Envie um formulário HTML para o e-mail sem PHP

Troque o action do formulário do seu script PHP pela URL de um backend de formulários, mantenha os nomes dos campos e apague o script. O backend faz o que o mail() fazia, mais as partes que ele nunca fez bem: filtro de spam, armazenamento e e-mails que não caem no spam. Funciona em hosts estáticos, onde o PHP nem roda.

O que muda aqui

A maioria dos formulários de contato em PHP são as mesmas vinte linhas, copiadas de um tutorial anos atrás. Eles leem $_POST, montam uma string, chamam mail() e redirecionam. Este é um exemplo típico:

<?php
$name = $_POST["name"];
$email = $_POST["email"];
$phone = $_POST["phone"];
$message = $_POST["message"];

$to = "hello@example.com";
$subject = "Website enquiry from $name";
$body = "Name: $name\nEmail: $email\nPhone: $phone\n\n$message";
$headers = "From: $email\r\nReply-To: $email";

if (mail($to, $subject, $body, $headers)) {
  header("Location: /thanks.html");
} else {
  echo "Sorry, something went wrong.";
}

Parece inofensivo, e funcionava quando foi escrito. Hoje ele quebra de quatro formas, e só a primeira é óbvia:

Você poderia corrigir cada um: validar todos os valores, enviar por um provedor SMTP com uma biblioteca como o PHPMailer, configurar SPF e DKIM para o seu domínio, adicionar um honeypot e um limite de taxa e registrar tudo num banco de dados. É um projeto razoável se você já roda PHP. Se preferir não fazer isso, passe o trabalho para um backend de formulários.

Tire o formulário do PHP

Mantenha os nomes dos campos exatamente como estão. Só o action muda, mais dois inputs ocultos:

<form action="/contact.php" method="post">
  <input name="name" required />
  <input name="email" type="email" required />
  <input name="phone" type="tel" />
  <textarea name="message" required></textarea>
  <button>Send</button>
</form>

<form action="https://ikiform.com/f/frm_xxxxxxxxxxxxxxxx" method="post">
  <input name="name" required />
  <input name="email" type="email" required />
  <input name="phone" type="tel" />
  <textarea name="message" required></textarea>
  <input type="hidden" name="_redirect" value="https://example.com/thanks.html" />
  <input name="_gotcha" type="text" tabindex="-1" autocomplete="off" hidden />
  <button>Send</button>
</form>

Depois relacione cada coisa que o script fazia com o lugar onde ela fica agora:

• Adicione seu domínio em Allowed domains. _redirect só funciona com uma URL https: num desses domínios.
• Apague o contact.php do servidor quando o novo formulário estiver funcionando. Um script esquecido continua sendo um relay de e-mail aberto para bots que lembram a URL.
• Se você migrou para um host estático, a antiga URL /contact.php não existe mais. Bots que enviam direto para ela recebem um 404, o que está ótimo.

Confira se funciona

1. Em Allowed domains do formulário, adicione o domínio do seu site, mais localhost enquanto desenvolve. Deixe vazio para aceitar envios de qualquer lugar.
2. Envie o formulário na sua página publicada. Você cai no seu antigo thanks.html.
3. Abra Submissions no painel. O novo envio está lá com todos os campos que você enviou.
4. Abra o e-mail. Ele vem do Ikiform, não do endereço do visitante, e não está no spam. Adicione o remetente aos seus contatos para que os próximos também não caiam.
5. Clique em Reply. O endereço do visitante está na linha To.
6. Envie com o honeypot preenchido, _gotcha=bot. Ele ainda recebe uma resposta de sucesso, mas o envio é armazenado como spam e não dispara e-mail nem webhook.

Pegadinhas

• Nomes antigos com colchetes. Formulários PHP muitas vezes usam nomes como contact[email]. O Ikiform os armazena como estão, mas o reply-to só vem de um campo chamado email ou de algumas variações próximas. Renomeie o campo ou adicione _replyto.
• O assunto não pode incluir o nome. O assunto do script tinha o nome do visitante. O assunto da notificação é fixo, e _subject é repassado aos webhooks e à API sem mudar o e-mail.
• Codificação de caracteres. Scripts com mail() muitas vezes estragavam os acentos porque nunca definiam um charset. O e-mail do Ikiform é UTF-8, então nomes em qualquer alfabeto chegam intactos.
• Vários endereços em $to. Uma lista separada por vírgulas no script vira destinatários separados no painel. Endereços de fora confirmam por link antes de receber qualquer coisa. Veja vários destinatários.

Se algo der errado

Perguntas