Cómo funciona una comprobación de formexposed: pasiva, transparente, respetuosa

Cuando introduce un dominio en la comprobación gratuita de formexposed.com, un escáner visita ese sitio web y vuelve con un informe. Este artículo explica lo que ocurre entretanto: qué carga el escáner, qué examina, qué no hace deliberadamente y por qué algunos detalles solo aparecen una vez que ha demostrado que el dominio es suyo.

Del dominio al informe

El escáner carga las páginas públicas del sitio como lo haría un navegador, incluidos los scripts que se ejecutan en ellas. Esto es importante porque muchos formularios, widgets de CAPTCHA, banners de cookies y etiquetas de seguimiento solo se añaden mediante JavaScript después de cargarse la página; un vistazo solo al HTML sin procesar los pasaría por alto. En esas páginas, el escáner busca formularios y clasifica cada uno según su finalidad: formulario de contacto, suscripción al boletín, inicio de sesión, etc. La clasificación sitúa los hallazgos en su contexto: un cuadro de suscripción al boletín tiene necesidades distintas de las de un formulario de contacto que entrega los mensajes directamente en la bandeja de entrada de alguien.

Qué examina el escáner

• Protección frente al spam y los abusos: si hay un CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, un captcha propio de cálculo o de imagen, o un servicio antispam en el servidor) y si está configurado de forma eficaz: una clave de sitio de prueba pública o un widget sin su script no protegen nada. También campos honeypot, tokens CSRF y trampas de tiempo.
• El entorno: combinaciones de CMS y plugins con vulnerabilidades conocidas, si el formulario envía a un servicio de terceros y si delante del sitio hay un WAF o una CDN.
• Señales de RGPD: un enlace a la política de privacidad en el formulario, si rechazar el banner de cookies detiene realmente el seguimiento, píxeles publicitarios o de seguimiento que se disparan en las páginas de formularios, herramientas de grabación de sesiones que pueden registrar lo que la gente escribe y una dirección de correo electrónico del destinatario visible en el código fuente de la página.
• Señales de accesibilidad: comprobaciones de axe-core en el formulario (etiquetas, mensajes de error, contraste y más), si el CAPTCHA es accesible, honeypots que anuncian los lectores de pantalla y cómo funciona el formulario en un móvil: objetivos táctiles, superposiciones que tapan el botón de envío, desplazamiento horizontal.

Pasiva, transparente, respetuosa

La comprobación anónima es pasiva. El escáner lee páginas; no rellena campos, no envía ni un solo formulario y no intenta iniciar sesión en ninguna parte. Nadie recibe un mensaje de prueba y nada acaba en la bandeja de entrada ni en la base de datos del sitio. Además, se comporta como un visitante educado: lee robots.txt y lo respeta, y se identifica como FormExposedBot en lugar de hacerse pasar por un navegador corriente. Quien encuentre ese nombre en los registros de su servidor puede consultarlo en formexposed.com/bot, donde se explica lo que hace el bot.

Protegido, parcialmente protegido, expuesto

• Protegido: los formularios encontrados tienen una protección que parece eficaz, sin lagunas destacables visibles desde fuera.
• Parcialmente protegido: hay protección, pero con lagunas; por ejemplo, un CAPTCHA que funciona con una clave de prueba, o un formulario protegido y otro no.
• Expuesto: los formularios carecen de una protección detectable o presentan debilidades que facilitan el abuso.

El nivel resume lo que puede verse desde fuera; no es una garantía en ningún sentido. Los informes de las comprobaciones anónimas tienen deliberadamente una vida corta y los motores de búsqueda no los indexan. Y como cualquiera puede introducir cualquier dominio, omiten los detalles de las vulnerabilidades: el informe muestra que algo requiere atención, pero no el punto débil exacto que podría aprovechar un atacante. Esos detalles solo se muestran a los propietarios verificados del dominio.

Qué cambia con un dominio verificado

Dos de estos puntos merecen una mirada más atenta. Las comprobaciones activas están desactivadas salvo que usted las active, y solo están disponibles para un dominio que haya verificado. En ese caso, el escáner envía unos pocos envíos de prueba claramente identificados, para que usted y su equipo puedan reconocerlos. Junto con la comprobación de entrega, esto responde a una pregunta que ningún escaneo pasivo puede responder: ¿llega realmente un mensaje enviado a través del formulario? La monitorización, en cambio, está diseñada para permanecer en silencio. Recibe una alerta (por correo electrónico, webhook, Slack, Discord, Telegram o Google Chat) solo cuando algo cambia, por ejemplo cuando un CAPTCHA desaparece tras una actualización o aparece un nuevo píxel de seguimiento en la página de contacto.

Si desea ver lo que ve el escáner, empiece por la comprobación gratuita en formexposed.com: introduzca su dominio y lea el informe. Si el sitio es suyo y desea los detalles, la monitorización periódica y la comprobación de entrega, verifique el dominio en una cuenta.