Com funciona una comprovació de formexposed: passiva, transparent i respectuosa

Quan introdueix un domini a la comprovació gratuïta de formexposed.com, un escàner visita aquell lloc web i torna amb un informe. Aquest article explica què passa entremig: què carrega l'escàner, què examina, què deliberadament no fa i per què alguns detalls només apareixen un cop ha demostrat que el domini és seu.

Del domini a l'informe

L'escàner carrega les pàgines públiques del lloc tal com ho faria un navegador, inclosos els scripts que s'hi executen. Això és important perquè molts formularis, ginys CAPTCHA, bàners de galetes i etiquetes de seguiment només s'afegeixen mitjançant JavaScript després que la pàgina s'hagi carregat; examinar únicament l'HTML en brut no els detectaria. En aquestes pàgines, l'escàner busca formularis i els classifica segons la finalitat: formulari de contacte, alta al butlletí, inici de sessió, etcètera. La classificació posa els resultats en context: una casella de subscripció a un butlletí té necessitats diferents de les d'un formulari de contacte que lliura missatges directament a la safata d'entrada d'algú.

Què examina l'escàner

• Protecció contra els missatges brossa i els abusos: si hi ha un CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, un CAPTCHA propi de matemàtiques o d'imatges, o un servei contra els missatges brossa al servidor) i si està configurat de manera eficaç: una clau de lloc pública de prova o un giny sense el seu script no protegeixen res. També camps trampa, testimonis CSRF i trampes temporals.
• L'entorn: combinacions de CMS i connectors amb vulnerabilitats conegudes, si el formulari envia les dades a un servei d'un tercer i si hi ha un WAF o una CDN davant del lloc.
• Senyals del RGPD: un enllaç a la política de privacitat al formulari, si rebutjar el bàner de galetes realment atura el seguiment, píxels publicitaris o de seguiment que s'activen a les pàgines de formularis, eines d'enregistrament i reproducció de sessions que poden enregistrar el que les persones escriuen i una adreça de correu electrònic del destinatari visible al codi font de la pàgina.
• Senyals d'accessibilitat: comprovacions d'axe-core al formulari (etiquetes, missatges d'error, contrast i més), si el CAPTCHA és accessible, camps trampa que els lectors de pantalla anuncien i com funciona el formulari en un telèfon: elements d'interacció tàctil, capes superposades que tapen el botó d'enviament i desplaçament horitzontal.

Passiu, transparent i respectuós

La comprovació anònima és passiva. L'escàner llegeix pàgines; no emplena camps, no envia cap formulari i no intenta iniciar sessió enlloc. Ningú no rep cap missatge de prova i no arriba res a la safata d'entrada ni a la base de dades del lloc. També es comporta com un visitant educat: llegeix robots.txt i el respecta, i s'identifica com a FormExposedBot en lloc de fer-se passar per un navegador ordinari. Qualsevol persona que trobi aquest nom als registres del seu servidor el pot consultar a formexposed.com/bot, on s'explica què fa el bot.

Protegit, parcialment protegit, desprotegit

• Protegit: els formularis trobats tenen una protecció que sembla eficaç, sense mancances destacables visibles des de l'exterior.
• Parcialment protegit: hi ha protecció, però amb mancances; per exemple, un CAPTCHA que funciona amb una clau de prova o un formulari protegit i un altre que no ho està.
• Desprotegit: els formularis no tenen protecció detectable o mostren debilitats que faciliten els abusos.

El nivell resumeix el que es pot veure des de l'exterior; no és una garantia en cap sentit. Els informes de comprovacions anònimes tenen una durada curta expressament i els cercadors no els indexen. I com que qualsevol persona pot introduir qualsevol domini, ometen els detalls de les vulnerabilitats: l'informe mostra que hi ha alguna cosa que requereix atenció, però no el punt feble exacte que podria aprofitar un atacant. Aquests detalls només es mostren als propietaris verificats del domini.

Què canvia amb un domini verificat

Dues d'aquestes funcions mereixen una mirada més atenta. Les comprovacions actives estan desactivades llevat que les activi i només estan disponibles per a un domini que hagi verificat. Aleshores l'escàner fa uns quants enviaments de prova clarament identificats perquè vostè i el seu equip els puguin reconèixer. Juntament amb la comprovació de lliurament, això respon una pregunta que cap escaneig passiu no pot respondre: un missatge enviat mitjançant el formulari arriba realment? La supervisió, en canvi, està dissenyada per romandre en silenci. Només rep un avís —per correu electrònic, webhook, Slack, Discord, Telegram o Google Chat— quan alguna cosa canvia, per exemple quan un CAPTCHA desapareix després d'una actualització o apareix un píxel de seguiment nou a la pàgina de contacte.

Si vol veure el que veu l'escàner, comenci amb la comprovació gratuïta de formexposed.com: introdueixi el seu domini i llegeixi l'informe. Si el lloc és seu i vol els detalls, la supervisió periòdica i la comprovació de lliurament, verifiqui el domini en un compte.