Jak działa skan formexposed: pasywnie, przejrzyście, z szacunkiem

Kiedy wpisujesz domenę w darmowym skanie na formexposed.com, skaner odwiedza tę stronę i wraca z raportem. Ten wpis pokazuje, co dzieje się pomiędzy: co skaner wczytuje, na co patrzy, czego celowo nie robi i dlaczego niektóre szczegóły widać dopiero wtedy, gdy potwierdzisz, że domena należy do Ciebie.

Od domeny do raportu

Skaner wczytuje publiczne strony witryny tak, jak zrobiłaby to przeglądarka – razem ze skryptami, które się na nich uruchamiają. To ważne, bo wiele formularzy, widżetów CAPTCHA, banerów cookie i tagów śledzących pojawia się dopiero po załadowaniu strony, dodane przez JavaScript; sam surowy HTML by ich nie pokazał. Na tych stronach skaner szuka formularzy i przypisuje każdy do rodzaju – formularz kontaktowy, zapis do newslettera, logowanie i tak dalej. Dzięki temu wyniki mają właściwy kontekst: pole zapisu do newslettera potrzebuje czegoś innego niż formularz kontaktowy, który wysyła wiadomości prosto do czyjejś skrzynki.

Na co patrzy skaner

• Ochrona przed spamem i nadużyciami: czy jest CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, własna captcha z działaniem matematycznym lub obrazkiem albo usługa antyspamowa po stronie serwera) i czy jest skutecznie skonfigurowana – publiczny testowy klucz witryny albo widżet bez swojego skryptu niczego nie chroni. Do tego pola honeypot, tokeny CSRF i pułapki czasowe.
• Otoczenie: znane podatne zestawienia CMS-ów i wtyczek, czy formularz wysyła dane do zewnętrznej usługi i czy przed stroną stoi WAF albo CDN.
• Sygnały RODO: link do polityki prywatności przy formularzu, czy odrzucenie zgody w banerze cookie naprawdę zatrzymuje śledzenie, piksele reklamowe lub śledzące uruchamiane na stronach z formularzem, narzędzia do nagrywania sesji, które mogą rejestrować wpisywane dane, oraz adres e-mail odbiorcy widoczny w kodzie strony.
• Sygnały dostępności: testy axe-core na formularzu (etykiety, komunikaty o błędach, kontrast i nie tylko), czy CAPTCHA jest dostępna, pola honeypot odczytywane przez czytniki ekranu oraz to, jak formularz działa na telefonie – obszary dotyku, nakładki zasłaniające przycisk wysyłania, przewijanie w poziomie.

Pasywnie, przejrzyście, z szacunkiem

Anonimowy skan jest pasywny. Skaner czyta strony; nie wypełnia pól, nie wysyła ani jednego formularza i nigdzie nie próbuje się logować. Nikt nie dostaje wiadomości testowej i nic nie trafia do skrzynki ani bazy danych strony. Skaner zachowuje się też jak kulturalny gość: czyta robots.txt i się do niego stosuje, a do tego przedstawia się jako FormExposedBot, zamiast udawać zwykłą przeglądarkę. Jeśli znajdziesz tę nazwę w logach serwera, pod adresem formexposed.com/bot sprawdzisz, co robi ten bot.

Zabezpieczony, częściowo zabezpieczony, niezabezpieczony

• Zabezpieczony: znalezione formularze mają ochronę, która wygląda na skuteczną, a z zewnątrz nie widać istotnych luk.
• Częściowo zabezpieczony: ochrona jest, ale z lukami – na przykład CAPTCHA działa na kluczu testowym albo jeden formularz jest zabezpieczony, a inny nie.
• Niezabezpieczony: formularzom brakuje wykrywalnej ochrony albo mają słabości, które ułatwiają nadużycia.

Poziom podsumowuje to, co widać z zewnątrz; nie jest gwarancją ani w jedną, ani w drugą stronę. Raporty z anonimowych skanów celowo są dostępne tylko przez krótki czas i nie są indeksowane przez wyszukiwarki. A ponieważ każdy może wpisać dowolną domenę, nie zawierają szczegółów podatności: raport pokazuje, że coś wymaga uwagi, ale nie wskazuje dokładnie słabego punktu, który mógłby wykorzystać atakujący. Te szczegóły widzą tylko zweryfikowani właściciele domeny.

Co się zmienia po weryfikacji domeny

Dwie rzeczy warto omówić dokładniej. Aktywne testy są wyłączone, dopóki sam ich nie włączysz, i działają tylko dla domeny, którą zweryfikowałeś. Skaner wysyła wtedy kilka wyraźnie oznaczonych zgłoszeń testowych, żeby Ty i Twój zespół mogli je od razu rozpoznać. Razem z testem dostarczania daje to odpowiedź na pytanie, na które żaden pasywny skan nie odpowie: czy wiadomość wysłana przez formularz naprawdę dociera? Monitoring z kolei ma być cichy. Alert – e-mailem, przez webhook, Slack, Discord, Telegram lub Google Chat – dostajesz tylko wtedy, gdy coś się zmieni, na przykład gdy po aktualizacji zniknie CAPTCHA albo na stronie kontaktowej pojawi się nowy piksel śledzący.

Jeśli chcesz zobaczyć to, co widzi skaner, zacznij od darmowego skanu na formexposed.com: wpisz domenę i przeczytaj raport. Jeśli strona jest Twoja i chcesz poznać szczegóły, mieć stały monitoring i test dostarczania, zweryfikuj domenę na swoim koncie.