Como funciona uma verificação da formexposed: passiva, transparente, respeitosa

Quando introduz um domínio na verificação gratuita em formexposed.com, um scanner visita esse sítio Web e regressa com um relatório. Este artigo descreve o que acontece entretanto: o que o scanner carrega, o que analisa, o que deliberadamente não faz e porque é que alguns pormenores só aparecem depois de ter demonstrado que o domínio é seu.

Do domínio ao relatório

O scanner carrega as páginas públicas do sítio tal como um navegador o faria, incluindo os scripts que nelas são executados. Isso é importante porque muitos formulários, widgets de CAPTCHA, banners de cookies e tags de rastreio só são acrescentados por JavaScript depois de a página ter sido carregada; uma análise apenas do HTML em bruto não os detetaria. Nessas páginas, o scanner procura formulários e classifica cada um pela sua finalidade – formulário de contacto, subscrição de newsletter, início de sessão, etc. A classificação coloca as constatações em contexto: uma caixa de newsletter tem necessidades diferentes de um formulário de contacto que entrega mensagens diretamente na caixa de entrada de alguém.

O que o scanner analisa

• Proteção contra spam e abusos: se existe um CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, um CAPTCHA próprio de cálculo ou de imagem, ou um serviço antispam do lado do servidor) e se está configurado de forma eficaz – uma chave de site de teste pública ou um widget sem o respetivo script não protegem nada. Também campos honeypot, tokens CSRF e armadilhas de tempo.
• O ambiente: combinações de CMS e plugins com vulnerabilidades conhecidas, se o formulário envia para um serviço de terceiros e se existe uma WAF ou CDN à frente do sítio.
• Sinais de RGPD: uma ligação para a política de privacidade junto ao formulário, se recusar o banner de cookies trava realmente o rastreio, pixels de publicidade ou de rastreio que disparam nas páginas de formulários, ferramentas de gravação de sessões que podem registar o que as pessoas escrevem e um endereço de e-mail de destinatário visível no código-fonte da página.
• Sinais de acessibilidade: verificações axe-core no formulário (etiquetas, mensagens de erro, contraste e mais), se o CAPTCHA é acessível, honeypots anunciados pelos leitores de ecrã e como o formulário funciona num telemóvel – áreas de toque, sobreposições que tapam o botão de envio, deslocamento horizontal.

Passiva, transparente, respeitosa

A verificação anónima é passiva. O scanner lê páginas; não preenche campos, não submete um único formulário e não tenta iniciar sessão em lado nenhum. Ninguém recebe uma mensagem de teste, e nada acaba na caixa de entrada ou na base de dados do sítio. Comporta-se também como um visitante bem-educado: lê o robots.txt e respeita-o, e identifica-se como FormExposedBot em vez de se fazer passar por um navegador comum. Quem encontrar esse nome nos registos do seu servidor pode consultá-lo em formexposed.com/bot, que explica o que o bot faz.

Protegido, parcialmente protegido, exposto

• Protegido: os formulários encontrados têm uma proteção que parece eficaz, sem lacunas relevantes visíveis a partir do exterior.
• Parcialmente protegido: existe proteção, mas com lacunas – por exemplo, um CAPTCHA a funcionar com uma chave de teste, ou um formulário protegido e outro não.
• Exposto: os formulários não têm proteção detetável ou apresentam fragilidades que facilitam o abuso.

O nível resume o que se consegue ver a partir do exterior; não é uma garantia em nenhum dos sentidos. Os relatórios das verificações anónimas têm propositadamente uma duração curta e não são indexados pelos motores de pesquisa. E, como qualquer pessoa pode introduzir qualquer domínio, omitem os pormenores das vulnerabilidades: o relatório mostra que algo precisa de atenção, mas não o ponto fraco exato que um atacante poderia explorar. Esses pormenores só são mostrados aos proprietários verificados do domínio.

O que muda com um domínio verificado

Dois destes pontos merecem uma análise mais atenta. As verificações ativas estão desligadas, a menos que as ative, e só estão disponíveis para um domínio que tenha verificado. O scanner envia então algumas submissões de teste claramente identificadas, para que o próprio e a sua equipa as possam reconhecer. Juntamente com a verificação de entrega, isto responde a uma pergunta a que nenhuma verificação passiva consegue responder: uma mensagem enviada através do formulário chega efetivamente? A monitorização, por outro lado, foi concebida para se manter discreta. Recebe um alerta – por e-mail, webhook, Slack, Discord, Telegram ou Google Chat – apenas quando algo muda, por exemplo quando um CAPTCHA desaparece após uma atualização ou surge um novo pixel de rastreio na página de contacto.

Se quiser ver o que o scanner vê, comece pela verificação gratuita em formexposed.com: introduza o seu domínio e leia o relatório. Se o sítio for seu e quiser os pormenores, a monitorização regular e a verificação de entrega, verifique o domínio numa conta.