איך בדיקת formexposed פועלת: פסיבית, שקופה ומכבדת

כשמזינים דומיין בבדיקה החינמית ב-formexposed.com, סורק מבקר באתר וחוזר עם דוח. המאמר הזה עובר על מה שקורה בדרך: מה הסורק טוען, מה הוא בוחן, מה הוא נמנע במכוון מלעשות ולמה פרטים מסוימים מופיעים רק לאחר שהוכחה השליטה בדומיין.

מדומיין לדוח

הסורק טוען את הדפים הציבוריים של האתר כפי שדפדפן היה עושה, כולל הסקריפטים שרצים בהם. זה חשוב מפני שטפסים רבים, רכיבי CAPTCHA, באנרי עוגיות ותגיות מעקב מתווספים רק באמצעות JavaScript אחרי טעינת הדף; מבט ב-HTML הגולמי בלבד היה מחמיץ אותם. בדפים האלה הסורק מחפש טפסים וממיין כל אחד לפי המטרה — טופס יצירת קשר, הרשמה לניוזלטר, כניסה וכן הלאה. הסיווג מעמיד את הממצאים בהקשר: לתיבת הרשמה לניוזלטר יש צרכים שונים מטופס יצירת קשר שמוסר הודעות ישירות לתיבה של מישהו.

מה הסורק בוחן

• הגנה מספאם ומניצול לרעה: האם קיים CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, captcha מותאם של חישוב או תמונה, או שירות אנטי-ספאם בצד השרת), והאם הוא מוגדר ביעילות — מפתח אתר ציבורי לבדיקות או רכיב ללא הסקריפט שלו אינם מגינים על דבר. בנוסף, שדות מלכודת, אסימוני CSRF ומלכודות זמן.
• הסביבה: שילובים של CMS ותוספים עם חולשות ידועות, האם הטופס שולח לשירות צד שלישי והאם WAF או CDN נמצאים בחזית האתר.
• סימני GDPR: קישור למדיניות פרטיות בטופס, האם דחיית באנר העוגיות באמת מפסיקה מעקב, פיקסלי פרסום או מעקב שפועלים בדפי טפסים, כלי שחזור פעילות בגלישה שעשויים להקליט מה אנשים מקלידים וכתובת דוא״ל של נמען שגלויה בקוד המקור של הדף.
• סימני נגישות: בדיקות axe-core בטופס (תוויות, הודעות שגיאה, ניגודיות ועוד), האם ה-CAPTCHA נגיש, שדות מלכודת שקוראי מסך מקריאים ואיך הטופס פועל בטלפון — מטרות הקשה, שכבות שמכסות את כפתור השליחה וגלילה אופקית.

פסיבית, שקופה ומכבדת

הבדיקה האנונימית פסיבית. הסורק קורא דפים; הוא אינו ממלא שדות, אינו שולח אפילו טופס אחד ואינו מנסה להיכנס לשום מקום. איש אינו מקבל הודעת בדיקה, ודבר אינו מגיע לתיבת הדואר או למסד הנתונים של האתר. הוא גם מתנהג כמו מבקר מנומס: קורא את robots.txt ומכבד אותו, ומזדהה כ-FormExposedBot במקום להתחזות לדפדפן רגיל. כל מי שמוצא את השם הזה ביומני השרת יכול לבדוק אותו ב-formexposed.com/bot, שם מוסבר מה הבוט עושה.

מוגן, הגנה חלקית, ללא הגנה

• מוגן: לטפסים שנמצאו יש הגנה שנראית יעילה, ללא פערים בולטים שנראים מבחוץ.
• הגנה חלקית: קיימת הגנה, אך יש פערים — למשל CAPTCHA שפועל עם מפתח בדיקה, או טופס אחד מוגן ואחר שאינו מוגן.
• ללא הגנה: בטפסים אין הגנה שניתנת לזיהוי או שיש חולשות שמקלות על ניצול לרעה.

הרמה מסכמת את מה שאפשר לראות מבחוץ; היא אינה ערובה לאף כיוון. דוחות מבדיקות אנונימיות הם קצרי-חיים במכוון ואינם מאונדקסים במנועי חיפוש. ומכיוון שכל אחד יכול להזין כל דומיין, הם אינם כוללים פרטי חולשות: הדוח מראה שמשהו דורש תשומת לב, אבל לא את נקודת התורפה המדויקת שתוקף יכול לנצל. הפרטים האלה מוצגים רק לבעלי הדומיין המאומתים.

מה משתנה עם דומיין מאומת

שתיים מהתכונות האלה ראויות למבט קרוב יותר. בדיקות פעילות כבויות אלא אם מפעילים אותן, והן זמינות רק לדומיין שאומת על ידי בעלי החשבון. הסורק שולח אז כמה שליחות בדיקה שמסומנות בבירור, כך שהצוות יכול לזהות אותן. יחד עם בדיקת המסירה, זה עונה על שאלה ששום סריקה פסיבית אינה יכולה לענות עליה: האם הודעה שנשלחת דרך הטופס באמת מגיעה? הניטור, לעומת זאת, בנוי להישאר שקט. התרעה מתקבלת — בדוא״ל, ב-webhook, ב-Slack, ב-Discord, ב-Telegram או ב-Google Chat — רק כשמשהו משתנה, למשל כש-CAPTCHA נעלם אחרי עדכון או כשפיקסל מעקב חדש מופיע בדף יצירת הקשר.

כדי לראות מה הסורק רואה, אפשר להתחיל בבדיקה החינמית ב-formexposed.com: להזין את הדומיין ולקרוא את הדוח. אם האתר בשליטת בעלי החשבון ויש צורך בפרטים, בניטור קבוע ובבדיקת מסירה, יש לאמת את הדומיין בחשבון.