Hogyan működik egy formexposed-ellenőrzés: passzívan, átláthatóan, tisztelettudóan

Amikor megad egy domaint a formexposed.com ingyenes ellenőrzésében, egy szkenner felkeresi az adott weboldalt, és egy jelentéssel tér vissza. Ez a bejegyzés végigveszi, mi történik közben: mit tölt be a szkenner, mit vizsgál, mit nem tesz szándékosan, és miért jelennek meg bizonyos részletek csak azután, hogy igazolta, hogy a domain az Öné.

A domaintől a jelentésig

A szkenner úgy tölti be az oldal nyilvános oldalait, ahogyan egy böngésző tenné, a rajtuk futó szkriptekkel együtt. Ez azért fontos, mert sok űrlapot, CAPTCHA-widgetet, sütibannert és követőcímkét csak az oldal betöltése után ad hozzá a JavaScript; ha csak a nyers HTML-t nézné, ezek kimaradnának. Ezeken az oldalakon a szkenner űrlapokat keres, és mindegyiket a célja szerint sorolja be – kapcsolatfelvételi űrlap, hírlevél-feliratkozás, bejelentkezés és így tovább. A besorolás kontextusba helyezi a megállapításokat: egy hírlevélmezőnek más igényei vannak, mint egy kapcsolatfelvételi űrlapnak, amely az üzeneteket egyenesen valakinek a postafiókjába juttatja.

Mit vizsgál a szkenner

• Spam- és visszaélés elleni védelem: van-e CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, egyedi matematikai vagy képes captcha, vagy szerveroldali spamszűrő szolgáltatás), és hatékonyan van-e beállítva – egy nyilvános teszt-webhelykulcs vagy egy szkript nélküli widget semmit sem véd. Emellett honeypot mezők, CSRF-tokenek és időcsapdák.
• A környezet: ismerten sebezhető CMS- és bővítménykombinációk, harmadik fél szolgáltatásának küld-e az űrlap, és áll-e WAF vagy CDN az oldal előtt.
• GDPR-jelek: adatvédelmi tájékoztatóra mutató link az űrlapnál, valóban leállítja-e a követést a sütibanner elutasítása, aktiválódnak-e hirdetési vagy követőpixelek az űrlapoldalakon, vannak-e munkamenet-visszajátszó eszközök, amelyek rögzíthetik, amit az emberek gépelnek, és látható-e a címzett e-mail-címe az oldal forráskódjában.
• Akadálymentességi jelek: axe-core ellenőrzések az űrlapon (címkék, hibaüzenetek, kontraszt és egyebek), akadálymentes-e a CAPTCHA, felolvassák-e a képernyőolvasók a honeypotokat, és hogyan működik az űrlap telefonon – érintési célok, a küldés gombot eltakaró rétegek, vízszintes görgetés.

Passzívan, átláthatóan, tisztelettudóan

A névtelen ellenőrzés passzív. A szkenner oldalakat olvas; nem tölt ki mezőket, egyetlen űrlapot sem küld be, és sehová sem próbál bejelentkezni. Senki sem kap tesztüzenetet, és semmi sem kerül az oldal postafiókjába vagy adatbázisába. Ráadásul jól nevelt látogatóként viselkedik: elolvassa és tiszteletben tartja a robots.txt-t, és FormExposedBotként azonosítja magát, ahelyett hogy közönséges böngészőnek adná ki magát. Aki ezt a nevet a szervernaplóiban találja, utánanézhet a formexposed.com/bot oldalon, amely elmagyarázza, mit csinál a bot.

Védett, részben védett, védtelen

• Védett: a talált űrlapok hatékonynak tűnő védelemmel rendelkeznek, kívülről nem láthatók jelentős hiányosságok.
• Részben védett: van védelem, de hiányosságokkal – például egy tesztkulccsal futó CAPTCHA, vagy az egyik űrlap védett, a másik nem.
• Védtelen: az űrlapokon nincs észlelhető védelem, vagy olyan gyengeségeket mutatnak, amelyek megkönnyítik a visszaélést.

A szint azt foglalja össze, ami kívülről látható; egyik irányban sem jelent garanciát. A névtelen ellenőrzések jelentései szándékosan rövid életűek, és a keresőmotorok nem indexelik őket. Mivel pedig bárki bármilyen domaint megadhat, ezek a jelentések nem tartalmaznak sebezhetőségi részleteket: a jelentés megmutatja, hogy valami figyelmet igényel, de azt a pontos gyenge pontot nem, amelyet egy támadó kihasználhatna. Ezeket a részleteket csak a domain igazolt tulajdonosai látják.

Mi változik igazolt domain esetén

Ezek közül kettő közelebbi vizsgálatot érdemel. Az aktív ellenőrzések ki vannak kapcsolva, amíg Ön be nem kapcsolja őket, és csak igazolt domainhez érhetők el. A szkenner ilyenkor néhány egyértelműen megjelölt tesztbeküldést küld, hogy Ön és csapata felismerhesse őket. A kézbesítés-ellenőrzéssel együtt ez olyan kérdésre ad választ, amelyre egyetlen passzív vizsgálat sem képes: valóban megérkezik-e az űrlapon keresztül küldött üzenet? A felügyelet ezzel szemben úgy van kialakítva, hogy csendben maradjon. Riasztást – e-mailben, webhookon, Slacken, Discordon, Telegramon vagy Google Chaten – csak akkor kap, ha valami megváltozik, például ha egy frissítés után eltűnik egy CAPTCHA, vagy új követőpixel jelenik meg a kapcsolatfelvételi oldalon.

Ha látni szeretné, amit a szkenner lát, kezdje a formexposed.com ingyenes ellenőrzésével: adja meg a domainjét, és olvassa el a jelentést. Ha az oldal az Öné, és szeretné a részleteket, a rendszeres felügyeletet és a kézbesítés-ellenőrzést, igazolja a domaint egy fiókban.