Cum funcționează o verificare formexposed: pasiv, transparent, respectuos

Când introduceți un domeniu în verificarea gratuită de pe formexposed.com, un scanner vizitează site-ul respectiv și revine cu un raport. Acest articol prezintă ce se întâmplă între timp: ce încarcă scannerul, la ce se uită, ce nu face în mod deliberat și de ce unele detalii apar doar după ce ați arătat că domeniul vă aparține.

De la domeniu la raport

Scannerul încarcă paginile publice ale site-ului așa cum ar face-o un browser, inclusiv scripturile care rulează pe ele. Acest lucru contează, deoarece multe formulare, widgeturi CAPTCHA, bannere de cookie-uri și etichete de urmărire sunt adăugate de JavaScript abia după încărcarea paginii; o privire doar asupra HTML-ului brut le-ar rata. Pe aceste pagini, scannerul caută formulare și le sortează pe fiecare după scop – formular de contact, abonare la newsletter, autentificare etc. Clasificarea pune constatările în context: o casetă de newsletter are alte nevoi decât un formular de contact care livrează mesajele direct în căsuța poștală a cuiva.

La ce se uită scannerul

• Protecția împotriva spamului și a abuzurilor: dacă există un CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, un CAPTCHA propriu cu calcule sau imagini ori un serviciu antispam pe server) și dacă este configurat eficient – o cheie de site de test publică sau un widget fără scriptul său nu protejează nimic. De asemenea, câmpuri honeypot, tokenuri CSRF și capcane de timp.
• Mediul înconjurător: combinații de CMS și pluginuri cu vulnerabilități cunoscute, dacă formularul trimite datele către un serviciu terț și dacă în fața site-ului se află un WAF sau un CDN.
• Semnale privind RGPD: un link către politica de confidențialitate la formular, dacă refuzarea bannerului de cookie-uri oprește într-adevăr urmărirea, pixeli publicitari sau de urmărire care se declanșează pe paginile cu formulare, instrumente de înregistrare a sesiunilor care pot înregistra ce tastează oamenii și o adresă de e-mail a destinatarului vizibilă în codul sursă al paginii.
• Semnale privind accesibilitatea: verificări axe-core pe formular (etichete, mesaje de eroare, contrast și altele), dacă CAPTCHA-ul este accesibil, honeypoturi pe care cititoarele de ecran le anunță și cum funcționează formularul pe telefon – ținte de atingere, suprapuneri care acoperă butonul de trimitere, derulare orizontală.

Pasiv, transparent, respectuos

Verificarea anonimă este pasivă. Scannerul citește pagini; nu completează câmpuri, nu trimite niciun formular și nu încearcă să se autentifice nicăieri. Nimeni nu primește un mesaj de test și nimic nu ajunge în căsuța poștală sau în baza de date a site-ului. De asemenea, se comportă ca un vizitator politicos: citește robots.txt și îl respectă și se identifică drept FormExposedBot, în loc să pretindă că este un browser obișnuit. Oricine găsește acest nume în jurnalele serverului său îl poate căuta la formexposed.com/bot, unde se explică ce face botul.

Protejat, parțial protejat, expus

• Protejat: formularele găsite au o protecție care pare eficientă, fără lacune notabile vizibile din exterior.
• Parțial protejat: protecția există, dar are lacune – de exemplu un CAPTCHA care rulează cu o cheie de test sau un formular protejat și altul nu.
• Expus: formularele nu au o protecție detectabilă sau prezintă puncte slabe care facilitează abuzul.

Nivelul rezumă ce se poate vedea din exterior; nu este o garanție în niciun sens. Rapoartele verificărilor anonime au în mod intenționat o durată de viață scurtă și nu sunt indexate de motoarele de căutare. Și, deoarece oricine poate introduce orice domeniu, ele omit detaliile vulnerabilităților: raportul arată că ceva necesită atenție, dar nu și punctul slab exact pe care l-ar putea folosi un atacator. Aceste detalii sunt afișate doar proprietarilor verificați ai domeniului.

Ce se schimbă cu un domeniu verificat

Două dintre acestea merită o privire mai atentă. Verificările active sunt dezactivate până când le activați și sunt disponibile doar pentru un domeniu pe care l-ați verificat. Scannerul trimite atunci câteva trimiteri de test marcate clar, astfel încât dumneavoastră și echipa dumneavoastră să le puteți recunoaște. Împreună cu verificarea livrării, aceasta răspunde la o întrebare la care nicio scanare pasivă nu poate răspunde: un mesaj trimis prin formular sosește efectiv? Monitorizarea, pe de altă parte, este concepută să rămână discretă. Primiți o alertă – prin e-mail, webhook, Slack, Discord, Telegram sau Google Chat – doar atunci când se schimbă ceva, de exemplu când un CAPTCHA dispare după o actualizare sau când apare un nou pixel de urmărire pe pagina de contact.

Dacă doriți să vedeți ce vede scannerul, începeți cu verificarea gratuită de pe formexposed.com: introduceți domeniul și citiți raportul. Dacă site-ul vă aparține și doriți detaliile, monitorizarea periodică și verificarea livrării, verificați domeniul într-un cont.