Как работи проверката на formexposed: пасивно, прозрачно, с уважение

Когато въведете домейн в безплатната проверка на formexposed.com, скенер посещава този уебсайт и се връща с доклад. Тази статия разглежда какво се случва междувременно: какво зарежда скенерът, какво разглежда, какво умишлено не прави и защо някои подробности се появяват едва след като сте показали, че домейнът е ваш.

От домейна до доклада

Скенерът зарежда публичните страници на сайта така, както би го направил браузър, включително скриптовете, които се изпълняват на тях. Това е важно, тъй като много формуляри, CAPTCHA уиджети, банери за бисквитки и тагове за проследяване се добавят чрез JavaScript едва след зареждането на страницата; поглед само към суровия HTML би ги пропуснал. На тези страници скенерът търси формуляри и класифицира всеки от тях по предназначение – формуляр за контакт, абониране за бюлетин, вход и т.н. Класификацията поставя констатациите в контекст: полето за бюлетин има различни нужди от формуляр за контакт, който доставя съобщения директно в нечия пощенска кутия.

Какво разглежда скенерът

• Защита от спам и злоупотреби: дали има CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, собствена математическа или графична captcha или сървърна услуга против спам) и дали е настроена ефективно – публичен тестов ключ на сайта или уиджет без скрипта си не защитават нищо. Също така полета honeypot, CSRF токени и времеви капани.
• Обкръжението: известни уязвими комбинации от CMS и плъгини, дали формулярът изпраща към услуга на трета страна и дали пред сайта има WAF или CDN.
• Сигнали, свързани с ОРЗД: връзка към политиката за поверителност при формуляра, дали отказът на банера за бисквитки действително спира проследяването, рекламни или проследяващи пиксели, задействани на страниците с формуляри, инструменти за запис на сесии, които може да записват какво пишат хората, и имейл адрес на получателя, видим в изходния код на страницата.
• Сигнали за достъпност: проверки с axe-core на формуляра (етикети, съобщения за грешки, контраст и др.), дали CAPTCHA е достъпна, honeypot полета, които екранните четци обявяват, и как работи формулярът на телефон – цели за докосване, наслагвания, закриващи бутона за изпращане, хоризонтално превъртане.

Пасивно, прозрачно, с уважение

Анонимната проверка е пасивна. Скенерът чете страници; той не попълва полета, не изпраща нито един формуляр и не се опитва да влезе никъде. Никой не получава тестово съобщение и нищо не попада във входящата поща или базата данни на сайта. Той също така се държи като възпитан посетител: чете robots.txt и го спазва и се идентифицира като FormExposedBot, вместо да се представя за обикновен браузър. Всеки, който открие това име в дневниците на сървъра си, може да го потърси на formexposed.com/bot, където е обяснено какво прави ботът.

Защитен, частично защитен, уязвим

• Защитен: откритите формуляри имат защита, която изглежда ефективна, без забележими пропуски, видими отвън.
• Частично защитен: има защита, но с пропуски – например CAPTCHA, работеща с тестов ключ, или един защитен и един незащитен формуляр.
• Уязвим: формулярите нямат откриваема защита или показват слабости, които улесняват злоупотребата.

Нивото обобщава това, което може да се види отвън; то не е гаранция в нито една посока. Докладите от анонимни проверки умишлено са краткотрайни и не се индексират от търсачките. И тъй като всеки може да въведе всеки домейн, те не съдържат подробности за уязвимостите: докладът показва, че нещо се нуждае от внимание, но не и точното слабо място, което нападател би могъл да използва. Тези подробности се показват само на верифицираните собственици на домейна.

Какво се променя при верифициран домейн

Две от тях заслужават по-внимателен поглед. Активните проверки са изключени, освен ако не ги включите, и са достъпни само за домейн, който сте верифицирали. Тогава скенерът изпраща няколко ясно обозначени тестови съобщения, за да можете вие и екипът ви да ги разпознаете. Заедно с проверката на доставката това отговаря на въпрос, на който нито едно пасивно сканиране не може да отговори: пристига ли действително съобщение, изпратено чрез формуляра? Мониторингът, от друга страна, е създаден да мълчи. Получавате известие – по имейл, webhook, Slack, Discord, Telegram или Google Chat – само когато нещо се промени, например когато CAPTCHA изчезне след актуализация или на страницата за контакт се появи нов пиксел за проследяване.

Ако искате да видите това, което вижда скенерът, започнете с безплатната проверка на formexposed.com: въведете домейна си и прочетете доклада. Ако сайтът е ваш и искате подробностите, редовния мониторинг и проверката на доставката, верифицирайте домейна в акаунт.