Comment fonctionne une vérification formexposed : passive, transparente, respectueuse

Lorsque vous saisissez un domaine dans la vérification gratuite sur formexposed.com, un scanner visite ce site web et revient avec un rapport. Cet article décrit ce qui se passe entre les deux : ce que le scanner charge, ce qu’il examine, ce qu’il s’abstient délibérément de faire, et pourquoi certains détails n’apparaissent qu’une fois que vous avez démontré que le domaine vous appartient.

Du domaine au rapport

Le scanner charge les pages publiques du site comme le ferait un navigateur, y compris les scripts qui s’y exécutent. C’est important, car de nombreux formulaires, widgets CAPTCHA, bannières de cookies et balises de suivi ne sont ajoutés par JavaScript qu’après le chargement de la page ; un simple examen du HTML brut les manquerait. Sur ces pages, le scanner recherche les formulaires et classe chacun d’eux selon sa finalité – formulaire de contact, inscription à une newsletter, connexion, etc. La classification replace les constats dans leur contexte : un encart d’inscription à une newsletter n’a pas les mêmes besoins qu’un formulaire de contact qui délivre les messages directement dans la boîte de réception de quelqu’un.

Ce que le scanner examine

• Protection contre le spam et les abus : la présence d’un CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, un captcha maison mathématique ou en image, ou un service anti-spam côté serveur) et sa configuration efficace – une clé de site de test publique ou un widget sans son script ne protège rien. Également les champs honeypot, les jetons CSRF et les pièges temporels.
• L’environnement : les combinaisons de CMS et de plugins présentant des vulnérabilités connues, le fait que le formulaire envoie ses données à un service tiers, et la présence d’un WAF ou d’un CDN devant le site.
• Signaux RGPD : un lien vers la politique de confidentialité au niveau du formulaire, le fait que le refus de la bannière de cookies arrête réellement le pistage, des pixels publicitaires ou de suivi qui se déclenchent sur les pages de formulaire, des outils d’enregistrement de session susceptibles d’enregistrer ce que tapent les personnes, et une adresse e-mail de destinataire visible dans le code source de la page.
• Signaux d’accessibilité : contrôles axe-core sur le formulaire (libellés, messages d’erreur, contraste et plus), accessibilité du CAPTCHA, honeypots annoncés par les lecteurs d’écran, et fonctionnement du formulaire sur un téléphone – zones tactiles, éléments superposés masquant le bouton d’envoi, défilement horizontal.

Passive, transparente, respectueuse

La vérification anonyme est passive. Le scanner lit des pages ; il ne remplit aucun champ, ne soumet aucun formulaire et ne tente de se connecter nulle part. Personne ne reçoit de message de test, et rien n’aboutit dans la boîte de réception ou la base de données du site. Il se comporte également comme un visiteur bien élevé : il lit robots.txt et le respecte, et il s’identifie comme FormExposedBot au lieu de se faire passer pour un navigateur ordinaire. Quiconque trouve ce nom dans les journaux de son serveur peut le rechercher sur formexposed.com/bot, qui explique ce que fait le robot.

Protégé, partiellement protégé, exposé

• Protégé : les formulaires trouvés disposent d’une protection qui semble efficace, sans lacune notable visible de l’extérieur.
• Partiellement protégé : une protection existe, mais avec des lacunes – par exemple un CAPTCHA fonctionnant avec une clé de test, ou un formulaire protégé et un autre non.
• Exposé : les formulaires ne disposent d’aucune protection détectable ou présentent des faiblesses qui facilitent les abus.

Le niveau résume ce qui est visible de l’extérieur ; ce n’est une garantie ni dans un sens ni dans l’autre. Les rapports des vérifications anonymes ont volontairement une courte durée de vie et ne sont pas indexés par les moteurs de recherche. Et comme n’importe qui peut saisir n’importe quel domaine, ils omettent les détails des vulnérabilités : le rapport indique que quelque chose requiert de l’attention, mais pas le point faible exact qu’un attaquant pourrait exploiter. Ces détails ne sont montrés qu’aux propriétaires vérifiés du domaine.

Ce qui change avec un domaine vérifié

Deux de ces points méritent qu’on s’y attarde. Les vérifications actives sont désactivées tant que vous ne les activez pas, et elles ne sont disponibles que pour un domaine que vous avez vérifié. Le scanner envoie alors quelques soumissions de test clairement identifiées, afin que vous et votre équipe puissiez les reconnaître. Associées au contrôle de livraison, elles répondent à une question qu’aucune analyse passive ne peut résoudre : un message envoyé via le formulaire arrive-t-il réellement ? La surveillance, quant à elle, est conçue pour rester discrète. Vous recevez une alerte – par e-mail, webhook, Slack, Discord, Telegram ou Google Chat – uniquement lorsque quelque chose change, par exemple lorsqu’un CAPTCHA disparaît après une mise à jour ou qu’un nouveau pixel de suivi apparaît sur la page de contact.

Si vous voulez voir ce que voit le scanner, commencez par la vérification gratuite sur formexposed.com : saisissez votre domaine et lisez le rapport. Si le site vous appartient et que vous souhaitez les détails, une surveillance régulière et le contrôle de livraison, vérifiez le domaine dans un compte.