Atak przez formularz kontaktowy: jak zatrzymać spam i złośliwe pliki CAD

Czy formularz wyceny w sklepie meblowym ma przyjmować pliki projektowe od każdego, kto poda adres e-mail, czy tylko od zweryfikowanego zapytania, które da się bezpiecznie otworzyć na odizolowanej stacji? Od tej decyzji zależy, czy załącznik DWG, DXF, STEP albo ZIP z modelem kończy w kwarantannie, czy od razu na dysku konstruktora.

Cel jest prosty: zatrzymać spam w formularzu kontaktowym i nie wpuścić spreparowanego pliku CAD do sieci firmowej. Procedura poniżej dotyczy sklepu, który zbiera wymiary, rysunki i modele do wyceny mebli na wymiar. Nie zastępuje audytu całej infrastruktury. Porządkuje kolejność działań, kryteria odrzucenia pliku i moment, w którym człowiek w ogóle może otworzyć załącznik.

Cel operacyjny i granica odpowiedzialności formularza

Formularz wyceny nie jest skrzynką na dowolne pliki. Ma zebrać dane potrzebne do odpowiedzi handlowej i ewentualnie jeden, ściśle opisany pakiet rysunkowy. Wszystko poza tym zakresem powinno odpaść jeszcze na serwerze WWW, zanim powstanie zgłoszenie w CRM albo mail do biura projektowego.

Co procedura ma zatrzymać

Pierwsza warstwa to spam: masowe zapytania bez treści, linki afiliacyjne, fałszywe leady i boty omijające prosty captcha. Druga warstwa to złośliwe pliki CAD i opakowania, które tylko udają projekt: podwójne rozszerzenia, archiwa z makrami, pliki z nietypowym nagłówkiem, nazwy ze ścieżką katalogów oraz załączniki większe niż realna wycena kuchni czy szafy.

Trzecia warstwa jest organizacyjna. Nawet czysty plik DXF bywa niebezpieczny, jeśli konstruktor otwiera go na komputerze z dostępem do udziałów sieciowych, poczty i systemu ERP. Dlatego sukcesem nie jest „plik przeszedł walidację”. Sukcesem jest sytuacja, w której podejrzany załącznik nigdy nie trafia na stację projektową z uprawnieniami do zapisu w sieci.

Czego ta procedura nie obiecuje

Żaden filtr rozszerzeń nie wykryje każdego uszkodzonego lub celowo spreparowanego formatu. Programy CAD mają własne parsery, a część formatów dopuszcza osadzone obiekty, odwołania zewnętrzne i skrypty. Dlatego reguła brzmi: odrzucać to, czego nie umiesz zweryfikować, a to, co przyjmujesz, otwierać dopiero po kwarantannie i na maszynie bez dostępu do sekretów firmy.

Nie mieszaj też dwóch procesów. Formularz reklamacyjny ze zdjęciem uszkodzonego frontu i formularz wyceny z modelem 3D to inne ryzyka. Zdjęcie JPG ma inny profil niż plik DWG. Jedna polityka „dozwolone wszystko do 50 MB” zwykle przegrywa z pierwszym złośliwym archiwum.

Kryterium „gotowe do wdrożenia”

Procedurę można uznać za wdrożoną dopiero wtedy, gdy da się odpowiedzieć na cztery pytania bez zgadywania: jakie rozszerzenia są dozwolone, gdzie plik leży przed decyzją człowieka, kto może go otworzyć i co się dzieje po odrzuceniu. Jeśli którykolwiek punkt brzmi „jakoś na mailu”, formularz nadal jest bramą do sieci.

Anatomia zagrożenia: dlaczego formularz wyceny przyciąga spam i pliki CAD

Publiczny formularz z uploadem jest dla automatu łatwiejszy niż logowanie do panelu. Nie wymaga konta, często nie ma limitu prób, a sukces widać od razu: mail wychodzi, plik ląduje w katalogu albo zgłoszenie pojawia się w kolejce handlowca. W e-commerce meblowym dodatkową zachętą jest obietnica „wyślemy projekt, wy wycenicie”.

Spam, który wygląda jak lead

Część ruchu to klasyczny spam: puste pola, losowe domeny, ten sam numer telefonu w setkach zgłoszeń, link w polu „uwagi”. Gorszy wariant imituje klienta. Temat brzmi „wycena kuchni 3,2 m”, treść jest krótka, a załącznik ma nazwę kuchnia_wymiary.dwg. Handlowiec otwiera taki plik szybciej niż oczywistą reklamę, bo wygląda na szansę sprzedaży.

Dlatego sam honeypot albo captcha nie zamyka tematu. Ogranicza automaty, ale nie zastępuje reguł treści i reguł pliku. Lead bez wymiarów, bez kodu pocztowego realizacji i z załącznikiem spoza listy powinien trafić do kolejki „do weryfikacji”, a nie do skrzynki konstruktora.

Plik projektowy jako nośnik, nie jako rysunek

Formaty używane przy meblach na wymiar — DWG, DXF, STEP, IGES, 3DM, SKP, czasem PDF z osadzonymi obiektami i ZIP z całym katalogiem — są traktowane jak dokumenty techniczne. W praktyce to złożone kontenery. Złośliwy plik nie musi „rysować szafy”. Wystarczy, że aplikacja na stacji projektowej źle zinterpretuje strukturę, ściągnie odwołanie zewnętrzne albo uruchomi zawartość, której nikt nie sprawdzał.

Osobny problem to nazwa pliku. Ciąg ….umowa.exe albo rzut.dwg.pdf.exe nie jest projektem. Jeśli aplikacja zapisuje oryginalną nazwę na dysk, ryzyko wychodzi poza sam format CAD. Bezpieczny zapis używa własnego identyfikatora, a oryginalną nazwę trzyma tylko jako metadane, po oczyszczeniu znaków.

Skutek biznesowy, zanim dojdzie do infekcji

Nawet bez udanego ataku zalew zapytań zatyka wycenę. Handlowiec przestaje odróżniać realne zamówienie od szumu, czas odpowiedzi rośnie, a ktoś w końcu „na chwilę” wyłącza filtr, żeby nie gubić klientów. To moment, w którym formularz kontaktowy staje się najsłabszym punktem procesu, nie dlatego że jest publiczny, ale dlatego że wyjątki omijają kolejkę.

Kolejność działań: od polityki plików do kwarantanny

Wdrażaj warstwy w stałej kolejności. Najpierw odetnij to, czego sklep w ogóle nie potrzebuje. Potem ogranicz tempo i automatyczne leady. Na końcu zajmij się treścią pliku i stanowiskiem, które go otwiera. Odwrócona kolejność — drogi sandbox przy nadal otwartym katalogu uploadu — daje poczucie kontroli bez realnej bariery.

Krok 1. Spisz dozwolony wsad wyceny

Ustal z biurem projektowym krótką listę. Dla większości zapytań o meble wystarczą: PDF ze rzutem, JPG lub PNG ze zdjęciem wnęki, DXF albo DWG w jednej, nazwanej wersji oraz ewentualnie STEP, jeśli kooperant naprawdę go czyta. Pakiety instalatorów, pliki EXE, JS, HTML, LNK, ISO, SCR, BAT, CMD, PS1, MSI i archiwa wielokrotnie zagnieżdżone nie są materiałem do wyceny.

Zapisz też limity: jeden pakiet na zgłoszenie, na przykład do 15–25 MB, maksymalnie kilka plików, zakaz haseł do archiwów od nieznanych nadawców. Hasło „przesłane w kolejnym mailu” brzmi niewinnie, a w praktyce wyłącza skanowanie. Jeśli klient musi chronić projekt, niech użyje ustalonego kanału po weryfikacji tożsamości, nie publicznego formularza.

Przy planowaniu kolejnych kroków pomocny może być tekst: Ransomware w e‑commerce meblowym kosztowne lekcje z realnych incydentów.

Krok 2. Odetnij zapis pliku od decyzji człowieka

Upload nie może lądować w katalogu dostępnym z przeglądarki ani w skrzynce, która automatycznie pobiera załączniki na komputer konstruktora. Poprawny przepływ: formularz przyjmuje strumień, serwer nadaje losową nazwę, zapisuje plik poza webrootem, tworzy rekord ze statusem kwarantanna i dopiero wtedy powiadamia obsługę, że jest zgłoszenie do przejrzenia — bez załącznika w treści maila.

Mail z plikiem „dla wygody” kasuje cały sens kolejki. Klient pocztowy, podgląd i reguły przekazywania potrafią otworzyć zawartość zanim ktokolwiek sprawdzi nadawcę. Powiadomienie ma zawierać numer zgłoszenia i link do panelu, który wymaga logowania.

Krok 3. Postaw twarde odrzucenie przed miękką oceną

Reguły automatyczne mają mówić „nie” w sposób nudny i powtarzalny. Zły typ, zła wielkość, zły nagłówek, zbyt wiele plików, zbyt wiele zgłoszeń z jednego adresu w krótkim czasie — odrzucenie bez tworzenia leada. Dopiero plik, który przeszedł te bramki, może czekać na człowieka.

Komunikat dla klienta powinien być krótki i prawdziwy: „Nie przyjmujemy tego typu pliku. Wyślij PDF, JPG albo DXF do X MB”. Nie ujawniaj wewnętrznych nazw reguł, ścieżek ani informacji, który dokładnie test nie przeszedł. Atakującemu nie trzeba podpowiadać, co jeszcze zmienić.

Kontrola uploadu: rozszerzenie, nagłówek i kwarantanna

Rozszerzenie jest deklaracją nadawcy, nie dowodem zawartości. Pole Content-Type z przeglądarki też nim nie jest. Przy plikach CAD liczy się zgodność trzech rzeczy: dozwolonej listy, oczyszczonej nazwy i rozpoznawalnego początku pliku, a potem izolacja do czasu decyzji.

Weryfikacja magic bytes i odrzucenie podróbek

Magic bytes to stały początek wielu formatów. PDF zaczyna się od czytelnego znacznika, część plików ZIP i tym samym część kontenerów opartych o ZIP ma własny nagłówek, a pliki obrazów mają sygnatury niezależne od końcówki nazwy. Przy DWG i DXF nie wystarczy zaufać sufiksowi .dwg. Sprawdź, czy początek pliku pasuje do oczekiwanej rodziny, a jeśli parser po stronie serwera tego nie umie — nie przyjmuj formatu w publicznym formularzu.

Odrzucaj od razu pliki, których nagłówek wskazuje na program wykonywalny, skrypt albo dokument biurowy z makrami, nawet jeśli nazwa kończy się na .dxf. Odrzucaj też rozjazd: deklaracja „obraz JPEG”, a w środku inna struktura. To nie jest drobiazg techniczny. To najtańszy test, który łapie sporą część podmienionych załączników zanim ktokolwiek kliknie.

Nie próbuj „naprawiać” podejrzanego pliku na serwerze sklepu przez konwersję w pełnym programie CAD. Konwersja oznacza uruchomienie parsera na maszynie, która często ma sieć i sekrety aplikacji. Jeśli konwersja jest potrzebna, rób ją później, na hoście bez dostępu do panelu sklepu i bez mapowanych dysków biura.

Nazwa, ścieżka i archiwum

Zapisz plik pod identyfikatorem zgłoszenia, na przykład q-18442.bin, a oryginalną nazwę trzymaj w bazie po obcięciu do bezpiecznego zestawu znaków. Usuń ukośniki, dwukropki, znaki sterujące i podwójne rozszerzenia. Limit długości nazwy ustaw świadomie — długie nazwy bywają używane do zamieszania w podglądzie.

Jeśli dopuszczasz ZIP, rozpakuj go w osobnym katalogu tymczasowym z limitem liczby plików, limitem głębokości i limitem rozmiaru po rozpakowaniu. Archiwum 8 MB, które po otwarciu chce zająć dziesiątki gigabajtów, nie jest projektem kuchni. Każdy plik w środku przechodzi tę samą listę co upload bezpośredni. Archiwum w archiwum odrzucaj. Hasła odrzucaj.

Kwarantanna załączników i decyzja człowieka

Kwarantanna to nie folder „do przejrzenia na pulpicie”. To stan rekordu: plik niedostępny z internetu, brak automatycznego podglądu, brak dalej-wyślij do konstruktora. Osoba z rolą weryfikacji widzi metadane: rozmiar, wykryty typ, wynik skanu, kraj i tempo zgłoszeń z tego samego źródła, treść zapytania. Dopiero zgodność tych pól z realną wyceną uprawnia do przeniesienia pliku na stanowisko odizolowane.

Ustal dwa przyciski i nic pomiędzy: odrzuć oraz przekaż na stację projektową. Brak przycisku „pobierz na ten komputer” w panelu handlowca jest cechą, nie niedogodnością. Handlowiec nie potrzebuje parsera CAD, żeby ocenić, czy lead ma sens.

Handlowiec patrzy najpierw na wiersz, nie na plik. Typ, rozmiar, tempo zgłoszeń i treść zapytania albo się spinają, albo nie. „Kuchnia 3,2 m, rzut w PDF” przy pliku 40 MB o sygnaturze archiwum to nie lead do przyspieszenia. To powód, żeby zostawić rekord w kwarantannie i odesłać prośbę o zwykły PDF.

Przekazanie na stację projektową oznacza jedną, nazwaną maszynę. Bez skrzynki, która sama ściąga załączniki. Bez dysku sieciowego biura. Bez konta administratora „bo CAD czasem pyta o uprawnienia”. Konstruktor otwiera kopię ze stacji, nie oryginał z panelu. Jeśli rysunek jest pusty, hasło nie schodzi, a podgląd prosi o makra — plik wraca do statusu odrzucony. Nie ma trzeciej ścieżki „otwórz u siebie, tylko na chwilę”.

Odrzucone wsady trzymaj krótko i z datą skasowania. Wystarczy identyfikator zgłoszenia, powód odrzucenia i kto kliknął. Sam plik nie musi leżeć tygodniami „na wszelki wypadek”. Długi magazyn podejrzanych DXF to drugi, cichszy katalog uploadu. Przy spamowej serii z jednego adresu liczy się też tempo: kilka identycznych zgłoszeń w ciągu minuty zamyka formularz dla tego źródła, zanim ktokolwiek zdąży uznać je za pilną wycenę.

Jeśli chcesz pogłębić ten wątek, sprawdź też: USB-C PD exploit: zdalne przepięcie urządzenia.

Wyjątek dla stałego kooperanta nie może obchodzić kolejki. Osobny link po zalogowaniu, ten sam limit typów, ta sama kwarantanna. Inaczej wraca schemat z początku: filtr „na chwilę” wyłączony, a pierwszy otwarty plik ląduje na komputerze, który ma też pocztę i projekty klientów.

Publiczny formularz zostaje publiczny. Bezpieczny staje się wtedy, gdy przyjmuje tylko wąski wsad, nie oddaje pliku mailem i nie puszcza go dalej bez jawnej decyzji człowieka na odseparowanej stacji.

Kryteria sprawdzenia: zanim lead w ogóle powstanie

Po wdrożeniu warstw nie oceniaj „czy filtr działa”, tylko czy rekord spełnia warunki wejścia do kolejki. Lead powstaje dopiero wtedy, gdy wszystkie punkty poniżej są spełnione naraz. Jeden brak wystarcza, żeby zgłoszenie zostało przy statusie odrzuconym albo w kwarantannie.

1. Treść zapytania da się powiązać z realną wyceną: metraż, zakres, termin, a nie sam załącznik i ogólnik.
2. Liczba plików i suma rozmiaru mieszczą się w limicie ustalonym z biurem, nie w limicie „ile serwer wytrzyma”.
3. Każdy plik ma typ z listy roboczej i początek zgodny z tą rodziną. Rozjazd nazwy, deklaracji i sygnatury zamyka sprawę.
4. Nazwa w bazie jest obcięta i oczyszczona, a plik na dysku ma identyfikator nadany przez serwer.
5. Archiwum, jeśli w ogóle dopuszczone, rozpakowało się w limicie liczby plików, głębokości i rozmiaru po otwarciu. Hasło albo archiwum w archiwum oznacza odrzucenie.
6. Tempo z tego źródła nie wygląda jak seria. Kilka niemal identycznych zgłoszeń w krótkim oknie nie tworzy kilku leadów.
7. Powiadomienie poszło bez pliku. W mailu jest numer i link do panelu po zalogowaniu.

Dopiero po tych siedmiu punktach człowiek porównuje metadane z opisem. „Kuchnia 3,2 m” i mały PDF ze rzutem mogą iść dalej. Ten sam opis przy ciężkim kontenerze zostaje w kolejce do odrzucenia, nie do „szybkiego rzutu oka”.

Checklista operacyjna

Odhaczaj ją przy wdrożeniu i przy każdym incydencie. Kolejność jest częścią kontroli: nie zaczynaj od stacji CAD, jeśli publiczny zapis nadal przyjmuje dowolny wsad.

Przed włączeniem formularza

• Lista formatów i limit MB są spisane z biurem i widoczne w komunikacie dla klienta.
• Typy spoza listy kończą się odmową, bez rekordu leada i bez śladu ścieżki reguły w odpowiedzi.
• Zapis idzie poza katalogiem serwowanym przez WWW, pod własną nazwą.
• Panel nie ma pobierania na komputer handlowca. Są dwa działania: odrzuć albo przekaż na nazwaną stację.
• Stacja projektowa nie ma poczty, dysków biura ani konta używanego do sekretów sklepu.
• Odrzucenia mają powód, autora decyzji i datę skasowania pliku.

W trakcie zgłoszenia

• Najpierw wiersz: typ, rozmiar, tempo, treść. Plik otwierasz dopiero po zgodzie na przekazanie.
• Parser i ewentualna konwersja działają na kopii, na hoście odciętym od panelu.
• Pusty rysunek, prośba o makra albo hasło, którego nie ma w ustalonym kanale, wraca do statusu odrzucony.
• Kooperant z osobnym linkiem przechodzi tę samą listę typów i ten sam stan kwarantanny.

Po decyzji

• Przyjęta kopia ma właściciela i numer zgłoszenia. Oryginał w kwarantannie nie zostaje „drugim oryginałem na później”.
• Odrzucony plik znika według daty, zostaje identyfikator i powód.
• Seria z jednego źródła zamyka formularz dla tego źródła, zanim ktokolwiek oznaczy ją jako pilną wycenę.
• Wyłączenie filtra „na chwilę” jest zdarzeniem do odnotowania, nie cichą zmianą konfiguracji.

Ostrzeżenia, których nie wolno obejść

Najdroższe błędy nie wyglądają jak atak. Wyglądają jak skrót przy piątku i pełnej skrzynce.

• Nie otwieraj załącznika z powiadomienia, nawet jeśli temat brzmi jak konkretne zamówienie. Powiadomienie bez pliku jest warunkiem, nie preferencją.
• Nie „naprawiaj” podejrzanego rysunku konwersją na serwerze sklepu. Parser z siecią i sekretami aplikacji nie jest narzędziem porządkowym.
• Nie przyjmuj hasła do archiwum w kolejnej wiadomości. To wyłącza kontrolę treści przy nadal publicznym wejściu.
• Nie trzymaj odrzuconych paczek tygodniami. Długi magazyn podejrzanych plików jest drugim katalogiem przyjęć.
• Nie rób wyjątku dla „znajomego formatu” ani dla stałego kooperanta poza kolejką. Osobny link tak, osobne reguły nie.
• Nie ujawniaj w komunikacie, który test nie przeszedł. Klient dostaje dozwolone formaty i limit. Reszta zostaje w logu.

Dwa krótkie przejścia przez kolejkę

Zapytanie o szafę wnękową, dwa zdjęcia JPG w limicie, opis z wymiarem i terminem, tempo pojedyncze. Wiersz się spina. Weryfikacja klika przekazanie. Konstruktor otwiera kopię na stacji bez poczty. Rysunek jest czytelny. Lead idzie do wyceny, plik źródłowy w kwarantannie dostaje datę usunięcia po zamknięciu sprawy.

Zapytanie o „szybką wycenę”, trzy paczki, jedna z hasłem, nazwa sugeruje rysunek, początek pliku nie pasuje do listy. Odmowa albo kwarantanna bez leada. Nikt nie prosi klienta o hasło mailem i nikt nie ściąga paczki na komputer z projektami. Jeśli to samo źródło powtarza zgłoszenie w ciągu minuty, formularz dla tego źródła przestaje przyjmować wsad do ręcznego przeglądu.

Co ma być prawdą po wdrożeniu

Na koniec zmiany sprawdź trzy rzeczy na żywym formularzu, nie w opisie procedury. Niedozwolony typ wraca z krótką odmową i nie tworzy leada. Dozwolony plik w limicie ląduje jako rekord kwarantanny, a mail do obsługi nie zawiera załącznika. Przekazanie wymaga zalogowania i kończy się na jednej nazwie stacji, nie na dysku handlowca. Jeśli którykolwiek z tych trzech testów pada, formularz nie jest gotowy — niezależnie od tego, ile reguł widać w panelu.

Role przy kolejce: kto klika i czego nie wolno mu widzieć

Zanim ktokolwiek uzna kolejkę za działającą, przypisz trzy role i nic ponadto. Handlowiec czyta wiersz i treść. Weryfikator ma prawo odrzucić albo przekazać na nazwaną stację. Konstruktor pracuje tylko na kopii, która już opuściła kwarantannę. Jedna osoba nie łączy tych trzech czynności „bo jest piątek”.

1. Handlowiec widzi numer, metraż, termin, typ, rozmiar i tempo. Nie widzi ścieżki dysku, nie dostaje linku bezpośredniego i nie ma przycisku pobrania.
2. Weryfikator porównuje wiersz z opisem i klika jedno z dwóch działań. Decyzja zostawia autora, godzinę i powód. Brak powodu blokuje zmianę statusu.
3. Konstruktor dostaje kopię na stacji projektowej dopiero po statusie przekazania. Jeśli plik jest pusty, żąda makr albo hasła spoza ustalonego kanału, odsyła sprawę do odrzucenia. Nie prosi handlowca o „szybkie otwarcie u siebie”.

Konto serwisowe formularza nie jest kontem weryfikatora. Osoba, która wdraża listę formatów, nie powinna tym samym loginem zwalniać plików z kwarantanny. Inaczej zmiana reguły i decyzja o otwarciu zlewają się w jeden nieodwracalny skrót.

Gdy plik już wyszedł poza kolejkę

Ta ścieżka jest na wypadek, gdy procedura została złamana: załącznik poszedł mailem, ktoś pobrał paczkę na komputer z pocztą albo parser ruszył na serwerze sklepu. Nie szukaj wtedy „czy rysunek wygląda groźnie”. Odcinaj dostęp i zapisuj fakty.

1. Zatrzymaj dalsze przekazywanie tego numeru zgłoszenia. Status wraca do kwarantanny albo odrzucenia, nawet jeśli lead już powstał.
2. Odłącz stację, na której plik był otwarty, od poczty, dysków biura i kont używanych do sekretów. Nie loguj się z niej do panelu „żeby sprawdzić, co jeszcze przyszło”.
3. Zanotuj: kto otworzył, na której maszynie, o której godzinie, skąd wziął plik (mail, panel, dysk) i czy uruchamiał konwersję albo makra.
4. Powiadom osobę odpowiedzialną za stację i za formularz. Nie wysyłaj podejrzanego pliku jako dowodu w kolejnej wiadomości.
5. Przywróć pracę konstrukcyjną z czystej kopii stanowiska albo z innej, wcześniej odciętej maszyny. Nie „czyść na szybko” komputera, który ma też projekty klientów, i nie wracaj na nim do kolejki tego samego dnia.
6. Źródło, które dostarczyło wsad, zamykasz dla nowych zgłoszeń do ręcznego przeglądu. Nie prosisz o hasło, poprawkę ani „wersję bez makr” na ten sam adres.

Dopiero po odcięciu stacji wolno ocenić, czy sprawa kończy się skasowaniem kopii i wpisem w dzienniku, czy trzeba wezwać osobę od utrzymania stanowisk. Ta ocena nie odbywa się przez ponowne otwarcie pliku na komputerze biurowym.

Czego nie robić w trakcie takiego zdarzenia

• Nie przeklejaj pliku na pendrive „dla informatyka”. Nośnik staje się drugim kanałem obok formularza.
• Nie uruchamiaj naprawy rysunku, aktualizacji wtyczek ani makr, żeby „zobaczyć, czy się otworzy”.
• Nie kasuj maila z powiadomieniem, zanim zapiszesz numer zgłoszenia i godzinę. Sam plik i tak nie powinien w nim być; jeśli jest, nie otwieraj go ponownie, tylko zgłoś fakt, że powiadomienie zawierało załącznik.
• Nie wyłączaj całej listy formatów na stałe w ramach gaszenia pożaru. Wyłączenie filtra jest zdarzeniem do odnotowania i ma wrócić albo zostać świadomie zastąpione węższą listą.

Przegląd po incydencie i przy zmianie listy formatów

Incydent i każda zmiana dozwolonych typów przechodzą tę samą krótką kolejkę kontroli. Nie jest to ocena „czy atak się udał”, tylko czy publiczne wejście nadal spełnia warunki z wdrożenia.

1. Odtwórz na żywym formularzu trzy próby: typ spoza listy, plik w limicie, plik z rozjazdem nazwy i sygnatury. Pierwsza i trzecia nie tworzą leada. Druga zostaje w kwarantannie, a mail nie ma załącznika.
2. Sprawdź, czy panel handlowca nadal nie ma pobierania. Jeśli ktoś dodał przycisk „dla wygody”, usuń go zanim wrócisz kolejkę do pracy.
3. Potwierdź nazwę stacji projektowej. Jeśli konstruktor pracował na laptopie z pocztą, ta maszyna wypada z listy do czasu odcięcia, a nie dostaje wyjątku.
4. Przejrzyj odrzucenia z ostatnich dni: czy mają powód, autora i datę skasowania. Wpis bez daty skasowania traktuj jak zaległy magazyn i ustaw usunięcie.
5. Jeśli biuro chce nowego formatu, dopisz go do listy widocznej dla klienta razem z limitem, a nie jako cichy wyjątek dla jednego kooperanta. Osobny link po zalogowaniu zostaje, osobne reguły nie.
6. Odnotuj, kto zmienił listę i od kiedy obowiązuje. Zmiana bez autora jest tym samym skrótem co filtr wyłączony „na chwilę”.

Seria z jednego źródła, która weszła mimo limitu tempa, kończy przegląd konkretną poprawką: ciaśniejsze okno albo twardsza odmowa dla tego źródła. Nie kończy się prośbą do handlowców, żeby „uważali na podobne maile”.