Kuidas formexposedi kontroll töötab: passiivne, läbipaistev, lugupidav

Kui sisestate domeeni tasuta kontrolli saidil formexposed.com, külastab skanner seda veebisaiti ja tuleb tagasi aruandega. See postitus käsitleb, mis toimub vahepeal: mida skanner laadib, mida ta vaatab, mida ta teadlikult ei tee ja miks mõned üksikasjad ilmuvad alles siis, kui olete näidanud, et domeen on teie oma.

Domeenist aruandeni

Skanner laadib saidi avalikud lehed nii, nagu seda teeks brauser, sealhulgas neil töötavad skriptid. See on oluline, sest paljud vormid, CAPTCHA vidinad, küpsisebännerid ja jälgimissildid lisatakse JavaScriptiga alles pärast lehe laadimist; ainult toore HTML-i vaatamine jätaks need märkamata. Nendel lehtedel otsib skanner vorme ja liigitab igaühe eesmärgi järgi – kontaktivorm, uudiskirja tellimine, sisselogimine jne. Liigitus paneb leiud konteksti: uudiskirja kastil on teistsugused vajadused kui kontaktivormil, mis toimetab sõnumid otse kellegi postkasti.

Mida skanner vaatab

• Rämpsposti ja kuritarvitamise kaitse: kas on olemas CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, kohandatud matemaatika- või pildi-CAPTCHA või serveripoolne rämpspostivastane teenus) ja kas see on tõhusalt seadistatud – avalik testsaidivõti või vidin ilma skriptita ei kaitse midagi. Samuti meepotiväljad, CSRF-tokenid ja ajalõksud.
• Ümbrus: teadaolevalt haavatavad sisuhaldussüsteemi ja pistikprogrammide kombinatsioonid, kas vorm saadab andmed kolmanda osapoole teenusele ja kas saidi ees on WAF või CDN.
• IKÜM-i signaalid: privaatsuspoliitika link vormi juures, kas küpsisebännerist keeldumine tõesti peatab jälgimise, vormilehtedel käivituvad reklaami- või jälgimispikslid, seansi salvestamise tööriistad, mis võivad salvestada inimeste sisestatut, ja lehe lähtekoodis nähtav adressaadi e-posti aadress.
• Ligipääsetavuse signaalid: axe-core'i kontrollid vormil (sildid, veateated, kontrast ja muu), kas CAPTCHA on ligipääsetav, meepotid, mida ekraanilugejad ette loevad, ja kuidas vorm telefonis töötab – puutealad, saatmisnuppu katvad kihid, horisontaalne kerimine.

Passiivne, läbipaistev, lugupidav

Anonüümne kontroll on passiivne. Skanner loeb lehti; ta ei täida välju, ei saada ühtegi vormi ega ürita kuskile sisse logida. Keegi ei saa testsõnumit ja midagi ei jõua saidi postkasti ega andmebaasi. Samuti käitub ta nagu viisakas külastaja: loeb robots.txt-d ja järgib seda ning tuvastab end kui FormExposedBot, selle asemel et teeselda tavalist brauserit. Igaüks, kes leiab selle nime oma serveri logidest, saab seda otsida aadressilt formexposed.com/bot, kus selgitatakse, mida robot teeb.

Kaitstud, osaliselt kaitstud, kaitseta

• Kaitstud: leitud vormidel on kaitse, mis näib olevat tõhus, ilma väljastpoolt nähtavate märkimisväärsete lünkadeta.
• Osaliselt kaitstud: kaitse on olemas, kuid lünkadega – näiteks testvõtmega töötav CAPTCHA või üks vorm kaitstud ja teine mitte.
• Kaitseta: vormidel puudub tuvastatav kaitse või neil on nõrkusi, mis muudavad kuritarvitamise lihtsaks.

Tase võtab kokku selle, mida on väljastpoolt näha; see ei ole garantii kummaski suunas. Anonüümsete kontrollide aruanded on meelega lühiajalised ja otsingumootorid neid ei indekseeri. Ja kuna igaüks saab sisestada mis tahes domeeni, jätavad need välja turvanõrkuste üksikasjad: aruanne näitab, et miski vajab tähelepanu, kuid mitte täpset nõrka kohta, mida ründaja saaks kasutada. Neid üksikasju näidatakse ainult domeeni kinnitatud omanikele.

Mis muutub kinnitatud domeeniga

Kaks neist väärivad lähemat vaatlust. Aktiivsed kontrollid on välja lülitatud, kui te neid sisse ei lülita, ja need on saadaval ainult teie kinnitatud domeeni jaoks. Skanner saadab siis mõne selgelt märgistatud testsaatmise, et teie ja teie meeskond saaksite need ära tunda. Koos kohaletoimetamise kontrolliga vastab see küsimusele, millele ükski passiivne skannimine vastata ei saa: kas vormi kaudu saadetud sõnum tegelikult kohale jõuab? Seire seevastu on ehitatud vaikseks jääma. Hoiatuse saate – e-posti, veebihaagi, Slacki, Discordi, Telegrami või Google Chati kaudu – ainult siis, kui midagi muutub, näiteks kui CAPTCHA kaob pärast uuendust või kontaktilehele ilmub uus jälgimispiksel.

Kui soovite näha, mida skanner näeb, alustage tasuta kontrollist saidil formexposed.com: sisestage oma domeen ja lugege aruannet. Kui sait on teie oma ja soovite üksikasju, regulaarset seiret ja kohaletoimetamise kontrolli, kinnitage domeen kontol.