Je li Vaš obrazac zaštićen? Što provjera obrasca može vidjeti, a što ne

Obrazac bez zaštite prikuplja spam, a obrazac sa zaštitom koja ništa ne radi prikuplja isti spam, ali stvara osjećaj sigurnosti. Besplatna provjera zaštite obrasca odgovara na prvu polovicu tog pitanja: koju zaštitu od botova stranica isporučuje? Ovaj članak objašnjava kako čitati rezultat i gdje njegov odgovor završava.

Što provjera radi

Unosite adresu stranice s obrascem. Provjera najprije čita datoteku robots.txt te web-stranice; ako zabranjuje dohvaćanje ili se ne može pročitati, provjera se tu zaustavlja. U suprotnom dohvaća tu jednu stranicu, s jasnim imenom (SilentShieldFormCheck), bez kolačića, s najviše tri preusmjeravanja i najviše 1 MB. Zatim u HTML-u traži oznake poznatih pružatelja: adrese skripti, klase elemenata i nazive polja. Poznaje Google reCAPTCHA, hCaptcha, Cloudflare Turnstile, Friendly Captcha i SilentShield. Ništa se ne pohranjuje, ni adresa ni rezultat.

Pet rezultata

• Svaki obrazac nosi oznaku. U svakom pronađenom obrascu HTML sadrži oznaku poznatog pružatelja. Zaštita je postavljena u obrazac.
• Samo neki obrasci nose oznaku. Popis pokazuje kojim obrascima oznaka nedostaje.
• Skripta pružatelja je učitana, ali nijedan obrazac ne nosi oznaku. Stranica učitava skriptu pružatelja, no nijedan njezin obrazac ne sadrži oznaku. Štiti li skripta neki obrazac i koji, ne vidi se bez izvođenja JavaScripta.
• Ništa nije otkriveno u isporučenom HTML-u. Stranica ima obrasce, ali ni oznaku ni skriptu poznatog pružatelja.
• Nema obrasca u isporučenom HTML-u. Obrasci možda nastaju skriptom u pregledniku, što provjera ne vidi.

Što provjera ne može vidjeti

Provjera čita HTML koji Vaš poslužitelj isporučuje. Ne izvodi JavaScript. To ima četiri posljedice koje treba imati na umu.

• Obrazac ili widget koji skripta stvara u pregledniku za provjeru ne postoji. „Ništa otkriveno“ stoga znači „ništa u isporučenom HTML-u“, nikada „nezaštićeno“.
• Ne može znati provjerava li Vaš poslužitelj odgovor. Widget u obrascu bez provjere na poslužitelju nikoga ne zaustavlja.
• Zaštita koja stoji ispred stranice, poput vatrozida ili ograničenja učestalosti zahtjeva, ne ostavlja trag u HTML-u.
• Stranice iza prijave nisu dostupne, jer provjera dohvaća samo javne stranice, bez kolačića.

Pravi primjer: naša vlastita stranica za registraciju

Kad smo provjeru pokrenuli na vlastitoj stranici za registraciju, prva je verzija prijavila dva pružatelja čija je skripta navodno „učitana“. Stranica ne učitava nijednog. Uzrok su bili podaci same stranice: stavka izbornika „Alternativa za hCaptcha.“ nalazila se u ugrađenoj skripti, a provjera je tu riječ uzela za kod pružatelja. Promijenili smo pravilo tako da ugrađena skripta vrijedi samo ako poziva pružatelja (poziv za prikaz ili izvršavanje), a ista stranica sada prijavljuje da u isporučenom HTML-u ništa nije otkriveno. Pouka je razlog zašto provjera imenuje samo činjenice: riječ na stranici nije pružatelj.

Što učiniti s rezultatom

1. Ako je oznaka prisutna, testirajte drugu polovicu: pošaljite obrazac izvana s izostavljenim ili pogrešnim odgovorom i pogledajte odbija li ga Vaš poslužitelj. Oznaka samo pokazuje da je widget postavljen.
2. Ako je skripta pružatelja učitana bez oznake u obrascu, pogledajte kako je widget pripojen. Mnoge postavke dodaju ga u pregledniku nakon učitavanja stranice.
3. Ako ništa nije otkriveno, nemojte zaključiti da je obrazac otvoren. Pogledajte zapise svog poslužitelja i što zapravo stiže te provjerite radi li zaštita na poslužitelju ili ispred stranice.
4. Ako odlučite zamijeniti vidljivi izazov, usporedite mogućnosti na stranici usporedba CAPTCHA-i i pogledajte što Vas vidljivi izazov košta pomoću kalkulatora konverzije.

Provjera je prvi pogled na isporučeni HTML, a ne revizija. Iskoristite je da saznate što Vaša stranica govori o sebi, a ostalo testirajte slanjem obrasca.