formexposed のチェックの仕組み：受動的、透明、配慮のある確認

formexposed.com の無料チェックにドメインを入力すると、スキャナーがそのサイトを訪れ、レポートを返します。この記事は、その間に起きることを説明します。読み込むもの、調べるもの、意図的に行わないこと、そしてドメインが自分のものだと示した後にだけ一部の詳細を表示する理由です。

ドメインからレポートまで

スキャナーは、ブラウザーと同じように、動作するスクリプトも含めてサイトの公開ページを読み込みます。多くのフォーム、CAPTCHA ウィジェット、Cookie バナー、追跡タグは、ページの読み込み後に JavaScript が追加するため、生の HTML だけでは見逃すからです。スキャナーはページ上のフォームを探し、お問い合わせ、ニュースレター登録、ログインなど、目的別に分類します。この分類により検出結果の文脈が分かります。ニュースレターの欄と、誰かの受信トレイへ直接メッセージを届けるお問い合わせフォームでは、必要なものが異なります。

スキャナーが調べるもの

• スパムや不正利用への保護：CAPTCHA（reCAPTCHA、hCaptcha、Turnstile、Friendly Captcha、独自の計算・画像 CAPTCHA、サーバー側のスパム対策サービス）の有無と、有効な設定かどうか。公開テスト用サイトキーや、スクリプトのないウィジェットは何も守りません。ハニーポット欄、CSRF トークン、時間トラップも確認します。
• 周辺環境：脆弱性が知られている CMS とプラグインの組み合わせ、フォームの送信先が第三者のサービスかどうか、サイトの手前に WAF や CDN があるかどうか。
• GDPR の兆候：フォームのプライバシーポリシーへのリンク、Cookie バナーを拒否すると本当に追跡が止まるか、フォームのページで動く広告や追跡のピクセル、入力内容を記録し得るセッションリプレイツール、ページのソースに見える受信先メールアドレス。
• アクセシビリティの兆候：フォームでの axe-core チェック（ラベル、エラーメッセージ、コントラストなど）、CAPTCHA のアクセシビリティ、スクリーンリーダーが読み上げるハニーポット、携帯電話での使いやすさ（タップ対象、送信ボタンを覆う重なり、横スクロール）。

受動的、透明、配慮のある確認

匿名チェックは受動的です。スキャナーはページを読み、欄には入力せず、フォームを一つも送信せず、どこにもログインを試みません。誰もテストメッセージを受け取らず、サイトの受信トレイやデータベースにも何も入りません。また、礼儀正しい訪問者のように振る舞います。robots.txt を読んで尊重し、普通のブラウザーを装わず FormExposedBot と名乗ります。サーバーログでその名前を見つけた方は、formexposed.com/bot でボットの動作を確認できます。

保護済み、一部保護、無防備

• 保護済み：見つかったフォームには有効と思われる保護があり、外側から目立った隙は見えません。
• 一部保護：保護はありますが、テストキーで動く CAPTCHA や、一つのフォームは保護され、別のフォームは未保護といった隙があります。
• 無防備：検出できる保護がないか、不正利用を容易にする弱点が見られます。

この水準は、外側から見えることの要約であり、どちらの方向にも保証ではありません。匿名チェックのレポートは意図的に短期間だけ保持し、検索エンジンには登録されません。また、誰でも任意のドメインを入力できるため、脆弱性の詳細は省きます。注意が必要であることは示しますが、攻撃者が使える正確な弱点は示しません。その詳細は、確認済みのドメイン所有者にだけ表示します。

確認済みドメインで変わること

このうち二つは、詳しく説明する価値があります。能動的チェックは自分で有効にするまで停止しており、確認したドメインでしか使えません。有効にすると、スキャナーはテストと明示した送信を数件行うため、チームでも見分けられます。配信チェックと組み合わせることで、受動的なスキャンでは答えられない「フォームから送ったメッセージは本当に届くか」が分かります。一方、監視は静かに動くよう設計しています。更新後に CAPTCHA が消えた、新しい追跡ピクセルがお問い合わせページに現れたなど、変化があったときだけ、メール、Webhook、Slack、Discord、Telegram、Google Chat で通知します。

スキャナーに何が見えるかを知りたい場合は、formexposed.com の無料チェックから始めてください。ドメインを入力し、レポートを読みます。自分のサイトで、詳細、定期監視、配信チェックが必要なら、アカウントでドメインを確認します。