Un formulario sin protección acumula spam, y un formulario con una protección que no hace nada acumula el mismo spam y, además, le da una falsa sensación de seguridad. La comprobación de protección de formularios gratuita responde a la primera mitad de esa pregunta: ¿qué protección contra bots entrega la página? Este artículo explica cómo leer el resultado y dónde termina su respuesta.
Qué hace la comprobación
Usted introduce la dirección de una página con un formulario. La comprobación lee primero el robots.txt de ese sitio; si prohíbe la descarga o no se puede leer, se detiene ahí. En caso contrario, descarga esa única página, con un nombre claro (SilentShieldFormCheck), sin cookies, con un máximo de tres redirecciones y un máximo de 1 MB. Después busca en el HTML las marcas de proveedores conocidos: direcciones de scripts, clases de elementos y nombres de campos. Conoce Google reCAPTCHA, hCaptcha, Cloudflare Turnstile, Friendly Captcha y SilentShield. No se guarda nada, ni la dirección ni el resultado.
Los cinco resultados
- Todos los formularios llevan una marca. En cada formulario encontrado, el HTML contiene la marca de un proveedor conocido. La protección está colocada en el formulario.
- Solo algunos formularios llevan una marca. La lista muestra a cuáles les falta.
- Se carga un script de un proveedor, pero ningún formulario lleva una marca. La página carga el script de un proveedor, pero ninguno de sus formularios contiene una marca. Sin ejecutar JavaScript no se puede ver si el script protege algún formulario ni cuál.
- No se detectó nada en el HTML entregado. La página tiene formularios, pero ninguna marca ni script de un proveedor conocido.
- Ningún formulario en el HTML entregado. Es posible que los formularios los cree un script en el navegador, algo que la comprobación no ve.
Lo que la comprobación no puede ver
La comprobación lee el HTML que entrega su servidor. No ejecuta JavaScript. De ello se derivan cuatro cosas que conviene tener presentes.
- Un formulario o widget que crea un script en el navegador no existe para la comprobación. Por tanto, «no se detectó nada» significa «nada en el HTML entregado», nunca «sin protección».
- No puede saber si su servidor verifica la respuesta. Un widget en el formulario sin comprobación en el servidor no detiene a nadie.
- La protección que está delante de la página, como un cortafuegos o un límite de peticiones, no deja ningún rastro en el HTML.
- Las páginas tras un inicio de sesión quedan fuera de su alcance, porque la comprobación solo descarga páginas públicas, sin cookies.
Un ejemplo real: nuestra propia página de registro
Cuando ejecutamos la comprobación contra nuestra propia página de registro, la primera versión informó de dos proveedores cuyo script se «cargaba». La página no carga ninguno de los dos. La causa estaba en los datos de la propia página: una entrada de menú con el texto «Alternativa a hCaptcha.» figuraba en un script en línea, y la comprobación tomó la palabra por código de un proveedor. Cambiamos la regla: un script en línea solo cuenta cuando llama a un proveedor (una llamada render o execute), y la misma página informa ahora de que no se detectó nada en el HTML entregado. La lección es la razón por la que la comprobación solo nombra hechos: una palabra en una página no es un proveedor.
Qué hacer con el resultado
- Si hay una marca, pruebe la otra mitad: envíe el formulario desde fuera con la respuesta ausente o incorrecta y compruebe si su servidor lo rechaza. Una marca solo demuestra que hay un widget colocado.
- Si se carga un script de un proveedor sin marca en el formulario, revise cómo se incorpora el widget. Muchas configuraciones lo añaden en el navegador una vez cargada la página.
- Si no se detectó nada, no concluya que el formulario está abierto. Revise los registros de su servidor y lo que llega realmente, y compruebe si la protección se ejecuta en el servidor o delante de la página.
- Si decide sustituir un desafío visible, compare las opciones en la página de comparación de CAPTCHA y vea con la calculadora de conversión lo que le cuesta un desafío visible.
La comprobación es un primer vistazo al HTML entregado, no una auditoría. Úsela para saber qué dice su página sobre sí misma y pruebe el resto enviando el formulario.