Kaip veikia formexposed patikrinimas: pasyviai, skaidriai, pagarbiai

Kai nemokamame patikrinime formexposed.com įvedate domeną, skaitytuvas aplanko tą svetainę ir grįžta su ataskaita. Šiame įraše apžvelgiame, kas vyksta tarp šių žingsnių: ką skaitytuvas įkelia, į ką žiūri, ko sąmoningai nedaro ir kodėl kai kuri išsami informacija pasirodo tik įrodžius, kad domenas priklauso Jums.

Nuo domeno iki ataskaitos

Skaitytuvas įkelia viešus svetainės puslapius taip, kaip tai darytų naršyklė, įskaitant juose veikiančius scenarijus. Tai svarbu, nes daugelį formų, CAPTCHA valdiklių, slapukų reklamjuosčių ir sekimo žymų JavaScript prideda tik įkėlus puslapį; vien neapdoroto HTML peržiūra jų nepastebėtų. Tuose puslapiuose skaitytuvas ieško formų ir kiekvieną suskirsto pagal paskirtį – kontaktinė forma, naujienlaiškio užsiprenumeravimas, prisijungimas ir pan. Klasifikacija radinius pateikia kontekste: naujienlaiškio laukeliui reikia kitko nei kontaktinei formai, kuri žinutes siunčia tiesiai į kieno nors pašto dėžutę.

Į ką žiūri skaitytuvas

• Apsauga nuo šlamšto ir piktnaudžiavimo: ar yra CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, individuali aritmetinė ar paveikslėlių captcha arba serverio pusės apsaugos nuo šlamšto paslauga) ir ar ji veiksmingai sukonfigūruota – viešas bandomasis svetainės raktas ar valdiklis be scenarijaus nieko neapsaugo. Taip pat honeypot laukai, CSRF žetonai ir laiko spąstai.
• Aplinka: žinomai pažeidžiami TVS ir įskiepių deriniai, ar forma siunčia duomenis trečiosios šalies paslaugai ir ar priešais svetainę yra WAF ar CDN.
• BDAR signalai: privatumo politikos nuoroda prie formos, ar slapukų reklamjuostės atmetimas tikrai sustabdo sekimą, formų puslapiuose suveikiantys reklamos ar sekimo pikseliai, sesijų įrašymo įrankiai, galintys įrašyti, ką įveda žmonės, ir puslapio išeities kode matomas gavėjo el. pašto adresas.
• Prieinamumo signalai: axe-core patikros formoje (etiketės, klaidų pranešimai, kontrastas ir kt.), ar CAPTCHA prieinama, honeypot laukai, kuriuos perskaito ekrano skaitytuvai, ir kaip forma veikia telefone – paspaudimo taikiniai, pateikimo mygtuką uždengiantys sluoksniai, horizontalus slinkimas.

Pasyviai, skaidriai, pagarbiai

Anoniminis patikrinimas yra pasyvus. Skaitytuvas skaito puslapius; jis nepildo laukų, nepateikia nė vienos formos ir niekur nebando prisijungti. Niekas negauna bandomosios žinutės, ir niekas nepatenka į svetainės pašto dėžutę ar duomenų bazę. Be to, jis elgiasi kaip mandagus lankytojas: perskaito robots.txt ir jo laikosi, o užuot apsimetęs įprasta naršykle, prisistato kaip FormExposedBot. Kiekvienas, savo serverio žurnaluose radęs šį pavadinimą, gali jį pasitikrinti adresu formexposed.com/bot, kur paaiškinta, ką robotas daro.

Apsaugota, iš dalies apsaugota, neapsaugota

• Apsaugota: rastos formos turi, regis, veiksmingą apsaugą, iš išorės nematyti jokių reikšmingų spragų.
• Iš dalies apsaugota: apsauga yra, bet su spragomis – pavyzdžiui, CAPTCHA veikia su bandomuoju raktu arba viena forma apsaugota, o kita – ne.
• Neapsaugota: formoms trūksta aptinkamos apsaugos arba jos turi silpnybių, dėl kurių piktnaudžiauti lengva.

Lygis apibendrina tai, kas matoma iš išorės; tai nėra garantija nė viena kryptimi. Anoniminių patikrinimų ataskaitos sąmoningai trumpalaikės ir neindeksuojamos paieškos sistemų. Kadangi bet kas gali įvesti bet kurį domeną, jose nepateikiama pažeidžiamumų išsami informacija: ataskaita parodo, kad kažkam reikia dėmesio, bet ne tikslią silpnąją vietą, kuria galėtų pasinaudoti užpuolikas. Ši išsami informacija rodoma tik patvirtintiems domeno savininkams.

Kas pasikeičia patvirtinus domeną

Du iš šių punktų verti atidesnio žvilgsnio. Aktyvūs patikrinimai išjungti, kol jų neįjungiate, ir jie prieinami tik Jūsų patvirtintam domenui. Tada skaitytuvas išsiunčia kelis aiškiai pažymėtus bandomuosius pateikimus, kad Jūs ir Jūsų komanda galėtumėte juos atpažinti. Kartu su pristatymo patikrinimu tai atsako į klausimą, į kurį neatsakys joks pasyvus patikrinimas: ar per formą išsiųsta žinutė iš tikrųjų ateina? Stebėsena, priešingai, sukurta tylėti. Įspėjimą – el. paštu, per webhook, Slack, Discord, Telegram ar Google Chat – gaunate tik tada, kai kas nors pasikeičia, pavyzdžiui, kai po atnaujinimo dingsta CAPTCHA ar kontaktų puslapyje atsiranda naujas sekimo pikselis.

Jei norite pamatyti, ką mato skaitytuvas, pradėkite nuo nemokamo patikrinimo formexposed.com: įveskite savo domeną ir perskaitykite ataskaitą. Jei svetainė priklauso Jums ir norite išsamios informacijos, reguliarios stebėsenos ir pristatymo patikrinimo, patvirtinkite domeną paskyroje.