การตรวจสอบของ formexposed ทำงานอย่างไร: เชิงรับ โปร่งใส และเคารพเว็บไซต์

เมื่อกรอกโดเมนในการตรวจสอบฟรีที่ formexposed.com ตัวสแกนเข้าชมเว็บไซต์แล้วกลับมาพร้อมรายงาน บทความนี้อธิบายสิ่งที่เกิดระหว่างทาง ว่าตัวสแกนโหลดอะไร ดูอะไร จงใจไม่ทำอะไร และทำไมรายละเอียดบางอย่างปรากฏหลังพิสูจน์ว่าเป็นเจ้าของโดเมนแล้วเท่านั้น

จากโดเมนสู่รายงาน

ตัวสแกนโหลดหน้าสาธารณะของเว็บไซต์เหมือนเบราว์เซอร์ รวมสคริปต์ที่ทำงานบนหน้า เรื่องนี้สำคัญเพราะแบบฟอร์ม วิดเจ็ต CAPTCHA แบนเนอร์คุกกี้ และแท็กติดตามจำนวนมากถูกเพิ่มโดย JavaScript หลังหน้าโหลดแล้ว การดูเฉพาะ HTML ดิบจะพลาดสิ่งเหล่านี้ ตัวสแกนค้นหาแบบฟอร์มบนหน้าและจำแนกแต่ละแบบตามวัตถุประสงค์ เช่น แบบฟอร์มติดต่อ สมัครจดหมายข่าว เข้าสู่ระบบ และอื่น ๆ การจำแนกช่วยให้ตีความผลการตรวจสอบตามบริบท เพราะช่องสมัครจดหมายข่าวมีความต้องการต่างจากแบบฟอร์มติดต่อที่ส่งข้อความตรงเข้ากล่องจดหมายของใครบางคน

ตัวสแกนดูอะไร

• การป้องกันสแปมและการใช้งานในทางที่ผิด: มี CAPTCHA หรือไม่ เช่น reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, CAPTCHA คณิตศาสตร์หรือรูปภาพที่สร้างเอง หรือบริการป้องกันสแปมฝั่งเซิร์ฟเวอร์ และตั้งค่าได้ผลหรือไม่ เพราะคีย์เว็บไซต์ทดสอบสาธารณะหรือวิดเจ็ตที่ไม่มีสคริปต์ไม่ได้ป้องกันอะไร รวมถึงช่องดักบอต โทเค็น CSRF และกับดักเวลา
• องค์ประกอบแวดล้อม: ชุด CMS และปลั๊กอินที่ทราบว่ามีช่องโหว่ แบบฟอร์มส่งไปยังบริการบุคคลที่สามหรือไม่ และมี WAF หรือ CDN อยู่ด้านหน้าเว็บไซต์หรือไม่
• สัญญาณด้าน GDPR: ลิงก์นโยบายความเป็นส่วนตัวที่แบบฟอร์ม การปฏิเสธแบนเนอร์คุกกี้หยุดการติดตามจริงหรือไม่ พิกเซลโฆษณาหรือติดตามที่ทำงานบนหน้าแบบฟอร์ม เครื่องมือบันทึกเซสชันที่อาจบันทึกสิ่งที่พิมพ์ และที่อยู่อีเมลผู้รับที่มองเห็นในซอร์สของหน้า
• สัญญาณด้านการเข้าถึง: การตรวจแบบฟอร์มด้วย axe-core เช่น ป้ายกำกับ ข้อความผิดพลาด ความเปรียบต่าง และอื่น ๆ CAPTCHA เข้าถึงได้หรือไม่ ช่องดักบอตที่โปรแกรมอ่านหน้าจออ่าน และการทำงานของแบบฟอร์มบนโทรศัพท์ ทั้งเป้าหมายการแตะ องค์ประกอบทับปุ่มส่ง และการเลื่อนแนวนอน

เชิงรับ โปร่งใส และเคารพเว็บไซต์

การตรวจสอบแบบไม่ระบุตัวตนเป็นแบบเชิงรับ ตัวสแกนอ่านหน้า ไม่กรอกช่อง ไม่ส่งแบบฟอร์มแม้แต่ครั้งเดียว และไม่พยายามเข้าสู่ระบบที่ใด ไม่มีใครได้รับข้อความทดสอบ และไม่มีอะไรเข้าไปในกล่องจดหมายหรือฐานข้อมูลของเว็บไซต์ อีกทั้งปฏิบัติตัวเหมือนผู้เยี่ยมชมที่มีมารยาท: อ่านและเคารพ robots.txt และระบุตัวเองเป็น FormExposedBot แทนการปลอมเป็นเบราว์เซอร์ทั่วไป ใครที่พบชื่อนี้ในบันทึกเซิร์ฟเวอร์สามารถดูคำอธิบายการทำงานของบอตได้ที่ formexposed.com/bot

มีการป้องกัน มีการป้องกันบางส่วน ไม่มีการป้องกัน

• มีการป้องกัน: แบบฟอร์มที่พบมีการป้องกันที่ดูมีประสิทธิภาพ โดยไม่เห็นช่องโหว่สำคัญจากภายนอก
• มีการป้องกันบางส่วน: มีการป้องกันแต่ยังมีช่องโหว่ เช่น CAPTCHA ใช้คีย์ทดสอบ หรือแบบฟอร์มหนึ่งมีการป้องกันแต่อีกแบบไม่มี
• ไม่มีการป้องกัน: ไม่พบการป้องกันในแบบฟอร์มหรือพบจุดอ่อนที่ทำให้ใช้งานในทางที่ผิดได้ง่าย

ระดับนี้สรุปสิ่งที่มองเห็นจากภายนอก ไม่ได้เป็นการรับประกันไม่ว่าในทางใด รายงานการตรวจแบบไม่ระบุตัวตนตั้งใจให้มีอายุสั้นและไม่ถูกจัดทำดัชนีโดยเครื่องมือค้นหา และเพราะใครก็กรอกโดเมนใดก็ได้ จึงไม่เปิดเผยรายละเอียดช่องโหว่ รายงานแสดงว่ามีสิ่งต้องดูแล แต่ไม่บอกจุดอ่อนที่แน่นอนซึ่งผู้โจมตีอาจใช้ได้ รายละเอียดเหล่านั้นแสดงแก่เจ้าของโดเมนที่ยืนยันแล้วเท่านั้น

อะไรเปลี่ยนเมื่อยืนยันโดเมนแล้ว

สองรายการนี้ควรอธิบายให้ละเอียด การตรวจเชิงรุกปิดอยู่จนกว่าจะเลือกเปิด และใช้ได้เฉพาะโดเมนที่ยืนยันแล้ว ตัวสแกนจะส่งข้อมูลทดสอบจำนวนเล็กน้อยที่ทำเครื่องหมายชัดเจนเพื่อให้ผู้ใช้และทีมจำแนกได้ เมื่อใช้ร่วมกับการตรวจสอบการส่งถึง จะตอบคำถามที่การสแกนเชิงรับตอบไม่ได้ว่า ข้อความที่ส่งผ่านแบบฟอร์มมาถึงจริงหรือไม่ ส่วนการเฝ้าติดตามออกแบบให้เงียบ ผู้ใช้ได้รับการแจ้งเตือนทางอีเมล webhook, Slack, Discord, Telegram หรือ Google Chat เฉพาะเมื่อมีการเปลี่ยนแปลง เช่น CAPTCHA หายหลังอัปเดต หรือมีพิกเซลติดตามใหม่บนหน้าติดต่อ

หากต้องการเห็นสิ่งที่ตัวสแกนเห็น ให้เริ่มจากการตรวจสอบฟรีที่ formexposed.com กรอกโดเมนแล้วอ่านรายงาน หากเป็นเว็บไซต์ของตนและต้องการรายละเอียด การเฝ้าติดตามสม่ำเสมอ และการตรวจสอบการส่งถึง ให้ยืนยันโดเมนในบัญชี