Kako deluje preverjanje formexposed: pasivno, pregledno, spoštljivo

Ko domeno vnesete v brezplačno preverjanje na formexposed.com, pregledovalnik obišče to spletno mesto in se vrne s poročilom. Ta prispevek opisuje, kaj se zgodi vmes: kaj pregledovalnik naloži, kaj pogleda, česa namerno ne počne in zakaj se nekatere podrobnosti pojavijo šele, ko dokažete, da je domena Vaša.

Od domene do poročila

Pregledovalnik naloži javne strani spletnega mesta tako, kot bi jih brskalnik, vključno s skriptami, ki na njih tečejo. To je pomembno, ker veliko obrazcev, gradnikov CAPTCHA, pasic za piškotke in sledilnih oznak doda JavaScript šele po nalaganju strani; pogled le v surovi HTML bi jih zgrešil. Na teh straneh pregledovalnik išče obrazce in vsakega razvrsti po namenu – kontaktni obrazec, prijava na e-novice, prijava itd. Razvrstitev ugotovitve postavi v kontekst: polje za e-novice ima drugačne potrebe kot kontaktni obrazec, ki sporočila dostavlja naravnost v nekogaršnji poštni predal.

Kaj pregledovalnik pogleda

• Zaščita pred neželeno pošto in zlorabo: ali obstaja CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, lastna računska ali slikovna captcha ali storitev proti neželeni pošti na strežniku) in ali je učinkovito nastavljena – javni testni ključ spletnega mesta ali gradnik brez skripte ne ščiti ničesar. Tudi past-polja, žetoni CSRF in časovne pasti.
• Okolica: znane ranljive kombinacije CMS in vtičnikov, ali obrazec pošilja storitvi tretje osebe in ali je pred spletnim mestom WAF ali CDN.
• Znaki GDPR: povezava do politike zasebnosti ob obrazcu, ali zavrnitev pasice za piškotke res ustavi sledenje, oglaševalske ali sledilne slikovne pike, ki se sprožijo na straneh z obrazci, orodja za snemanje sej, ki lahko posnamejo, kar ljudje tipkajo, in e-poštni naslov prejemnika, viden v izvorni kodi strani.
• Znaki dostopnosti: preverjanja axe-core na obrazcu (oznake, sporočila o napakah, kontrast in drugo), ali je CAPTCHA dostopna, past-polja, ki jih bralniki zaslona preberejo, in kako obrazec deluje na telefonu – cilji za tapkanje, prekrivni elementi, ki prekrivajo gumb za oddajo, vodoravno drsenje.

Pasivno, pregledno, spoštljivo

Anonimno preverjanje je pasivno. Pregledovalnik bere strani; ne izpolnjuje polj, ne odda niti enega obrazca in se nikjer ne poskuša prijaviti. Nihče ne prejme testnega sporočila in nič ne konča v poštnem predalu ali podatkovni bazi spletnega mesta. Obnaša se tudi kot olikan obiskovalec: prebere robots.txt in ga upošteva ter se predstavi kot FormExposedBot, namesto da bi se pretvarjal, da je običajen brskalnik. Kdor to ime najde v dnevnikih svojega strežnika, ga lahko poišče na formexposed.com/bot, kjer je pojasnjeno, kaj robot počne.

Zaščiten, delno zaščiten, izpostavljen

• Zaščiten: najdeni obrazci imajo zaščito, ki je videti učinkovita, brez opaznih vrzeli, vidnih od zunaj.
• Delno zaščiten: zaščita obstaja, vendar z vrzelmi – na primer CAPTCHA, ki teče s testnim ključem, ali en obrazec zaščiten, drug pa ne.
• Izpostavljen: obrazcem manjka zaznavna zaščita ali kažejo slabosti, ki olajšajo zlorabo.

Raven povzema, kar je vidno od zunaj; ni jamstvo ne v eno ne v drugo smer. Poročila anonimnih preverjanj so namenoma kratkotrajna in jih iskalniki ne indeksirajo. In ker lahko vsakdo vnese katero koli domeno, ne vsebujejo podrobnosti o ranljivostih: poročilo pokaže, da nekaj potrebuje pozornost, ne pa natančne šibke točke, ki bi jo lahko izkoristil napadalec. Te podrobnosti so prikazane le potrjenim lastnikom domene.

Kaj se spremeni s potrjeno domeno

Dve od teh si zaslužita podrobnejši pogled. Aktivna preverjanja so izklopljena, dokler jih ne vklopite, in so na voljo le za domeno, ki ste jo potrdili. Pregledovalnik nato pošlje nekaj jasno označenih testnih oddaj, da jih Vi in Vaša ekipa lahko prepoznate. Skupaj s preverjanjem dostave to odgovori na vprašanje, na katero ne more odgovoriti noben pasivni pregled: ali sporočilo, poslano prek obrazca, dejansko prispe? Spremljanje pa je zasnovano tako, da ostane tiho. Opozorilo – po e-pošti, webhooku, Slacku, Discordu, Telegramu ali Google Chatu – dobite le, ko se kaj spremeni, na primer ko CAPTCHA po posodobitvi izgine ali se na kontaktni strani pojavi nova sledilna slikovna pika.

Če želite videti, kar vidi pregledovalnik, začnite z brezplačnim preverjanjem na formexposed.com: vnesite svojo domeno in preberite poročilo. Če je spletno mesto Vaše in želite podrobnosti, redno spremljanje in preverjanje dostave, domeno potrdite v računu.