Sådan fungerer en kontrol fra formexposed: passiv, gennemsigtig, hensynsfuld

Når du indtaster et domæne i den gratis kontrol på formexposed.com, besøger en scanner websitet og vender tilbage med en rapport. Dette indlæg gennemgår, hvad der sker imellem: hvad scanneren indlæser, hvad den ser på, hvad den bevidst ikke gør, og hvorfor nogle detaljer først vises, når du har vist, at domænet er dit.

Fra domæne til rapport

Scanneren indlæser sitets offentlige sider, som en browser ville gøre, inklusive de scripts, der kører på dem. Det er vigtigt, fordi mange formularer, CAPTCHA-widgets, cookiebannere og sporingstags først tilføjes af JavaScript, efter at siden er indlæst; et blik alene på den rå HTML ville overse dem. På disse sider leder scanneren efter formularer og sorterer hver enkelt efter formål – kontaktformular, nyhedsbrevstilmelding, login osv. Klassificeringen sætter fundene i sammenhæng: En nyhedsbrevsboks har andre behov end en kontaktformular, der leverer beskeder direkte til nogens indbakke.

Hvad scanneren ser på

• Beskyttelse mod spam og misbrug: om der er en CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, en egen regne- eller billed-captcha eller en antispamtjeneste på serveren), og om den er virksomt sat op – en offentlig test-site key eller en widget uden sit script beskytter intet. Desuden honeypot-felter, CSRF-tokens og tidsfælder.
• Omgivelserne: kendte sårbare kombinationer af CMS og plugins, om formularen sender til en tredjepartstjeneste, og om der står en WAF eller et CDN foran sitet.
• GDPR-signaler: et link til privatlivspolitikken ved formularen, om afvisning af cookiebanneret virkelig stopper sporingen, annonce- eller sporingspixels, der udløses på formularsider, session replay-værktøjer, der kan optage, hvad folk skriver, og en modtagers e-mailadresse, der er synlig i sidens kildekode.
• Tilgængelighedssignaler: axe-core-kontroller af formularen (etiketter, fejlmeddelelser, kontrast og mere), om CAPTCHA'en er tilgængelig, honeypots, som skærmlæsere læser op, og hvordan formularen fungerer på en telefon – trykflader, overlejringer, der dækker send-knappen, vandret scrolling.

Passiv, gennemsigtig, hensynsfuld

Den anonyme kontrol er passiv. Scanneren læser sider; den udfylder ingen felter, indsender ikke en eneste formular og forsøger ikke at logge ind nogen steder. Ingen modtager en testbesked, og intet ender i sitets indbakke eller database. Den opfører sig også som en velopdragen besøgende: Den læser robots.txt og respekterer den, og den identificerer sig som FormExposedBot i stedet for at udgive sig for at være en almindelig browser. Alle, der finder det navn i deres serverlogfiler, kan slå det op på formexposed.com/bot, som forklarer, hvad botten gør.

Beskyttet, delvist beskyttet, eksponeret

• Beskyttet: De fundne formularer har beskyttelse, der ser ud til at være virksom, uden bemærkelsesværdige huller, der kan ses udefra.
• Delvist beskyttet: Der er beskyttelse, men med huller – f.eks. en CAPTCHA, der kører med en testnøgle, eller én formular, der er beskyttet, og en anden, der ikke er.
• Eksponeret: Formularer mangler påviselig beskyttelse eller har svagheder, der gør misbrug let.

Niveauet sammenfatter, hvad der kan ses udefra; det er ikke en garanti i nogen retning. Rapporter fra anonyme kontroller er bevidst kortlivede og indekseres ikke af søgemaskiner. Og fordi alle kan indtaste ethvert domæne, udelader de detaljer om sårbarheder: Rapporten viser, at noget kræver opmærksomhed, men ikke det præcise svage punkt, som en angriber kunne udnytte. Disse detaljer vises kun for domænets verificerede ejere.

Hvad der ændrer sig med et verificeret domæne

To af disse fortjener et nærmere blik. Aktive kontroller er slået fra, medmindre du slår dem til, og de er kun tilgængelige for et domæne, du har verificeret. Scanneren sender så nogle få tydeligt mærkede testindsendelser, så du og dit team kan genkende dem. Sammen med leveringskontrollen besvarer det et spørgsmål, som ingen passiv scanning kan: Kommer en besked, der sendes via formularen, faktisk frem? Overvågningen er derimod bygget til at forholde sig i ro. Du får en alarm – pr. e-mail, webhook, Slack, Discord, Telegram eller Google Chat – kun når noget ændrer sig, f.eks. når en CAPTCHA forsvinder efter en opdatering, eller en ny sporingspixel dukker op på kontaktsiden.

Hvis du vil se, hvad scanneren ser, så start med den gratis kontrol på formexposed.com: Indtast dit domæne, og læs rapporten. Hvis sitet er dit, og du vil have detaljerne, regelmæssig overvågning og leveringskontrollen, så verificer domænet i en konto.