Ako funguje kontrola formexposed: pasívne, transparentne, ohľaduplne

Keď zadáte doménu do bezplatnej kontroly na formexposed.com, skener túto webovú stránku navštívi a vráti sa so správou. Tento článok opisuje, čo sa deje medzi tým: čo skener načítava, na čo sa pozerá, čo zámerne nerobí a prečo sa niektoré podrobnosti zobrazia až vtedy, keď preukážete, že doména je Vaša.

Od domény k správe

Skener načítava verejné stránky webu tak, ako by to urobil prehliadač, vrátane skriptov, ktoré na nich bežia. To je dôležité, pretože mnohé formuláre, widgety CAPTCHA, cookie lišty a sledovacie značky pridáva JavaScript až po načítaní stránky; samotný pohľad na surové HTML by ich prehliadol. Na týchto stránkach skener hľadá formuláre a každý z nich zaradí podľa účelu – kontaktný formulár, prihlásenie na odber newslettera, prihlásenie a podobne. Zaradenie dáva zisteniam kontext: políčko na newsletter má iné potreby ako kontaktný formulár, ktorý doručuje správy priamo do niečej schránky.

Na čo sa skener pozerá

• Ochrana pred spamom a zneužitím: či je prítomná CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, vlastná matematická alebo obrázková captcha alebo antispamová služba na strane servera) a či je nastavená účinne – verejný testovací kľúč stránky alebo widget bez skriptu nechráni nič. Ďalej polia honeypot, CSRF tokeny a časové pasce.
• Okolie: známe zraniteľné kombinácie CMS a pluginov, či formulár odosiela dáta službe tretej strany a či je pred stránkou WAF alebo CDN.
• Signály GDPR: odkaz na zásady ochrany osobných údajov pri formulári, či odmietnutie cookie lišty skutočne zastaví sledovanie, reklamné alebo sledovacie pixely spúšťané na stránkach s formulármi, nástroje na záznam relácií, ktoré môžu nahrávať, čo ľudia píšu, a e-mailová adresa príjemcu viditeľná v zdrojovom kóde stránky.
• Signály prístupnosti: kontroly axe-core na formulári (popisky, chybové hlásenia, kontrast a ďalšie), či je CAPTCHA prístupná, honeypoty, ktoré ohlasujú čítačky obrazovky, a ako formulár funguje na mobile – dotykové ciele, prekrytia zakrývajúce odosielacie tlačidlo, vodorovné posúvanie.

Pasívne, transparentne, ohľaduplne

Anonymná kontrola je pasívna. Skener číta stránky; nevypĺňa polia, neodosiela ani jeden formulár a nikde sa nepokúša prihlásiť. Nikto nedostane testovaciu správu a nič neskončí v schránke ani databáze stránky. Správa sa aj ako slušný návštevník: číta robots.txt a rešpektuje ho a identifikuje sa ako FormExposedBot namiesto toho, aby sa vydával za bežný prehliadač. Kto nájde toto meno vo svojich serverových denníkoch, môže si ho vyhľadať na formexposed.com/bot, kde je vysvetlené, čo bot robí.

Chránený, čiastočne chránený, odhalený

• Chránený: nájdené formuláre majú ochranu, ktorá sa zdá byť účinná, bez výrazných medzier viditeľných zvonku.
• Čiastočne chránený: ochrana existuje, ale s medzerami – napríklad CAPTCHA bežiaca s testovacím kľúčom alebo jeden formulár chránený a druhý nie.
• Odhalený: formulárom chýba zistiteľná ochrana alebo vykazujú slabiny, ktoré uľahčujú zneužitie.

Úroveň zhŕňa to, čo je vidieť zvonku; nie je zárukou ani jedným smerom. Správy z anonymných kontrol majú zámerne krátku životnosť a vyhľadávače ich neindexujú. A keďže ktokoľvek môže zadať akúkoľvek doménu, vynechávajú podrobnosti o zraniteľnostiach: správa ukáže, že niečo si vyžaduje pozornosť, ale nie presné slabé miesto, ktoré by mohol využiť útočník. Tieto podrobnosti sa zobrazujú len overeným vlastníkom domény.

Čo sa zmení s overenou doménou

Dve z týchto vecí si zaslúžia bližší pohľad. Aktívne kontroly sú vypnuté, kým ich nezapnete, a sú k dispozícii len pre doménu, ktorú ste overili. Skener potom pošle niekoľko jasne označených testovacích odoslaní, aby ste ich Vy a Váš tím rozpoznali. Spolu s kontrolou doručenia to odpovedá na otázku, na ktorú žiadna pasívna kontrola odpovedať nedokáže: dorazí správa odoslaná cez formulár skutočne? Monitorovanie je naopak navrhnuté tak, aby zostalo ticho. Upozornenie dostanete – e-mailom, cez webhook, Slack, Discord, Telegram alebo Google Chat – len vtedy, keď sa niečo zmení, napríklad keď po aktualizácii zmizne CAPTCHA alebo sa na kontaktnej stránke objaví nový sledovací pixel.

Ak chcete vidieť, čo vidí skener, začnite bezplatnou kontrolou na formexposed.com: zadajte svoju doménu a prečítajte si správu. Ak je stránka Vaša a chcete podrobnosti, pravidelné monitorovanie a kontrolu doručenia, overte doménu vo svojom účte.