="tel" />
  <textarea name="message" required></textarea>
  <input type="hidden" name="_redirect" value="https://example.com/thanks.html" />
  <input name="_gotcha" type="text" tabindex="-1" autocomplete="off" hidden />
  <button>Send</button>
</form>

Ordne dann jede Aufgabe des Skripts der Stelle zu, wo sie jetzt erledigt wird:

• Füge deine Domain unter Allowed domains hinzu. _redirect funktioniert nur mit einer https:-URL auf einer dieser Domains.
• Lösch contact.php vom Server, sobald das neue Formular funktioniert. Ein vergessenes Skript ist für Bots, die sich die URL merken, weiterhin ein offenes Mail-Relay.
• Wenn du zu einem statischen Host umgezogen bist, existiert die alte URL /contact.php nicht mehr. Bots, die direkt dorthin senden, bekommen einen 404, und das ist in Ordnung.

Prüfen, ob es funktioniert

1. Füge unter Allowed domains des Formulars die Domain deiner Site hinzu, plus localhost, während du entwickelst. Lass das Feld leer, um Posts von überall anzunehmen.
2. Sende das Formular auf deiner Live-Seite ab. Du landest auf deiner alten thanks.html.
3. Öffne Submissions im Dashboard. Die neue Einsendung ist da, mit jedem Feld, das du gesendet hast.
4. Öffne die E-Mail. Sie kommt von Ikiform, nicht von der Adresse des Besuchers, und liegt nicht im Spam. Füge den Absender zu deinen Kontakten hinzu, damit auch spätere nicht dort landen.
5. Klick auf Reply. Die Adresse des Besuchers steht in der Zeile To.
6. Sende einen Post mit ausgefülltem Honeypot, _gotcha=bot. Er bekommt trotzdem eine Erfolgsantwort, aber die Einsendung wird als Spam gespeichert und löst weder E-Mail noch Webhook aus.

Stolperfallen

• Alte Formularnamen mit Klammern. PHP-Formulare verwenden oft Namen wie contact[email]. Ikiform speichert sie unverändert, aber das Reply-To kommt nur aus einem Feld namens email oder ein paar nahen Varianten. Benenne das Feld um oder füge _replyto hinzu.
• Der Betreff kann den Namen nicht enthalten. Die Betreffzeile des Skripts enthielt den Namen des Besuchers. Der Betreff der Benachrichtigung ist fest, und _subject wird an Webhooks und die API weitergegeben, ohne die E-Mail zu ändern.
• Zeichenkodierung. mail()-Skripte haben Umlaute und Akzente oft verunstaltet, weil sie nie einen Zeichensatz gesetzt haben. Die E-Mail von Ikiform ist UTF-8, Namen in jeder Schrift kommen also unversehrt an.
• Mehrere Adressen in $to. Eine Komma-Liste im Skript wird im Dashboard zu separaten Empfängern. Externe Adressen bestätigen per Link, bevor sie etwas bekommen. Siehe mehrere Empfänger.

Wenn etwas schiefgeht

Fragen