Cara kerja pemeriksaan formexposed: pasif, transparan, menghormati aturan

Ketika Anda memasukkan domain dalam pemeriksaan gratis di formexposed.com, pemindai mengunjungi situs web tersebut dan kembali dengan laporan. Artikel ini menjelaskan apa yang terjadi di antaranya: apa yang dimuat pemindai, apa yang diamatinya, apa yang sengaja tidak dilakukannya, dan mengapa sebagian perincian hanya muncul setelah Anda membuktikan bahwa domain tersebut milik Anda.

Dari domain ke laporan

Pemindai memuat halaman publik situs seperti yang dilakukan browser, termasuk skrip yang berjalan di dalamnya. Ini penting karena banyak formulir, widget CAPTCHA, banner cookie, dan tag pelacakan baru ditambahkan oleh JavaScript setelah halaman dimuat; hanya melihat HTML mentah akan melewatkannya. Pada halaman tersebut, pemindai mencari formulir dan mengelompokkan masing-masing berdasarkan tujuan – formulir kontak, pendaftaran buletin, login, dan sebagainya. Klasifikasi ini menempatkan temuan dalam konteks: kotak buletin memiliki kebutuhan berbeda dari formulir kontak yang mengirim pesan langsung ke kotak masuk seseorang.

Apa yang diamati pemindai

• Perlindungan spam dan penyalahgunaan: apakah ada CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, CAPTCHA matematika atau gambar khusus, atau layanan antispam di sisi server) dan apakah dikonfigurasi secara efektif – kunci situs uji publik atau widget tanpa skripnya tidak melindungi apa pun. Juga kolom honeypot, token CSRF, dan jebakan waktu.
• Lingkungan sekitarnya: kombinasi CMS dan plugin yang diketahui rentan, apakah formulir mengirim ke layanan pihak ketiga, serta apakah WAF atau CDN berada di depan situs.
• Sinyal GDPR: tautan Kebijakan Privasi pada formulir, apakah menolak banner cookie benar-benar menghentikan pelacakan, piksel iklan atau pelacakan yang dipicu di halaman formulir, alat perekaman sesi yang mungkin merekam apa yang diketik orang, serta alamat email penerima yang terlihat dalam sumber halaman.
• Sinyal aksesibilitas: pemeriksaan axe-core pada formulir (label, pesan kesalahan, kontras, dan lainnya), apakah CAPTCHA dapat diakses, honeypot yang dibacakan oleh pembaca layar, serta cara formulir berfungsi pada ponsel – target ketuk, lapisan yang menutupi tombol kirim, dan pengguliran horizontal.

Pasif, transparan, menghormati aturan

Pemeriksaan anonim bersifat pasif. Pemindai membaca halaman; tidak mengisi kolom, tidak mengirim satu formulir pun, dan tidak mencoba login di mana pun. Tidak ada yang menerima pesan uji, dan tidak ada yang masuk ke kotak masuk atau basis data situs. Pemindai juga bertindak seperti pengunjung yang sopan: membaca dan mematuhi robots.txt, serta mengidentifikasi diri sebagai FormExposedBot alih-alih berpura-pura sebagai browser biasa. Siapa pun yang menemukan nama tersebut dalam log servernya dapat mencarinya di formexposed.com/bot, yang menjelaskan apa yang dilakukan bot.

Terlindungi, terlindungi sebagian, tanpa perlindungan

• Terlindungi: formulir yang ditemukan memiliki perlindungan yang tampak efektif, tanpa celah berarti yang terlihat dari luar.
• Terlindungi sebagian: perlindungan tersedia, tetapi memiliki celah – misalnya CAPTCHA yang menggunakan kunci uji, atau satu formulir terlindungi sementara yang lain tidak.
• Tanpa perlindungan: formulir tidak memiliki perlindungan yang dapat dideteksi atau menunjukkan kelemahan yang memudahkan penyalahgunaan.

Tingkat tersebut merangkum apa yang dapat dilihat dari luar; ini bukan jaminan ke arah mana pun. Laporan pemeriksaan anonim sengaja hanya tersedia dalam waktu singkat dan tidak diindeks oleh mesin pencari. Dan karena siapa pun dapat memasukkan domain apa pun, laporan tersebut tidak menyertakan perincian kerentanan: laporan menunjukkan bahwa ada sesuatu yang memerlukan perhatian, tetapi tidak menunjukkan titik lemah persis yang dapat dimanfaatkan penyerang. Perincian tersebut hanya ditampilkan kepada pemilik domain yang telah diverifikasi.

Apa yang berubah dengan domain terverifikasi

Dua hal tersebut perlu diperhatikan lebih saksama. Pemeriksaan aktif nonaktif kecuali Anda mengaktifkannya, dan hanya tersedia untuk domain yang telah Anda verifikasi. Pemindai kemudian mengirim beberapa pengiriman uji yang ditandai dengan jelas agar Anda dan tim dapat mengenalinya. Bersama pemeriksaan pengiriman, ini menjawab pertanyaan yang tidak dapat dijawab pemindaian pasif mana pun: apakah pesan yang dikirim melalui formulir benar-benar diterima? Sebaliknya, pemantauan dirancang agar tidak mengganggu. Anda menerima pemberitahuan – melalui email, webhook, Slack, Discord, Telegram, atau Google Chat – hanya ketika ada perubahan, misalnya ketika CAPTCHA menghilang setelah pembaruan atau piksel pelacakan baru muncul di halaman kontak.

Jika Anda ingin melihat apa yang dilihat pemindai, mulailah dengan pemeriksaan gratis di formexposed.com: masukkan domain Anda dan baca laporannya. Jika situs tersebut milik Anda dan Anda menginginkan perincian, pemantauan rutin, serta pemeriksaan pengiriman, verifikasikan domain dalam akun.