Come funziona una verifica di formexposed: passiva, trasparente, rispettosa

Quando inserisce un dominio nella verifica gratuita su formexposed.com, uno scanner visita quel sito web e torna con un report. Questo articolo illustra che cosa succede nel mezzo: che cosa carica lo scanner, che cosa esamina, che cosa volutamente non fa e perché alcuni dettagli compaiono solo dopo che ha dimostrato che il dominio è Suo.

Dal dominio al report

Lo scanner carica le pagine pubbliche del sito come farebbe un browser, compresi gli script che vi vengono eseguiti. Questo è importante perché molti moduli, widget CAPTCHA, banner dei cookie e tag di tracciamento vengono aggiunti tramite JavaScript solo dopo il caricamento della pagina; un esame del solo HTML grezzo non li vedrebbe. Su queste pagine lo scanner cerca i moduli e classifica ciascuno in base allo scopo – modulo di contatto, iscrizione alla newsletter, login e così via. La classificazione colloca i rilievi nel giusto contesto: un riquadro per la newsletter ha esigenze diverse da un modulo di contatto che recapita i messaggi direttamente nella casella di posta di qualcuno.

Che cosa esamina lo scanner

• Protezione da spam e abusi: se c’è un CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, un captcha matematico o con immagini personalizzato, o un servizio antispam lato server) e se è configurato in modo efficace – una chiave del sito di test pubblica o un widget senza il suo script non proteggono nulla. Inoltre campi honeypot, token CSRF e trappole temporali.
• Il contesto: combinazioni di CMS e plugin con vulnerabilità note, se il modulo invia i dati a un servizio di terze parti e se davanti al sito si trova un WAF o una CDN.
• Segnali GDPR: un link all’informativa privacy presso il modulo, se il rifiuto del banner dei cookie blocchi davvero il tracciamento, pixel pubblicitari o di tracciamento attivi sulle pagine dei moduli, strumenti di session replay che possono registrare ciò che le persone digitano, e un indirizzo e-mail del destinatario visibile nel codice sorgente della pagina.
• Segnali di accessibilità: controlli axe-core sul modulo (etichette, messaggi di errore, contrasto e altro), se il CAPTCHA è accessibile, honeypot annunciati dagli screen reader, e come funziona il modulo su smartphone – target di tocco, elementi sovrapposti che coprono il pulsante di invio, scorrimento orizzontale.

Passiva, trasparente, rispettosa

La verifica anonima è passiva. Lo scanner legge le pagine; non compila campi, non invia nemmeno un modulo e non tenta di accedere da nessuna parte. Nessuno riceve un messaggio di prova, e nulla finisce nella casella di posta o nel database del sito. Si comporta inoltre come un visitatore educato: legge robots.txt e lo rispetta, e si identifica come FormExposedBot invece di fingersi un normale browser. Chi trova questo nome nei log del proprio server può cercarlo su formexposed.com/bot, dove è spiegato che cosa fa il bot.

Protetto, parzialmente protetto, esposto

• Protetto: i moduli trovati hanno una protezione che appare efficace, senza lacune rilevanti visibili dall’esterno.
• Parzialmente protetto: la protezione c’è, ma con lacune – ad esempio un CAPTCHA che usa una chiave di test, oppure un modulo protetto e un altro no.
• Esposto: i moduli non hanno una protezione rilevabile o presentano debolezze che rendono facile l’abuso.

Il livello riassume ciò che si può vedere dall’esterno; non è una garanzia né in un senso né nell’altro. I report delle verifiche anonime hanno volutamente una breve durata e non vengono indicizzati dai motori di ricerca. E poiché chiunque può inserire qualsiasi dominio, omettono i dettagli sulle vulnerabilità: il report mostra che qualcosa richiede attenzione, ma non il punto debole esatto che un aggressore potrebbe sfruttare. Questi dettagli vengono mostrati solo ai titolari verificati del dominio.

Che cosa cambia con un dominio verificato

Due di questi aspetti meritano un esame più attento. Le verifiche attive sono disattivate finché non le attiva Lei, e sono disponibili solo per un dominio che ha verificato. Lo scanner invia allora alcuni invii di prova chiaramente contrassegnati, così che Lei e il Suo team possiate riconoscerli. Insieme al controllo del recapito, ciò risponde a una domanda a cui nessuna scansione passiva può rispondere: un messaggio inviato tramite il modulo arriva davvero? Il monitoraggio, invece, è pensato per restare silenzioso. Riceve un avviso – via e-mail, webhook, Slack, Discord, Telegram o Google Chat – solo quando qualcosa cambia, ad esempio quando un CAPTCHA scompare dopo un aggiornamento o compare un nuovo pixel di tracciamento sulla pagina dei contatti.

Se desidera vedere ciò che vede lo scanner, inizi con la verifica gratuita su formexposed.com: inserisca il Suo dominio e legga il report. Se il sito è Suo e desidera i dettagli, il monitoraggio regolare e il controllo del recapito, verifichi il dominio in un account.