Как работает проверка formexposed: пассивно, прозрачно, с уважением

Когда Вы вводите домен в бесплатную проверку на formexposed.com, сканер посещает сайт и возвращается с отчётом. Статья объясняет происходящее между этим: что сканер загружает и рассматривает, чего намеренно не делает и почему часть подробностей появляется только после доказательства принадлежности домена Вам.

От домена к отчёту

Сканер загружает публичные страницы сайта как браузер, включая выполняющиеся на них скрипты. Это важно: многие формы, виджеты CAPTCHA, баннеры cookie и теги отслеживания добавляются JavaScript только после загрузки; один сырой HTML их не покажет. На этих страницах сканер ищет формы и сортирует каждую по назначению: контактная форма, подписка на рассылку, вход и так далее. Классификация даёт находкам контекст: у блока рассылки другие потребности, чем у контактной формы, доставляющей сообщения прямо в чьи-то входящие.

Что рассматривает сканер

• Защита от спама и злоупотреблений: есть ли CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, собственная математическая или графическая CAPTCHA либо серверный антиспам-сервис) и эффективно ли настроена — публичный тестовый ключ сайта или виджет без скрипта ничего не защищает. Также поля honeypot, токены CSRF и временные ловушки.
• Окружение: известные уязвимые сочетания CMS и плагинов, отправляет ли форма стороннему сервису и находится ли перед сайтом WAF или CDN.
• Признаки GDPR: ссылка на политику конфиденциальности у формы, реальная остановка отслеживания при отказе от баннера cookie, рекламные или отслеживающие пиксели на страницах форм, инструменты записи сеансов, способные записывать ввод, и адрес получателя в исходном коде страницы.
• Признаки доступности: проверки axe-core для формы (подписи, сообщения об ошибках, контраст и другое), доступность CAPTCHA, honeypot, озвучиваемые программами экранного доступа, и работа формы на телефоне: цели нажатий, перекрытия кнопки отправки, горизонтальная прокрутка.

Пассивно, прозрачно, с уважением

Анонимная проверка пассивна. Сканер читает страницы; не заполняет поля, не отправляет ни одной формы и нигде не пытается войти. Никто не получает тестового сообщения, ничего не попадает в почту или базу сайта. Он также ведёт себя как вежливый посетитель: читает и соблюдает robots.txt и обозначает себя как FormExposedBot, а не притворяется обычным браузером. Обнаруживший это имя в журналах сервера может посмотреть formexposed.com/bot с объяснением работы бота.

Защищено, частично защищено, не защищено

• Защищено: найденные формы имеют защиту, которая выглядит эффективной, без заметных снаружи пробелов.
• Частично защищено: защита есть, но с пробелами — например, CAPTCHA с тестовым ключом или одна защищённая форма при другой незащищённой.
• Не защищено: у форм нет обнаруживаемой защиты или есть слабые места, облегчающие злоупотребление.

Уровень суммирует видимое снаружи; он не является гарантией ни в одну сторону. Отчёты анонимных проверок намеренно кратковременны и не индексируются поисковиками. Поскольку любой может ввести любой домен, подробности уязвимостей исключены: отчёт показывает необходимость внимания, но не точное слабое место для атакующего. Эти подробности доступны только подтверждённым владельцам домена.

Что меняется с подтверждённым доменом

Два пункта заслуживают внимания. Активные проверки выключены до Вашего включения и доступны только для подтверждённого Вами домена. Тогда сканер посылает несколько ясно обозначенных тестовых отправок, узнаваемых Вами и командой. Вместе с проверкой доставки это отвечает на вопрос, недоступный пассивному сканированию: действительно ли сообщение формы доходит? Мониторинг, напротив, устроен так, чтобы не шуметь. Оповещение по электронной почте, вебхуку, Slack, Discord, Telegram или Google Chat приходит только при изменении, например исчезновении CAPTCHA после обновления или новом пикселе отслеживания на контактной странице.

Если Вы хотите увидеть то, что видит сканер, начните с бесплатной проверки на formexposed.com: введите домен и прочитайте отчёт. Если сайт Ваш и нужны подробности, регулярный мониторинг и проверка доставки, подтвердите домен в аккаунте.