Cómo funciona una verificación de formexposed: pasiva, transparente y respetuosa

Cuando ingresa un dominio en la verificación gratuita de formexposed.com, un escáner visita ese sitio web y regresa con un informe. Este artículo explica lo que ocurre entre ambos momentos: qué carga el escáner, qué revisa, qué decide no hacer y por qué algunos detalles solo aparecen una vez que usted ha demostrado que el dominio es suyo.

Del dominio al informe

El escáner carga las páginas públicas del sitio como lo haría un navegador, incluidos los scripts que se ejecutan en ellas. Esto importa porque muchos formularios, widgets de CAPTCHA, banners de cookies y etiquetas de seguimiento solo se agregan mediante JavaScript después de cargar la página; revisar únicamente el HTML sin procesar no los detectaría. En esas páginas, el escáner busca formularios y clasifica cada uno por su finalidad: formulario de contacto, registro a un boletín, inicio de sesión y otras. La clasificación sitúa los hallazgos en su contexto: una casilla para suscribirse a un boletín tiene necesidades diferentes de un formulario de contacto que entrega mensajes directamente a la bandeja de alguien.

Qué revisa el escáner

• Protección contra spam y abuso: si hay un CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, un CAPTCHA propio de matemáticas o imágenes, o un servicio antispam del lado del servidor) y si está configurado de forma eficaz: una clave pública de sitio para pruebas o un widget sin su script no protegen nada. También campos trampa, tokens CSRF y trampas de tiempo.
• El entorno: combinaciones de CMS y plugins con vulnerabilidades conocidas, si el formulario envía a un servicio de terceros y si hay un WAF o CDN delante del sitio.
• Señales del RGPD: un enlace a la política de privacidad junto al formulario, si rechazar el banner de cookies realmente detiene el seguimiento, píxeles publicitarios o de seguimiento que se activan en páginas de formularios, herramientas de reproducción de sesiones que podrían registrar lo que se escribe y una dirección de correo del destinatario visible en el código fuente de la página.
• Señales de accesibilidad: verificaciones con axe-core en el formulario (etiquetas, mensajes de error, contraste y más), si el CAPTCHA es accesible, campos trampa que los lectores de pantalla anuncian y cómo funciona el formulario en un celular: objetivos táctiles, elementos superpuestos que cubren el botón de envío y desplazamiento horizontal.

Pasiva, transparente y respetuosa

La verificación anónima es pasiva. El escáner lee páginas; no llena campos, no envía ni un solo formulario y no intenta iniciar sesión en ningún lugar. Nadie recibe un mensaje de prueba y nada termina en la bandeja de entrada o base de datos del sitio. Además, se comporta como un visitante respetuoso: lee robots.txt y lo respeta, y se identifica como FormExposedBot en lugar de hacerse pasar por un navegador común. Cualquiera que encuentre ese nombre en los registros de su servidor puede consultarlo en formexposed.com/bot, donde se explica lo que hace el bot.

Protegido, parcialmente protegido, expuesto

• Protegido: los formularios encontrados tienen una protección que parece eficaz, sin brechas importantes visibles desde el exterior.
• Parcialmente protegido: hay protección, pero con brechas; por ejemplo, un CAPTCHA que funciona con una clave de prueba o un formulario protegido y otro no.
• Expuesto: los formularios carecen de protección detectable o muestran debilidades que facilitan el abuso.

El nivel resume lo que se puede ver desde el exterior; no es una garantía en ningún sentido. Los informes de verificaciones anónimas tienen una duración breve de forma intencional y los motores de búsqueda no los indexan. Y como cualquiera puede ingresar cualquier dominio, omiten los detalles de vulnerabilidades: el informe muestra que algo necesita atención, pero no el punto débil exacto que podría aprovechar un atacante. Esos detalles se muestran únicamente a los propietarios verificados del dominio.

Qué cambia con un dominio verificado

Dos de estas funciones merecen una revisión más detenida. Las verificaciones activas están desactivadas a menos que usted las active y solo están disponibles para un dominio que haya verificado. El escáner realiza entonces unos pocos envíos de prueba claramente marcados para que usted y su equipo puedan reconocerlos. Junto con la verificación de entrega, esto responde una pregunta que ningún escaneo pasivo puede resolver: ¿realmente llega un mensaje enviado mediante el formulario? El monitoreo, por otro lado, está diseñado para permanecer en silencio. Usted recibe una alerta —por correo electrónico, webhook, Slack, Discord, Telegram o Google Chat— únicamente cuando algo cambia, por ejemplo, cuando desaparece un CAPTCHA después de una actualización o aparece un nuevo píxel de seguimiento en la página de contacto.

Si quiere ver lo que ve el escáner, empiece con la verificación gratuita en formexposed.com: ingrese su dominio y lea el informe. Si el sitio es suyo y quiere los detalles, el monitoreo periódico y la verificación de entrega, verifique el dominio en una cuenta.