Miten formexposed-tarkistus toimii: passiivisesti, läpinäkyvästi, kunnioittavasti

Kun syötät verkkotunnuksen maksuttomaan tarkistukseen osoitteessa formexposed.com, skanneri vierailee kyseisellä verkkosivustolla ja palaa raportin kanssa. Tässä kirjoituksessa käydään läpi, mitä siinä välissä tapahtuu: mitä skanneri lataa, mitä se tarkastelee, mitä se tarkoituksella jättää tekemättä ja miksi jotkin yksityiskohdat näkyvät vasta, kun olet osoittanut verkkotunnuksen olevan sinun.

Verkkotunnuksesta raporttiin

Skanneri lataa sivuston julkiset sivut samalla tavalla kuin selain, mukaan lukien niillä toimivat skriptit. Tällä on merkitystä, koska monet lomakkeet, CAPTCHA-widgetit, evästebannerit ja seurantatagit lisätään JavaScriptillä vasta sivun latauduttua; pelkän raa'an HTML:n tarkastelu jättäisi ne huomaamatta. Näiltä sivuilta skanneri etsii lomakkeita ja lajittelee jokaisen tarkoituksen mukaan – yhteydenottolomake, uutiskirjeen tilaus, kirjautuminen ja niin edelleen. Luokittelu asettaa havainnot asiayhteyteensä: uutiskirjelaatikolla on eri tarpeet kuin yhteydenottolomakkeella, joka toimittaa viestit suoraan jonkun postilaatikkoon.

Mitä skanneri tarkastelee

• Roskaposti- ja väärinkäyttösuojaus: onko käytössä CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, oma laskutoimitus- tai kuva-captcha tai palvelinpuolen roskapostipalvelu) ja onko se määritetty toimivasti – julkinen testisivustoavain tai widget ilman skriptiään ei suojaa mitään. Lisäksi honeypot-kentät, CSRF-tunnisteet ja aika-ansat.
• Ympäristö: tunnetusti haavoittuvat sisällönhallintajärjestelmän ja lisäosien yhdistelmät, lähettääkö lomake tiedot kolmannen osapuolen palveluun ja onko sivuston edessä WAF tai CDN.
• Tietosuojasignaalit: linkki tietosuojaselosteeseen lomakkeen yhteydessä, lopettaako evästebannerin hylkääminen todella seurannan, lomakesivuilla laukeavat mainos- tai seurantapikselit, istunnon tallennustyökalut, jotka voivat tallentaa ihmisten kirjoittaman tekstin, sekä sivun lähdekoodissa näkyvä vastaanottajan sähköpostiosoite.
• Saavutettavuussignaalit: axe-core-tarkistukset lomakkeelle (nimiöt, virheilmoitukset, kontrasti ja muuta), onko CAPTCHA saavutettava, honeypotit, jotka ruudunlukijat lukevat ääneen, sekä miten lomake toimii puhelimella – kosketuskohteet, lähetyspainikkeen peittävät päällekkäiset elementit, vaakavieritys.

Passiivisesti, läpinäkyvästi, kunnioittavasti

Anonyymi tarkistus on passiivinen. Skanneri lukee sivuja; se ei täytä kenttiä, ei lähetä yhtäkään lomaketta eikä yritä kirjautua mihinkään. Kukaan ei saa testiviestiä, eikä mitään päädy sivuston postilaatikkoon tai tietokantaan. Se myös käyttäytyy hyvätapaisen kävijän tavoin: se lukee robots.txt-tiedoston ja noudattaa sitä, ja se tunnistautuu FormExposedBotiksi sen sijaan, että esittäisi tavallista selainta. Jokainen, joka löytää tämän nimen palvelimensa lokeista, voi tarkistaa sen osoitteesta formexposed.com/bot, jossa kerrotaan, mitä botti tekee.

Suojattu, osittain suojattu, suojaamaton

• Suojattu: löydetyillä lomakkeilla on suojaus, joka vaikuttaa toimivalta, eikä ulospäin näy merkittäviä aukkoja.
• Osittain suojattu: suojaus on olemassa, mutta siinä on aukkoja – esimerkiksi testiavaimella toimiva CAPTCHA tai yksi lomake suojattu ja toinen ei.
• Suojaamaton: lomakkeista puuttuu havaittava suojaus tai niissä on heikkouksia, jotka tekevät väärinkäytöstä helppoa.

Taso tiivistää sen, mitä ulkopuolelta voidaan nähdä; se ei ole takuu kumpaankaan suuntaan. Anonyymien tarkistusten raportit ovat tarkoituksella lyhytikäisiä, eivätkä hakukoneet indeksoi niitä. Ja koska kuka tahansa voi syöttää minkä tahansa verkkotunnuksen, niistä jätetään pois haavoittuvuuksien yksityiskohdat: raportti näyttää, että jokin vaatii huomiota, mutta ei tarkkaa heikkoa kohtaa, jota hyökkääjä voisi käyttää. Nämä yksityiskohdat näytetään vain verkkotunnuksen todennetuille omistajille.

Mikä muuttuu todennetun verkkotunnuksen myötä

Kaksi näistä ansaitsee tarkemman tarkastelun. Aktiiviset tarkistukset ovat pois päältä, ellet kytke niitä päälle, ja ne ovat käytettävissä vain todentamallesi verkkotunnukselle. Skanneri lähettää tällöin muutaman selvästi merkityn testilähetyksen, jotta sinä ja tiimisi tunnistatte ne. Yhdessä toimitustarkistuksen kanssa tämä vastaa kysymykseen, johon mikään passiivinen skannaus ei pysty: saapuuko lomakkeen kautta lähetetty viesti todella perille? Valvonta puolestaan on rakennettu pysymään hiljaa. Saat hälytyksen – sähköpostitse, webhookin kautta, Slackiin, Discordiin, Telegramiin tai Google Chatiin – vain, kun jokin muuttuu, esimerkiksi kun CAPTCHA katoaa päivityksen jälkeen tai yhteydenottosivulle ilmestyy uusi seurantapikseli.

Jos haluat nähdä, mitä skanneri näkee, aloita maksuttomalla tarkistuksella osoitteessa formexposed.com: syötä verkkotunnuksesi ja lue raportti. Jos sivusto on sinun ja haluat yksityiskohdat, säännöllisen valvonnan ja toimitustarkistuksen, todenna verkkotunnus tililläsi.