Kif taħdem verifika ta' formexposed: passiva, trasparenti, rispettuża

Meta ddaħħlu dominju fil-verifika b'xejn fuq formexposed.com, scanner iżur dik il-websajt u jirritorna b'rapport. Dan l-artiklu jgħaddi minn dak li jiġri bejn it-tnejn: x'itella' s-scanner, lejn xiex iħares, x'ma jagħmilx apposta, u għaliex xi dettalji jidhru biss ladarba tkunu wrejtu li d-dominju huwa tagħkom.

Mid-dominju għar-rapport

Is-scanner itella' l-paġni pubbliċi tas-sit kif jagħmel browser, inklużi l-iskripts li jaħdmu fuqhom. Dan huwa importanti għax ħafna formoli, widgets tas-CAPTCHA, banners tal-cookies u tags tat-tracking jiżdiedu biss mill-JavaScript wara li l-paġna tkun telgħet; ħarsa lejn l-HTML nej biss kienet titlifhom. F'dawk il-paġni s-scanner ifittex formoli u jissortja kull waħda skont l-iskop tagħha – formola tal-kuntatt, reġistrazzjoni għan-newsletter, login eċċ. Il-klassifikazzjoni tqiegħed is-sejbiet fil-kuntest: kaxxa tan-newsletter għandha bżonnijiet differenti minn formola tal-kuntatt li twassal il-messaġġi dritt fl-inbox ta' xi ħadd.

Lejn xiex iħares is-scanner

• Protezzjoni kontra l-ispam u l-abbuż: jekk hemmx CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, captcha personalizzata tal-matematika jew tal-immaġni, jew servizz anti-spam fuq in-naħa tas-server) u jekk hijiex issettjata b'mod effettiv – test site key pubbliku jew widget mingħajr l-iskript tiegħu ma jipproteġu xejn. Ukoll oqsma honeypot, tokens CSRF u nases tal-ħin.
• Iċ-ċirkostanzi: kombinazzjonijiet ta' CMS u plugins magħrufa bħala vulnerabbli, jekk il-formola tibgħatx lil servizz ta' parti terza, u jekk hemmx WAF jew CDN quddiem is-sit.
• Sinjali tal-GDPR: link għall-politika tal-privatezza fil-formola, jekk ir-rifjut tal-banner tal-cookies tassew iwaqqafx it-tracking, pixels tar-reklami jew tat-tracking attivati fil-paġni tal-formoli, għodod tas-session replay li jistgħu jirreġistraw dak li jittajpjaw in-nies, u indirizz tal-email tad-destinatarju viżibbli fil-kodiċi tas-sors tal-paġna.
• Sinjali tal-aċċessibbiltà: kontrolli ta' axe-core fuq il-formola (tikketti, messaġġi tal-iżball, kuntrast u aktar), jekk is-CAPTCHA hijiex aċċessibbli, honeypots li l-screen readers iħabbru, u kif taħdem il-formola fuq mowbajl – miri għall-mess, saffi li jgħattu l-buttuna tas-sottomissjoni, scrolling orizzontali.

Passiva, trasparenti, rispettuża

Il-verifika anonima hija passiva. Is-scanner jaqra l-paġni; ma jimlax oqsma, ma jibgħat l-ebda formola u ma jipprova jidħol imkien. Ħadd ma jirċievi messaġġ tat-test, u xejn ma jispiċċa fl-inbox jew fid-database tas-sit. Iġib ruħu wkoll bħal viżitatur edukat: jaqra robots.txt u jirrispettah, u jidentifika ruħu bħala FormExposedBot minflok ma jippretendi li huwa browser ordinarju. Kull min isib dak l-isem fil-logs tas-server tiegħu jista' jfittxu f'formexposed.com/bot, li tispjega x'jagħmel il-bot.

Protett, protett parzjalment, espost

• Protett: il-formoli misjuba għandhom protezzjoni li tidher effettiva, mingħajr lakuni notevoli viżibbli minn barra.
• Protett parzjalment: il-protezzjoni hemm, iżda b'lakuni – pereżempju CAPTCHA li taħdem b'test key, jew formola waħda protetta u oħra le.
• Espost: il-formoli m'għandhomx protezzjoni li tista' tiġi skoperta jew juru dgħufijiet li jagħmlu l-abbuż faċli.

Il-livell jiġbor fil-qosor dak li jista' jidher minn barra; mhuwiex garanzija la f'direzzjoni u lanqas fl-oħra. Ir-rapporti tal-verifiki anonimi huma ta' ħajja qasira apposta u mhumiex indiċjati mill-magni tat-tiftix. U peress li kulħadd jista' jdaħħal kwalunkwe dominju, iħallu barra d-dettalji tal-vulnerabbiltajiet: ir-rapport juri li xi ħaġa teħtieġ attenzjoni, iżda mhux il-punt dgħajjef eżatt li attakkant jista' juża. Dawk id-dettalji jintwerew biss lis-sidien ivverifikati tad-dominju.

X'jinbidel b'dominju vverifikat

Tnejn minn dawn jistħoqqilhom ħarsa aktar mill-qrib. Il-verifiki attivi huma mitfija sakemm ma tixgħluhomx intom, u huma disponibbli biss għal dominju li vverifikajtu. Is-scanner imbagħad jibgħat ftit sottomissjonijiet tat-test immarkati b'mod ċar, sabiex intom u t-tim tagħkom tkunu tistgħu tagħrfuhom. Flimkien mal-verifika tal-kunsinna, dan iwieġeb mistoqsija li l-ebda skan passiv ma jista' jwieġeb: messaġġ mibgħut permezz tal-formola tassew jasal? Il-monitoraġġ, min-naħa l-oħra, huwa mibni biex jibqa' kwiet. Tirċievu allerta – bl-email, b'webhook, Slack, Discord, Telegram jew Google Chat – biss meta xi ħaġa tinbidel, pereżempju meta CAPTCHA tisparixxi wara aġġornament jew jidher pixel ġdid tat-tracking fil-paġna tal-kuntatt.

Jekk tridu taraw dak li jara s-scanner, ibdew bil-verifika b'xejn fuq formexposed.com: daħħlu d-dominju tagħkom u aqraw ir-rapport. Jekk is-sit huwa tagħkom u tridu d-dettalji, monitoraġġ regolari u l-verifika tal-kunsinna, ivverifikaw id-dominju f'kont.