Jak probíhá kontrola formexposed: pasivně, transparentně, ohleduplně

Když zadáte doménu do bezplatné kontroly na formexposed.com, skener daný web navštíví a vrátí se s reportem. Tento článek prochází, co se děje mezitím: co skener načítá, na co se dívá, co záměrně nedělá a proč se některé podrobnosti objeví až poté, co prokážete, že doména je vaše.

Od domény k reportu

Skener načítá veřejné stránky webu tak, jak by to udělal prohlížeč, včetně skriptů, které na nich běží. To je důležité, protože mnoho formulářů, widgetů CAPTCHA, cookie lišt a sledovacích značek přidává až JavaScript po načtení stránky; pohled pouze na surové HTML by je přehlédl. Na těchto stránkách skener hledá formuláře a každý z nich třídí podle účelu – kontaktní formulář, přihlášení k newsletteru, přihlášení a podobně. Zařazení dává zjištěním kontext: pole pro newsletter má jiné potřeby než kontaktní formulář, který doručuje zprávy přímo do něčí schránky.

Na co se skener dívá

• Ochrana proti spamu a zneužití: zda je přítomna CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, vlastní početní nebo obrázková captcha nebo antispamová služba na straně serveru) a zda je účinně nastavena – veřejný testovací klíč webu nebo widget bez skriptu nic nechrání. Dále pole honeypot, tokeny CSRF a časové pasti.
• Okolí: známé zranitelné kombinace CMS a pluginů, zda formulář odesílá data službě třetí strany a zda je webu předřazen WAF nebo CDN.
• Signály GDPR: odkaz na zásady ochrany osobních údajů u formuláře, zda odmítnutí cookie lišty skutečně zastaví sledování, reklamní nebo sledovací pixely spouštěné na stránkách s formuláři, nástroje pro nahrávání relací, které mohou zaznamenávat, co lidé píší, a e-mailová adresa příjemce viditelná ve zdrojovém kódu stránky.
• Signály přístupnosti: kontroly axe-core na formuláři (popisky, chybová hlášení, kontrast a další), zda je CAPTCHA přístupná, honeypoty, které oznamují čtečky obrazovky, a jak formulář funguje na telefonu – dotykové cíle, překryvné prvky zakrývající odesílací tlačítko, vodorovné posouvání.

Pasivně, transparentně, ohleduplně

Anonymní kontrola je pasivní. Skener čte stránky; nevyplňuje pole, neodešle jediný formulář a nikde se nepokouší přihlásit. Nikdo nedostane testovací zprávu a nic neskončí ve schránce ani v databázi webu. Chová se také jako slušný návštěvník: čte robots.txt a respektuje jej a identifikuje se jako FormExposedBot, místo aby předstíral, že je běžný prohlížeč. Kdo toto jméno najde v protokolech svého serveru, může si je vyhledat na formexposed.com/bot, kde je vysvětleno, co bot dělá.

Chráněno, částečně chráněno, nechráněno

• Chráněno: nalezené formuláře mají ochranu, která se jeví jako účinná, bez výrazných mezer viditelných zvenčí.
• Částečně chráněno: ochrana existuje, ale s mezerami – například CAPTCHA běžící s testovacím klíčem nebo jeden formulář chráněný a druhý ne.
• Nechráněno: formulářům chybí zjistitelná ochrana nebo vykazují slabiny, které usnadňují zneužití.

Úroveň shrnuje, co je vidět zvenčí; není zárukou ani jedním směrem. Reporty z anonymních kontrol mají záměrně krátkou životnost a vyhledávače je neindexují. A protože kdokoli může zadat jakoukoli doménu, vynechávají podrobnosti o zranitelnostech: report ukazuje, že je třeba něčemu věnovat pozornost, ale ne přesné slabé místo, které by mohl využít útočník. Tyto podrobnosti se zobrazují pouze ověřeným vlastníkům domény.

Co se změní s ověřenou doménou

Dvě z těchto položek si zaslouží bližší pohled. Aktivní kontroly jsou vypnuté, dokud je nezapnete, a jsou k dispozici pouze pro doménu, kterou jste ověřili. Skener pak odešle několik jasně označených testovacích odeslání, abyste je vy i váš tým poznali. Spolu s kontrolou doručení tak odpovídá na otázku, na kterou žádné pasivní skenování odpovědět nedokáže: dorazí zpráva odeslaná přes formulář skutečně? Monitorování je naopak navrženo tak, aby zůstávalo zticha. Upozornění – e-mailem, webhookem, přes Slack, Discord, Telegram nebo Google Chat – dostanete, jen když se něco změní, například když po aktualizaci zmizí CAPTCHA nebo se na kontaktní stránce objeví nový sledovací pixel.

Chcete-li vidět, co vidí skener, začněte bezplatnou kontrolou na formexposed.com: zadejte svou doménu a přečtěte si report. Pokud je web váš a chcete podrobnosti, pravidelné monitorování a kontrolu doručení, ověřte doménu v účtu.