formexposed 如何检查：被动、透明、尊重规则

在 formexposed.com 免费检查中输入域名后，扫描器会访问该网站并返回报告。本文说明中间过程：扫描器加载什么、查看什么、有意不做什么，以及为何部分详情只有在您证明域名属于自己后才显示。

从域名到报告

扫描器像浏览器一样加载网站公开页面，包括其运行的脚本。这很重要，因为许多表单、CAPTCHA 小组件、Cookie 横幅和跟踪标签，是页面加载后才由 JavaScript 添加；只看原始 HTML 会漏掉。扫描器在这些页面寻找表单，按用途分类——联系表单、新闻通讯订阅、登录等。分类为发现提供背景：新闻通讯订阅框与直接向收件箱发送消息的联系表单，需求不同。

扫描器查看什么

• 垃圾信息和滥用防护：是否有 CAPTCHA（reCAPTCHA、hCaptcha、Turnstile、Friendly Captcha、自制算术或图片验证码，或服务器端反垃圾信息服务），以及配置是否有效——公开测试站点密钥或没有脚本的小组件毫无保护作用。还检查蜜罐字段、CSRF 令牌和时间陷阱。
• 周边环境：已知有漏洞的 CMS 和插件组合、表单是否向第三方服务提交，以及网站前是否有 WAF 或 CDN。
• GDPR 信号：表单处隐私政策链接、拒绝 Cookie 横幅是否真正停止跟踪、表单页面触发的广告或跟踪像素、可能记录输入的会话回放工具，以及页面源代码可见的收件人电子邮件地址。
• 无障碍信号：针对表单的 axe-core 检查（标签、错误消息、对比度等）、CAPTCHA 是否无障碍、屏幕阅读器会读出的蜜罐，以及表单在手机上的表现——点击目标、遮挡提交按钮的覆盖层、横向滚动。

被动、透明、尊重规则

匿名检查是被动的。扫描器读取页面；不填写字段，不提交任何表单，也不尝试在任何地方登录。无人收到测试消息，网站收件箱或数据库中不会出现任何内容。它也像有礼貌的访客：读取并遵守 robots.txt，以 FormExposedBot 标识自己，而非伪装成普通浏览器。服务器日志中发现此名称的人，可在 formexposed.com/bot 查询，了解机器人的行为。

已防护、部分防护、暴露

• 已防护：找到的表单具有看起来有效的防护，外部未发现明显缺口。
• 部分防护：已有防护，但存在缺口——例如 CAPTCHA 使用测试密钥，或一个表单受保护而另一个没有。
• 暴露：表单缺乏可检测的防护，或存在易被滥用的弱点。

等级概述外部可见情况；不构成任何方向的保证。匿名检查报告有意短期有效，且不被搜索引擎索引。由于任何人均可输入任何域名，它们不提供漏洞详情：报告显示需要关注的问题，却不列出攻击者可利用的确切弱点。这些详情仅向已验证域名所有者显示。

已验证域名后有何变化

其中两项值得仔细说明。主动检查默认关闭，除非您开启，且仅用于已验证域名。扫描器随后发送少量明确标记的测试提交，供您和团队识别。结合送达检查，可回答任何被动扫描都无法回答的问题：通过表单发送的消息是否真正到达？另一方面，监控设计为保持安静。仅有变化时，例如更新后 CAPTCHA 消失，或联系页面出现新跟踪像素，您才通过电子邮件、Webhook、Slack、Discord、Telegram 或 Google Chat 收到提醒。

如果想看到扫描器所见，请先在 formexposed.com 免费检查：输入域名并阅读报告。如果网站属于您，且希望取得详情、定期监控和送达检查，请在账户中验证域名。