Så fungerar en granskning från formexposed: passiv, transparent, respektfull

När du anger en domän i gratisgranskningen på formexposed.com besöker en skanner den webbplatsen och kommer tillbaka med en rapport. Det här inlägget går igenom vad som händer däremellan: vad skannern laddar, vad den tittar på, vad den medvetet inte gör och varför vissa detaljer bara visas när du har visat att domänen är din.

Från domän till rapport

Skannern laddar webbplatsens offentliga sidor på samma sätt som en webbläsare skulle göra, inklusive de skript som körs på dem. Det spelar roll eftersom många formulär, CAPTCHA-widgetar, cookiebanners och spårningstaggar läggs till av JavaScript först efter att sidan har laddats; en titt enbart på den råa HTML-koden skulle missa dem. På de sidorna letar skannern efter formulär och sorterar vart och ett efter syfte – kontaktformulär, nyhetsbrevsanmälan, inloggning och så vidare. Klassificeringen sätter fynden i sitt sammanhang: en nyhetsbrevsruta har andra behov än ett kontaktformulär som levererar meddelanden direkt till någons inkorg.

Vad skannern tittar på

• Skydd mot spam och missbruk: om det finns en CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, en egen räkne- eller bild-captcha eller en antispamtjänst på serversidan) och om den är verkningsfullt konfigurerad – en offentlig webbplatsnyckel för test eller en widget utan sitt skript skyddar ingenting. Även honeypot-fält, CSRF-token och tidsfällor.
• Omgivningen: kända sårbara kombinationer av CMS och plugin, om formuläret skickar till en tjänst från tredje part och om en WAF eller CDN sitter framför webbplatsen.
• GDPR-signaler: en länk till integritetspolicyn vid formuläret, om ett avvisande av cookiebannern verkligen stoppar spårningen, annons- eller spårningspixlar som utlöses på formulärsidor, verktyg för sessionsinspelning som kan spela in vad folk skriver och en mottagaradress för e-post som syns i sidans källkod.
• Tillgänglighetssignaler: axe-core-kontroller av formuläret (etiketter, felmeddelanden, kontrast med mera), om CAPTCHA:n är tillgänglig, honeypots som skärmläsare läser upp och hur formuläret fungerar på en mobil – tryckytor, överlägg som täcker skicka-knappen, horisontell rullning.

Passiv, transparent, respektfull

Den anonyma granskningen är passiv. Skannern läser sidor; den fyller inte i fält, skickar inte ett enda formulär och försöker inte logga in någonstans. Ingen får ett testmeddelande, och ingenting hamnar i webbplatsens inkorg eller databas. Den beter sig också som en väluppfostrad besökare: den läser robots.txt och respekterar den, och den identifierar sig som FormExposedBot i stället för att låtsas vara en vanlig webbläsare. Den som hittar det namnet i sina serverloggar kan slå upp det på formexposed.com/bot, där det förklaras vad boten gör.

Skyddat, delvis skyddat, exponerat

• Skyddat: de hittade formulären har skydd som verkar vara verkningsfullt, utan några anmärkningsvärda luckor som syns utifrån.
• Delvis skyddat: skydd finns, men med luckor – till exempel en CAPTCHA som körs med en testnyckel, eller ett formulär som är skyddat och ett annat som inte är det.
• Exponerat: formulär saknar skydd som kan upptäckas eller uppvisar svagheter som gör missbruk lätt.

Nivån sammanfattar det som kan ses utifrån; den är ingen garanti i någon riktning. Rapporter från anonyma granskningar är medvetet kortlivade och indexeras inte av sökmotorer. Och eftersom vem som helst kan ange vilken domän som helst utelämnar de detaljer om sårbarheter: rapporten visar att något behöver åtgärdas, men inte exakt den svaga punkt som en angripare skulle kunna utnyttja. Dessa detaljer visas bara för verifierade ägare av domänen.

Vad som ändras med en verifierad domän

Två av dessa förtjänar en närmare titt. Aktiva granskningar är avstängda om du inte slår på dem, och de är bara tillgängliga för en domän som du har verifierat. Skannern skickar då några tydligt märkta testinskick, så att du och ditt team kan känna igen dem. Tillsammans med leveranskontrollen besvarar detta en fråga som ingen passiv skanning kan besvara: kommer ett meddelande som skickas via formuläret faktiskt fram? Övervakningen är å andra sidan byggd för att vara tyst. Du får ett larm – via e-post, webhook, Slack, Discord, Telegram eller Google Chat – bara när något förändras, till exempel när en CAPTCHA försvinner efter en uppdatering eller en ny spårningspixel dyker upp på kontaktsidan.

Om du vill se vad skannern ser, börja med gratisgranskningen på formexposed.com: ange din domän och läs rapporten. Om webbplatsen är din och du vill ha detaljerna, regelbunden övervakning och leveranskontrollen, verifiera domänen i ett konto.