Slik virker en formexposed-kontroll: passiv, åpen, respektfull

Når du skriver inn et domene i den gratis kontrollen på formexposed.com, besøker en skanner nettstedet og kommer tilbake med en rapport. Dette innlegget går gjennom det som skjer imellom: hva skanneren laster, hva den ser på, hva den bevisst ikke gjør og hvorfor noen detaljer først vises når du har vist at domenet er ditt.

Fra domene til rapport

Skanneren laster nettstedets offentlige sider slik en nettleser ville gjort, inkludert skriptene som kjører på dem. Det er viktig fordi mange skjemaer, CAPTCHA-widgeter, informasjonskapselbannere og sporingstagger først legges til med JavaScript etter at siden er lastet; rå HTML alene ville ikke fanget dem. På sidene ser skanneren etter skjemaer og sorterer hvert etter formål – kontaktskjema, nyhetsbrevregistrering, innlogging og så videre. Klassifiseringen setter funnene i sammenheng: en nyhetsbrevboks har andre behov enn et kontaktskjema som leverer meldinger rett til noens innboks.

Hva skanneren ser på

• Beskyttelse mot søppelpost og misbruk: om det finnes en CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, en egen regne- eller bilde-CAPTCHA eller en serverbasert tjeneste mot søppelpost), og om den er effektivt satt opp – en offentlig testnøkkel eller en widget uten skriptet beskytter ingenting. Også fellefelt, CSRF-tokener og tidsfeller.
• Omgivelsene: kjente sårbare kombinasjoner av CMS og programtillegg, om skjemaet sender til en tredjepartstjeneste og om en WAF eller CDN står foran nettstedet.
• Personvernsignaler: lenke til personvernerklæringen ved skjemaet, om avvisning av informasjonskapselbanneret virkelig stopper sporing, reklame- eller sporingspiksler som utløses på skjemasider, øktopptaksverktøy som kan registrere det mennesker skriver, og en mottakeradresse som er synlig i sidens kildekode.
• Tilgjengelighetssignaler: axe-core-kontroller av skjemaet (etiketter, feilmeldinger, kontrast og mer), om CAPTCHA-en er tilgjengelig, fellefelt skjermlesere leser opp, og hvordan skjemaet virker på telefon – trykkmål, overlegg som dekker sendeknappen, horisontal rulling.

Passiv, åpen, respektfull

Den anonyme kontrollen er passiv. Skanneren leser sider; den fyller ikke ut felt, sender ikke inn ett eneste skjema og prøver ikke å logge inn noe sted. Ingen mottar en testmelding, og ingenting havner i nettstedets innboks eller database. Den oppfører seg også som en veloppdragen besøkende: den leser robots.txt og respekterer den, og identifiserer seg som FormExposedBot i stedet for å late som den er en vanlig nettleser. Den som finner navnet i serverloggene sine, kan slå det opp på formexposed.com/bot, som forklarer hva boten gjør.

Beskyttet, delvis beskyttet, ubeskyttet

• Beskyttet: skjemaene som er funnet, har beskyttelse som ser effektiv ut, uten vesentlige hull synlige utenfra.
• Delvis beskyttet: beskyttelse finnes, men med hull – for eksempel en CAPTCHA med testnøkkel, eller ett beskyttet skjema og et annet ubeskyttet.
• Ubeskyttet: skjemaer mangler påvisbar beskyttelse eller viser svakheter som gjør misbruk lett.

Nivået sammenfatter det som kan ses utenfra; det er ingen garanti i noen retning. Rapporter fra anonyme kontroller er med hensikt kortlivede og indekseres ikke av søkemotorer. Og fordi alle kan skrive inn ethvert domene, utelater de sårbarhetsdetaljer: rapporten viser at noe trenger oppmerksomhet, men ikke det nøyaktige svake punktet en angriper kan bruke. Disse detaljene vises bare til bekreftede eiere av domenet.

Hva som endres med et bekreftet domene

To av disse fortjener nærmere oppmerksomhet. Aktive kontroller er av med mindre du slår dem på, og de er bare tilgjengelige for et domene du har bekreftet. Skanneren sender da noen få tydelig merkede testinnsendinger, slik at du og teamet ditt kan gjenkjenne dem. Sammen med leveringskontrollen besvarer dette et spørsmål ingen passiv skanning kan svare på: kommer en melding sendt gjennom skjemaet faktisk frem? Overvåking er derimot laget for å være stille. Du får et varsel – via e-post, webhook, Slack, Discord, Telegram eller Google Chat – bare når noe endres, for eksempel når en CAPTCHA forsvinner etter en oppdatering eller en ny sporingspiksel dukker opp på kontaktsiden.

Hvis du vil se det skanneren ser, begynn med den gratis kontrollen på formexposed.com: skriv inn domenet ditt og les rapporten. Hvis nettstedet er ditt og du vil ha detaljene, regelmessig overvåking og leveringskontrollen, bekreft domenet i en konto.