Kako radi formexposed provera: pasivno, transparentno i obzirno

Kada unesete domen u besplatnu proveru na formexposed.com, skener posećuje taj sajt i vraća se sa izveštajem. Ovaj članak prolazi kroz ono što se dešava između: šta skener učitava, šta posmatra, šta namerno ne radi i zašto se neki detalji pojavljuju tek kada pokažete da je domen Vaš.

Od domena do izveštaja

Skener učitava javne stranice sajta kao što bi to radio pregledač, uključujući skripte koje se na njima izvršavaju. To je važno zato što se mnogi obrasci, CAPTCHA vidžeti, baneri za kolačiće i oznake za praćenje dodaju JavaScript-om tek nakon učitavanja stranice; pogled samo na sirovi HTML propustio bi ih. Na tim stranicama skener traži obrasce i razvrstava svaki prema nameni — kontakt obrazac, prijava na bilten, prijavljivanje i slično. Klasifikacija stavlja nalaze u kontekst: polje za bilten ima drugačije potrebe od kontakt obrasca koji poruke isporučuje direktno u nečije sanduče.

Šta skener posmatra

• Zaštita od neželjenih poruka i zloupotrebe: da li postoji CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, prilagođeni matematički ili slikovni captcha ili usluga protiv neželjenih poruka na serveru) i da li je delotvorno podešen — javni probni ključ sajta ili vidžet bez skripte ne štite ništa. Takođe polja zamke, CSRF tokeni i vremenske zamke.
• Okruženje: poznato ranjive kombinacije CMS-a i dodataka, da li obrazac šalje usluzi treće strane i da li WAF ili CDN stoji ispred sajta.
• GDPR signali: link ka politici privatnosti kod obrasca, da li odbijanje banera za kolačiće zaista zaustavlja praćenje, reklamni ili pikseli za praćenje koji se aktiviraju na stranicama obrazaca, alati za ponovno prikazivanje sesija koji mogu snimati šta ljudi kucaju i adresa e-pošte primaoca vidljiva u izvornom kodu stranice.
• Signali pristupačnosti: axe-core provere obrasca (oznake, poruke o greškama, kontrast i više), da li je CAPTCHA pristupačan, polja zamke koja čitači ekrana najavljuju i kako obrazac radi na telefonu — ciljevi dodira, slojevi koji prekrivaju dugme za slanje i horizontalno pomeranje.

Pasivno, transparentno i obzirno

Anonimna provera je pasivna. Skener čita stranice; ne popunjava polja, ne šalje nijedan obrazac i ne pokušava da se prijavi bilo gde. Niko ne dobija probnu poruku i ništa ne završava u sandučetu ili bazi sajta. Ponaša se i kao pristojan posetilac: čita i poštuje robots.txt i predstavlja se kao FormExposedBot umesto da se pretvara da je običan pregledač. Svako ko to ime pronađe u serverskim logovima može ga pogledati na formexposed.com/bot, gde je objašnjeno šta bot radi.

Zaštićeno, delimično zaštićeno, izloženo

• Zaštićeno: pronađeni obrasci imaju zaštitu koja deluje delotvorno, bez značajnih praznina vidljivih spolja.
• Delimično zaštićeno: zaštita postoji, ali ima praznine — na primer CAPTCHA sa probnim ključem ili jedan obrazac zaštićen, a drugi ne.
• Izloženo: obrasci nemaju zaštitu koja se može otkriti ili pokazuju slabosti koje olakšavaju zloupotrebu.

Nivo sažima ono što se može videti spolja; nije garancija ni u jednom smeru. Izveštaji anonimnih provera namerno su kratkotrajni i pretraživači ih ne indeksiraju. A pošto svako može uneti bilo koji domen, izostavljaju detalje ranjivosti: izveštaj pokazuje da nešto zahteva pažnju, ali ne i tačnu slabu tačku koju bi napadač mogao iskoristiti. Ti detalji se prikazuju samo potvrđenim vlasnicima domena.

Šta se menja sa potvrđenim domenom

Dve od ovih funkcija zaslužuju detaljniji pogled. Aktivne provere su isključene dok ih Vi ne uključite i dostupne su samo za domen koji ste potvrdili. Skener zatim šalje nekoliko jasno označenih probnih poruka kako biste ih Vi i Vaš tim prepoznali. Zajedno sa proverom isporuke, to odgovara na pitanje na koje nijedan pasivni sken ne može: da li poruka poslata kroz obrazac zaista stiže? Nadzor je, s druge strane, napravljen da bude tih. Dobijate upozorenje — e-poštom, putem webhook-a, Slack-a, Discord-a, Telegram-a ili Google Chat-a — samo kada se nešto promeni, na primer kada CAPTCHA nestane posle ažuriranja ili se na kontakt stranici pojavi novi piksel za praćenje.

Ako želite da vidite ono što skener vidi, počnite besplatnom proverom na formexposed.com: unesite domen i pročitajte izveštaj. Ako je sajt Vaš i želite detalje, redovan nadzor i proveru isporuke, potvrdite domen u nalogu.