formexposed kontrolü nasıl çalışır: pasif, şeffaf, saygılı

formexposed.com'daki ücretsiz kontrole alan adı girdiğinizde bir tarayıcı web sitesini ziyaret eder ve raporla döner. Bu yazı arada neler olduğunu anlatır: tarayıcının neleri yüklediğini, nelere baktığını, neleri bilerek yapmadığını ve bazı ayrıntıların neden ancak alan adının sizin olduğunu gösterdikten sonra göründüğünü.

Alan adından rapora

Tarayıcı, sitedeki herkese açık sayfaları, üzerlerinde çalışan betikler dahil normal bir tarayıcı gibi yükler. Bu önemlidir; çünkü birçok form, CAPTCHA bileşeni, çerez bildirimi ve izleme etiketi ancak sayfa yüklendikten sonra JavaScript tarafından eklenir; yalnızca ham HTML'ye bakmak bunları kaçırır. Tarayıcı bu sayfalarda formları arar ve her birini amacına göre ayırır: iletişim formu, bülten kaydı, giriş vb. Sınıflandırma bulguları bağlama oturtur: bülten kutusunun ihtiyaçları, mesajları doğrudan birinin gelen kutusuna ileten iletişim formununkinden farklıdır.

Tarayıcı nelere bakar?

• Spam ve kötüye kullanım koruması: CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, özel matematik veya görsel captcha ya da sunucu tarafı spam önleme hizmeti) olup olmadığı ve etkili kurulup kurulmadığı. Herkese açık test site anahtarı veya betiği olmayan bileşen hiçbir şeyi korumaz. Ayrıca tuzak alanlar, CSRF token'ları ve zaman tuzakları.
• Çevre: güvenlik açığı bilinen CMS ve eklenti birleşimleri, formun üçüncü taraf hizmetine gönderim yapıp yapmadığı ve sitenin önünde WAF veya CDN bulunup bulunmadığı.
• GDPR sinyalleri: formda gizlilik politikasına bağlantı, çerez bildirimini reddetmenin izlemeyi gerçekten durdurup durdurmadığı, form sayfalarında tetiklenen reklam veya izleme pikselleri, insanların yazdıklarını kaydedebilen oturum tekrarı araçları ve sayfa kaynağında görünen alıcı e-posta adresi.
• Erişilebilirlik sinyalleri: formda axe-core kontrolleri (etiketler, hata mesajları, kontrast ve daha fazlası), CAPTCHA'nın erişilebilir olup olmadığı, ekran okuyucuların seslendirdiği tuzak alanlar ve formun telefonda nasıl çalıştığı: dokunma hedefleri, gönder düğmesini kapatan katmanlar, yatay kaydırma.

Pasif, şeffaf, saygılı

Anonim kontrol pasiftir. Tarayıcı sayfaları okur; alanları doldurmaz, tek bir form bile göndermez ve hiçbir yerde oturum açmayı denemez. Kimse test mesajı almaz, sitenin gelen kutusuna veya veri tabanına hiçbir şey girmez. Ayrıca terbiyeli bir ziyaretçi gibi davranır: robots.txt'yi okur ve ona uyar; sıradan tarayıcıymış gibi davranmak yerine kendini FormExposedBot olarak tanıtır. Sunucu günlüklerinde bu adı gören herkes, botun neler yaptığını açıklayan formexposed.com/bot adresine bakabilir.

Korunuyor, Kısmen korunuyor, Korumasız

• Korunuyor: bulunan formların koruması etkili görünür; dışarıdan belirgin boşluklar görülmez.
• Kısmen korunuyor: koruma vardır, ancak boşlukludur; örneğin test anahtarıyla çalışan CAPTCHA veya bir form korunurken diğerinin korunmaması.
• Korumasız: formlarda tespit edilebilir koruma yoktur veya kötüye kullanımı kolaylaştıran zayıflıklar vardır.

Düzey, dışarıdan görülebilenleri özetler; hiçbir yönde garanti değildir. Anonim kontrol raporları bilinçli olarak kısa ömürlüdür ve arama motorlarınca dizine alınmaz. Herkes herhangi bir alan adını girebildiğinden güvenlik açığı ayrıntılarını da dışarıda bırakırlar: rapor dikkat gerektiren bir şey olduğunu gösterir, ancak saldırganın kullanabileceği kesin zayıf noktayı göstermez. Bu ayrıntılar yalnızca alan adının doğrulanmış sahiplerine gösterilir.

Doğrulanmış alan adıyla ne değişir?

Bunlardan ikisi daha yakından bakmayı hak eder. Aktif kontroller siz açmadıkça kapalıdır ve yalnızca doğruladığınız alan adı için kullanılabilir. Tarayıcı bu durumda sizin ve ekibinizin tanıyabilmesi için açıkça işaretlenmiş birkaç test gönderimi yapar. Gönderim kontrolüyle birlikte bu, hiçbir pasif taramanın yanıtlayamayacağı soruyu yanıtlar: form üzerinden gönderilen mesaj gerçekten ulaşıyor mu? İzleme ise sessiz kalacak şekilde tasarlanmıştır. Yalnızca bir şey değiştiğinde, örneğin güncellemeden sonra CAPTCHA kaybolduğunda veya iletişim sayfasında yeni izleme pikseli belirdiğinde, e-posta, webhook, Slack, Discord, Telegram veya Google Chat üzerinden uyarı alırsınız.

Tarayıcının gördüklerini görmek istiyorsanız formexposed.com'daki ücretsiz kontrolle başlayın: alan adınızı girin ve raporu okuyun. Site sizinse ve ayrıntıları, düzenli izlemeyi ve gönderim kontrolünü istiyorsanız alan adını bir hesapta doğrulayın.