كيف يعمل فحص formexposed: سلبي وشفاف ومحترم

عندما تدخلون نطاقا في الفحص المجاني على formexposed.com، يزور ماسح ذلك الموقع ويعود بتقرير. يوضح هذا المقال ما يحدث بينهما: ما الذي يحمله الماسح ويفحصه، وما الذي يتعمد عدم فعله، ولماذا لا تظهر بعض التفاصيل إلا بعد إثبات أن النطاق لكم.

من النطاق إلى التقرير

يحمل الماسح صفحات الموقع العامة كما يفعل المتصفح، بما يشمل النصوص البرمجية التي تعمل عليها. وهذا مهم لأن نماذج كثيرة وعناصر CAPTCHA وشرائط ملفات تعريف الارتباط ووسوم التتبع لا تضيفها JavaScript إلا بعد تحميل الصفحة؛ ولن تكشفها نظرة إلى HTML الخام وحده. يبحث الماسح عن النماذج في هذه الصفحات ويصنف كل واحد بحسب الغرض: نموذج اتصال أو اشتراك نشرة بريدية أو تسجيل دخول وما إلى ذلك. ويضع التصنيف النتائج في سياقها: فصندوق النشرة البريدية له احتياجات تختلف عن نموذج اتصال يسلم الرسائل مباشرة إلى صندوق بريد شخص.

ما الذي يفحصه الماسح

• الحماية من البريد المزعج وإساءة الاستخدام: وجود CAPTCHA (reCAPTCHA أو hCaptcha أو Turnstile أو Friendly Captcha أو CAPTCHA حسابية أو صورية مخصصة أو خدمة مكافحة بريد مزعج على الخادم) وفاعلية إعدادها؛ فلا يحمي شيئا مفتاح موقع اختبار عام أو عنصر واجهة دون نصه البرمجي. وكذلك حقول المصيدة ورموز CSRF والمصائد الزمنية.
• البيئة المحيطة: تركيبات أنظمة إدارة المحتوى والإضافات ذات الثغرات المعروفة، وما إذا كان النموذج يرسل إلى خدمة طرف ثالث، وما إذا كان WAF أو CDN أمام الموقع.
• إشارات اللائحة العامة لحماية البيانات (GDPR): رابط سياسة الخصوصية عند النموذج، وما إذا كان رفض شريط ملفات تعريف الارتباط يوقف التتبع فعلا، وبكسلات الإعلان أو التتبع التي تعمل في صفحات النماذج، وأدوات إعادة تشغيل الجلسات التي قد تسجل ما يكتبه الناس، وعنوان بريد المستلم الظاهر في مصدر الصفحة.
• إشارات إمكانية الوصول: فحوصات axe-core على النموذج (التسميات ورسائل الخطأ والتباين وغيرها)، وما إذا كانت CAPTCHA تراعي إمكانية الوصول، وحقول المصيدة التي تعلنها قارئات الشاشة، وكيف يعمل النموذج على الهاتف: أهداف اللمس والطبقات التي تغطي زر الإرسال والتمرير الأفقي.

سلبي وشفاف ومحترم

الفحص دون حساب سلبي. يقرأ الماسح الصفحات؛ ولا يملأ الحقول، ولا يرسل نموذجا واحدا، ولا يحاول تسجيل الدخول في أي مكان. ولا يتلقى أحد رسالة اختبار، ولا يصل شيء إلى صندوق بريد الموقع أو قاعدة بياناته. ويتصرف أيضا كزائر مهذب: يقرأ robots.txt ويحترمه، ويعرف نفسه باسم FormExposedBot بدلا من التظاهر بأنه متصفح عادي. ويمكن لمن يجد هذا الاسم في سجلات خادمه الاطلاع عليه على formexposed.com/bot، حيث يوضح ما يفعله البوت.

محمي ومحمي جزئيا ومكشوف

• محمي: تتمتع النماذج المكتشفة بحماية تبدو فعالة، دون ثغرات ملحوظة ظاهرة من الخارج.
• محمي جزئيا: توجد حماية لكن مع فجوات، مثل CAPTCHA تعمل بمفتاح اختبار، أو نموذج محمي وآخر غير محمي.
• مكشوف: تفتقر النماذج إلى حماية يمكن كشفها أو تظهر نقاط ضعف تسهل إساءة الاستخدام.

يلخص المستوى ما يمكن رؤيته من الخارج، ولا يمثل ضمانا في أي من الاتجاهين. وتقارير الفحوصات دون حساب قصيرة العمر عمدا ولا تفهرسها محركات البحث. ولأن أي شخص يستطيع إدخال أي نطاق، تحذف منها تفاصيل الثغرات: يبين التقرير أن أمرا يحتاج إلى اهتمام، لكنه لا يبين نقطة الضعف الدقيقة التي قد يستغلها مهاجم. ولا تعرض هذه التفاصيل إلا لأصحاب النطاق الذين تم التحقق منهم.

ما الذي يتغير مع نطاق تم التحقق منه

تستحق نقطتان نظرة أقرب. الفحوصات النشطة معطلة ما لم تفعلوها، ولا تتاح إلا لنطاق تحققتم منه. وعندها يرسل الماسح بضعة إرسالات اختبارية معلمة بوضوح ليتعرف عليها فريقكم وأنتم. ويجيب ذلك، مع فحص التسليم، عن سؤال لا يستطيع فحص سلبي الإجابة عنه: هل تصل فعلا رسالة ترسل عبر النموذج؟ أما المراقبة فمصممة لتبقى هادئة. ولا يصلكم تنبيه، عبر البريد الإلكتروني أو webhook أو Slack أو Discord أو Telegram أو Google Chat، إلا عندما يتغير شيء، مثل اختفاء CAPTCHA بعد تحديث أو ظهور بكسل تتبع جديد في صفحة الاتصال.

إذا أردتم رؤية ما يراه الماسح، فابدؤوا بالفحص المجاني على formexposed.com: أدخلوا نطاقكم واقرؤوا التقرير. وإذا كان الموقع لكم وأردتم التفاصيل والمراقبة المنتظمة وفحص التسليم، فتحققوا من النطاق في حساب.