Як працює перевірка formexposed: пасивно, прозоро, з повагою

Коли Ви вводите домен у безкоштовній перевірці на formexposed.com, сканер відвідує цей сайт і повертається зі звітом. Ця стаття пояснює, що відбувається між цими подіями: що сканер завантажує, на що дивиться, чого навмисно не робить і чому деякі подробиці з’являються лише після того, як Ви доведете, що домен Ваш.

Від домену до звіту

Сканер завантажує публічні сторінки сайту так, як це робив би браузер, разом зі скриптами на них. Це важливо, оскільки багато форм, віджетів CAPTCHA, банерів cookie й тегів відстеження додаються JavaScript лише після завантаження сторінки; перегляд самого сирого HTML їх пропустив би. На цих сторінках сканер шукає форми й сортує кожну за призначенням: контактна форма, підписка на новини, вхід тощо. Класифікація надає результатам контекст: поле підписки має інші потреби, ніж контактна форма, що доставляє повідомлення прямо до чиєїсь скриньки.

На що дивиться сканер

• Захист від спаму та зловживань: чи є CAPTCHA (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, власна математична CAPTCHA або CAPTCHA із зображеннями чи серверний антиспам-сервіс) і чи дієво її налаштовано — загальнодоступний тестовий ключ сайту або віджет без скрипта нічого не захищає. Також поля-пастки, токени CSRF і часові пастки.
• Оточення: відомі вразливі поєднання CMS і плагінів, чи надсилає форма дані сторонньому сервісу та чи стоїть перед сайтом WAF або CDN.
• Ознаки GDPR: посилання на політику конфіденційності біля форми, чи справді відхилення банера cookie зупиняє відстеження, рекламні пікселі чи пікселі відстеження на сторінках форм, інструменти відтворення сесій, що можуть записувати введений людьми текст, та адреса електронної пошти одержувача, видима у вихідному коді сторінки.
• Ознаки доступності: перевірки axe-core на формі (підписи, повідомлення про помилки, контраст тощо), доступність CAPTCHA, поля-пастки, які оголошують програми читання з екрана, та робота форми на телефоні — цілі дотику, накладки над кнопкою надсилання, горизонтальне прокручування.

Пасивно, прозоро, з повагою

Анонімна перевірка пасивна. Сканер читає сторінки; він не заповнює поля, не надсилає жодної форми й ніде не намагається ввійти. Ніхто не отримує тестового повідомлення, і нічого не потрапляє до скриньки чи бази даних сайту. Він також поводиться як вихований відвідувач: читає robots.txt і дотримується його та ідентифікує себе як FormExposedBot, а не вдає звичайний браузер. Кожен, хто знайде це ім’я в журналах сервера, може перевірити його на formexposed.com/bot, де пояснено дії бота.

Захищено, частково захищено, незахищено

• Захищено: знайдені форми мають захист, який виглядає дієвим, без помітних ззовні істотних прогалин.
• Частково захищено: захист є, але з прогалинами — наприклад, CAPTCHA з тестовим ключем або одна захищена форма поряд з іншою незахищеною.
• Незахищено: форми не мають виявлюваного захисту або показують слабкі місця, що полегшують зловживання.

Категорія захисту узагальнює те, що видно ззовні; вона не є гарантією в жоден бік. Звіти анонімних перевірок навмисно короткочасні й не індексуються пошуковими системами. А оскільки кожен може ввести будь-який домен, вони не містять подробиць вразливостей: звіт показує, що щось потребує уваги, але не точне слабке місце, яким міг би скористатися зловмисник. Ці подробиці показуються лише підтвердженим власникам домену.

Що змінюється з підтвердженим доменом

Дві з цих можливостей варті докладнішого розгляду. Активні перевірки вимкнено, доки Ви їх не ввімкнете, і вони доступні лише для підтвердженого Вами домену. Тоді сканер виконує кілька чітко позначених тестових надсилань, щоб Ви й Ваша команда могли їх розпізнати. Разом із перевіркою доставки це відповідає на запитання, на яке не здатне відповісти пасивне сканування: чи справді надходить повідомлення, надіслане через форму? Моніторинг натомість створено для тиші. Ви отримуєте сповіщення — електронною поштою, вебхуком, у Slack, Discord, Telegram або Google Chat — лише за зміни, наприклад коли CAPTCHA зникає після оновлення чи на контактній сторінці з’являється новий піксель відстеження.

Якщо хочете побачити те, що бачить сканер, почніть із безкоштовної перевірки на formexposed.com: введіть домен і прочитайте звіт. Якщо сайт Ваш і потрібні подробиці, регулярний моніторинг та перевірка доставки, підтвердьте домен в обліковому записі.