Cách formexposed kiểm tra: thụ động, minh bạch, tôn trọng

Khi bạn nhập một tên miền vào lượt kiểm tra miễn phí trên formexposed.com, bộ quét truy cập website đó rồi trả về báo cáo. Bài viết này trình bày những gì xảy ra ở giữa: bộ quét tải gì, xem xét gì, chủ động không làm gì và vì sao một số chi tiết chỉ xuất hiện sau khi bạn chứng minh rằng tên miền thuộc về mình.

Từ tên miền đến báo cáo

Bộ quét tải các trang công khai của website như trình duyệt, bao gồm cả tập lệnh chạy trên đó. Điều này quan trọng vì nhiều biểu mẫu, widget CAPTCHA, biểu ngữ cookie và thẻ theo dõi chỉ được JavaScript thêm vào sau khi trang tải xong; nếu chỉ xem HTML thô thì sẽ bỏ sót chúng. Trên các trang đó, bộ quét tìm biểu mẫu và phân loại từng biểu mẫu theo mục đích – biểu mẫu liên hệ, đăng ký bản tin, đăng nhập, v.v. Việc phân loại đặt các phát hiện vào đúng bối cảnh: ô đăng ký bản tin có nhu cầu khác với biểu mẫu liên hệ gửi tin nhắn thẳng đến hộp thư của một người.

Bộ quét xem xét những gì

• Bảo vệ chống thư rác và lạm dụng: có CAPTCHA hay không (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, CAPTCHA toán học hoặc hình ảnh tùy chỉnh, hay dịch vụ chống thư rác phía máy chủ) và có được thiết lập hiệu quả hay không – khóa website thử nghiệm công khai hoặc widget thiếu tập lệnh không bảo vệ được gì. Ngoài ra còn có trường honeypot, mã thông báo CSRF và bẫy thời gian.
• Các thành phần xung quanh: tổ hợp CMS và tiện ích có lỗ hổng đã biết, biểu mẫu có gửi đến dịch vụ bên thứ ba hay không và website có WAF hoặc CDN ở phía trước hay không.
• Dấu hiệu về GDPR: liên kết chính sách quyền riêng tư tại biểu mẫu, việc từ chối biểu ngữ cookie có thực sự ngừng theo dõi hay không, pixel quảng cáo hoặc theo dõi được kích hoạt trên trang biểu mẫu, công cụ ghi lại phiên có thể ghi lại nội dung người dùng nhập và địa chỉ email của người nhận hiển thị trong mã nguồn trang.
• Dấu hiệu về khả năng tiếp cận: kiểm tra biểu mẫu bằng axe-core (nhãn, thông báo lỗi, độ tương phản và nhiều nội dung khác), CAPTCHA có hỗ trợ tiếp cận hay không, trường honeypot bị trình đọc màn hình đọc lên và cách biểu mẫu hoạt động trên điện thoại – vùng chạm, lớp phủ che nút gửi, cuộn ngang.

Thụ động, minh bạch, tôn trọng

Lượt kiểm tra ẩn danh là thụ động. Bộ quét đọc trang; không điền trường, không gửi bất kỳ biểu mẫu nào và không thử đăng nhập ở đâu. Không ai nhận được tin nhắn thử và không có gì được đưa vào hộp thư hoặc cơ sở dữ liệu của website. Bộ quét cũng hành xử như một người truy cập có ý thức: đọc và tuân thủ robots.txt, đồng thời tự nhận diện là FormExposedBot thay vì giả làm trình duyệt thông thường. Bất kỳ ai thấy tên đó trong nhật ký máy chủ đều có thể tra cứu tại formexposed.com/bot, nơi giải thích bot làm gì.

Được bảo vệ, được bảo vệ một phần, không được bảo vệ

• Được bảo vệ: các biểu mẫu tìm thấy có biện pháp bảo vệ có vẻ hiệu quả, không có thiếu sót đáng kể nào nhìn thấy từ bên ngoài.
• Được bảo vệ một phần: có biện pháp bảo vệ nhưng còn thiếu sót – chẳng hạn CAPTCHA chạy bằng khóa thử nghiệm hoặc một biểu mẫu được bảo vệ còn biểu mẫu khác thì không.
• Không được bảo vệ: các biểu mẫu thiếu biện pháp bảo vệ có thể phát hiện hoặc có điểm yếu khiến việc lạm dụng trở nên dễ dàng.

Mức độ này tóm tắt những gì có thể quan sát từ bên ngoài; không bảo đảm theo bất kỳ hướng nào. Báo cáo từ lượt kiểm tra ẩn danh được chủ động thiết kế để chỉ tồn tại trong thời gian ngắn và không được công cụ tìm kiếm lập chỉ mục. Và vì bất kỳ ai cũng có thể nhập bất kỳ tên miền nào, báo cáo không chứa chi tiết lỗ hổng: báo cáo cho biết có điều cần chú ý nhưng không nêu chính xác điểm yếu mà kẻ tấn công có thể khai thác. Những chi tiết đó chỉ hiển thị với chủ tên miền đã được xác minh.

Điều gì thay đổi khi tên miền đã được xác minh

Hai nội dung trong số này cần được xem xét kỹ hơn. Kiểm tra chủ động mặc định tắt cho đến khi bạn bật và chỉ khả dụng với tên miền bạn đã xác minh. Khi đó, bộ quét thực hiện một vài lần gửi thử được đánh dấu rõ ràng để bạn và nhóm của bạn nhận ra. Kết hợp với kiểm tra giao thư, việc này trả lời một câu hỏi mà không lượt quét thụ động nào có thể trả lời: tin nhắn gửi qua biểu mẫu có thực sự đến nơi không? Ngược lại, tính năng giám sát được thiết kế để giữ yên lặng. Bạn chỉ nhận cảnh báo – qua email, webhook, Slack, Discord, Telegram hoặc Google Chat – khi có thay đổi, chẳng hạn CAPTCHA biến mất sau một lần cập nhật hoặc pixel theo dõi mới xuất hiện trên trang liên hệ.

Nếu muốn biết bộ quét nhìn thấy gì, hãy bắt đầu với lượt kiểm tra miễn phí trên formexposed.com: nhập tên miền của bạn và đọc báo cáo. Nếu website thuộc về bạn và bạn muốn xem chi tiết, giám sát định kỳ cùng kiểm tra giao thư, hãy xác minh tên miền trong một tài khoản.