Kako radi provjera formexposed: pasivno, transparentno i uz poštovanje pravila

Kada unesete domenu u besplatnu provjeru na formexposed.com, skener posjeti tu web-stranicu i vrati se s izvješćem. Ovaj članak opisuje što se događa između toga: što skener učitava, što pregledava, što namjerno ne radi i zašto se neke pojedinosti prikazuju tek kada dokažete da je domena Vaša.

Od domene do izvješća

Skener učitava javne stranice web-mjesta kao što bi to učinio preglednik, uključujući skripte koje se na njima izvršavaju. To je važno jer se mnogi obrasci, CAPTCHA dodaci, natpisi za kolačiće i oznake za praćenje dodaju JavaScriptom tek nakon učitavanja stranice; pregled samo sirovog HTML-a propustio bi ih. Na tim stranicama skener traži obrasce i razvrstava svaki prema svrsi – kontaktni obrazac, prijava na bilten, prijava u račun i tako dalje. Razvrstavanje daje kontekst nalazima: polje za prijavu na bilten ima drukčije potrebe od kontaktnog obrasca koji poruke šalje izravno u nečiju ulaznu poštu.

Što skener pregledava

• Zaštita od neželjenih poruka i zlouporabe: postoji li CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, prilagođena matematička ili slikovna CAPTCHA ili usluga zaštite od neželjenih poruka na poslužitelju) i je li učinkovito postavljena – javni testni ključ stranice ili dodatak bez svoje skripte ne štite ništa. Također polja zamki za botove, CSRF tokeni i vremenske zamke.
• Okruženje: kombinacije CMS-a i dodataka s poznatim ranjivostima, šalje li obrazac podatke usluzi treće strane i nalazi li se ispred web-stranice WAF ili CDN.
• Signali GDPR-a: poveznica na pravila privatnosti uz obrazac, zaustavlja li odbijanje privole na natpisu za kolačiće doista praćenje, oglasni pikseli ili pikseli za praćenje koji se aktiviraju na stranicama s obrascima, alati za reprodukciju sesije koji mogu bilježiti ono što ljudi tipkaju te adresa e-pošte primatelja vidljiva u izvornom kodu stranice.
• Signali pristupačnosti: provjere obrasca alatom axe-core (oznake, poruke o pogreškama, kontrast i drugo), je li CAPTCHA pristupačna, zamke za botove koje čitači zaslona najavljuju i kako obrazac radi na telefonu – ciljevi dodira, slojevi koji prekrivaju gumb za slanje, vodoravno pomicanje.

Pasivno, transparentno i uz poštovanje pravila

Anonimna provjera pasivna je. Skener čita stranice; ne ispunjava polja, ne šalje nijedan obrazac i ne pokušava se nigdje prijaviti. Nitko ne prima probnu poruku i ništa ne završava u ulaznoj pošti ili bazi podataka web-stranice. Ponaša se i kao pristojan posjetitelj: čita i poštuje robots.txt te se identificira kao FormExposedBot umjesto da se predstavlja kao običan preglednik. Svatko tko pronađe to ime u zapisnicima svojeg poslužitelja može ga potražiti na formexposed.com/bot, gdje je objašnjeno što bot radi.

Zaštićeno, djelomično zaštićeno, izloženo

• Zaštićeno: pronađeni obrasci imaju zaštitu koja se čini učinkovitom, bez značajnih nedostataka vidljivih izvana.
• Djelomično zaštićeno: zaštita postoji, ali ima nedostatke – primjerice CAPTCHA radi s testnim ključem ili je jedan obrazac zaštićen, a drugi nije.
• Izloženo: obrasci nemaju prepoznatljivu zaštitu ili pokazuju slabosti koje olakšavaju zlouporabu.

Razina sažima ono što se može vidjeti izvana; nije jamstvo ni u jednom smjeru. Izvješća anonimnih provjera namjerno su kratkotrajna i tražilice ih ne indeksiraju. A budući da bilo tko može unijeti bilo koju domenu, izostavljaju pojedinosti o ranjivostima: izvješće pokazuje da nešto zahtijeva pozornost, ali ne i točno slabo mjesto koje bi napadač mogao iskoristiti. Te se pojedinosti prikazuju samo potvrđenim vlasnicima domene.

Što se mijenja s potvrđenom domenom

Dvije od tih mogućnosti zaslužuju podrobniji pogled. Aktivne provjere isključene su dok ih ne uključite i dostupne su samo za domenu koju ste potvrdili. Skener tada šalje nekoliko jasno označenih probnih obrazaca kako biste ih Vi i Vaš tim mogli prepoznati. Zajedno s provjerom isporuke to odgovara na pitanje na koje nijedno pasivno skeniranje ne može odgovoriti: stiže li poruka poslana putem obrasca doista? Nadzor je, s druge strane, osmišljen tako da ostane tih. Upozorenje dobivate – e-poštom, putem webhooka, Slacka, Discorda, Telegrama ili Google Chata – samo kada se nešto promijeni, primjerice kada CAPTCHA nestane nakon ažuriranja ili se na kontaktnoj stranici pojavi novi piksel za praćenje.

Ako želite vidjeti što skener vidi, počnite besplatnom provjerom na formexposed.com: unesite svoju domenu i pročitajte izvješće. Ako je stranica Vaša i želite pojedinosti, redoviti nadzor i provjeru isporuke, potvrdite domenu u računu.