Como funciona uma verificação formexposed: passiva, transparente, respeitosa

Quando você insere um domínio na verificação gratuita em formexposed.com, um verificador visita o site e retorna com um relatório. Este artigo explica o que acontece nesse intervalo: o que ele carrega, examina e deliberadamente não faz e por que alguns detalhes só aparecem depois que você demonstra que o domínio é seu.

Do domínio ao relatório

O verificador carrega as páginas públicas do site como um navegador, incluindo os scripts executados nelas. Isso importa porque muitos formulários, widgets de CAPTCHA, banners de cookies e tags de rastreamento só são adicionados por JavaScript após o carregamento; examinar apenas o HTML bruto não os detectaria. Nessas páginas, o verificador procura formulários e os classifica por finalidade — contato, assinatura de newsletter, login e assim por diante. A classificação contextualiza as constatações: uma caixa de newsletter tem necessidades diferentes de um formulário de contato que entrega mensagens diretamente à caixa de entrada de alguém.

O que o verificador examina

• Proteção contra spam e abuso: se há CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, captcha personalizado de conta ou imagem ou serviço antispam no servidor) e se está configurado de forma eficaz — uma chave pública de teste ou widget sem seu script não protege nada. Também campos honeypot, tokens CSRF e armadilhas de tempo.
• O entorno: combinações de CMS e plugins com vulnerabilidades conhecidas, se o formulário envia a um serviço de terceiros e se há WAF ou CDN à frente do site.
• Sinais de RGPD: link para a política de privacidade no formulário, se recusar no banner realmente interrompe o rastreamento, pixels de publicidade ou rastreamento nas páginas de formulário, ferramentas de reprodução de sessões que podem registrar a digitação e e-mail do destinatário visível no código-fonte.
• Sinais de acessibilidade: verificações axe-core no formulário (rótulos, mensagens de erro, contraste e mais), se o CAPTCHA é acessível, honeypots anunciados por leitores de tela e como o formulário funciona no celular — alvos de toque, sobreposições sobre o botão de envio, rolagem horizontal.

Passiva, transparente, respeitosa

A verificação anônima é passiva. O verificador lê páginas; não preenche campos, não envia um único formulário e não tenta entrar em lugar algum. Ninguém recebe mensagem de teste, e nada chega à caixa de entrada ou ao banco de dados do site. Ele também se comporta como um visitante educado: lê e respeita robots.txt e se identifica como FormExposedBot em vez de fingir ser um navegador comum. Quem encontrar esse nome nos logs do servidor pode consultar formexposed.com/bot, que explica o que o bot faz.

Protegido, parcialmente protegido, exposto

• Protegido: os formulários encontrados têm proteção que parece eficaz, sem lacunas relevantes visíveis externamente.
• Parcialmente protegido: há proteção, mas com lacunas — por exemplo, CAPTCHA com chave de teste ou um formulário protegido e outro não.
• Exposto: os formulários não têm proteção detectável ou mostram fragilidades que facilitam o abuso.

O nível resume o que pode ser visto externamente; não é uma garantia em nenhum sentido. Relatórios de verificações anônimas têm duração curta de propósito e não são indexados por mecanismos de busca. E, como qualquer pessoa pode inserir qualquer domínio, eles omitem detalhes de vulnerabilidades: mostram que algo exige atenção, mas não o ponto fraco exato que um invasor poderia usar. Esses detalhes só são exibidos aos proprietários verificados do domínio.

O que muda com um domínio verificado

Dois desses pontos merecem atenção. Verificações ativas ficam desativadas até você ativá-las e só estão disponíveis para um domínio que você verificou. O verificador então faz alguns envios de teste claramente identificados para que você e sua equipe os reconheçam. Com a verificação de entrega, isso responde a uma pergunta que nenhuma verificação passiva pode responder: uma mensagem enviada pelo formulário realmente chega? O monitoramento, por sua vez, foi feito para ser silencioso. Você recebe um alerta — por e-mail, webhook, Slack, Discord, Telegram ou Google Chat — somente quando algo muda, por exemplo, quando um CAPTCHA desaparece após uma atualização ou um novo pixel aparece na página de contato.

Se quiser ver o que o verificador vê, comece pela verificação gratuita em formexposed.com: insira seu domínio e leia o relatório. Se o site for seu e quiser detalhes, monitoramento regular e verificação de entrega, verifique o domínio em uma conta.