Védett az Ön űrlapja? Mit láthat egy űrlapellenőrzés, és mit nem

A védelem nélküli űrlap spamet gyűjt, a semmit sem tévő védelemmel ellátott űrlap pedig ugyanazt a spamet gyűjti, miközben biztonságérzetet kelt. Az ingyenes űrlapvédelem-ellenőrzés a kérdés első felére válaszol: milyen botvédelmet szolgál ki az oldal? Ez a cikk azt magyarázza el, hogyan olvassa az eredményt, és hol ér véget a válasz.

Mit csinál az ellenőrzés

Megadja egy űrlapot tartalmazó oldal címét. Az ellenőrzés először az adott webhely robots.txt fájlját olvassa be; ha az tiltja a lekérést, vagy nem olvasható, az ellenőrzés itt megáll. Egyébként lekéri ezt az egy oldalt, egyértelmű néven (SilentShieldFormCheck), sütik nélkül, legfeljebb három átirányítással és legfeljebb 1 MB mérettel. Ezután a HTML-ben keresi az ismert szolgáltatók jelölőit: szkriptcímeket, elemosztályokat és mezőneveket. Ismeri a Google reCAPTCHA-t, a hCaptchát, a Cloudflare Turnstile-t, a Friendly Captchát és a SilentShieldet. Semmi nem kerül tárolásra, sem a cím, sem az eredmény.

Az öt eredmény

• Minden űrlap hordoz jelölőt. Minden megtalált űrlapban a HTML tartalmaz egy ismert szolgáltató jelölőjét. A védelem az űrlapban van elhelyezve.
• Csak néhány űrlap hordoz jelölőt. A lista megmutatja, mely űrlapokból hiányzik.
• Egy szolgáltatói szkript be van töltve, de egyetlen űrlap sem hordoz jelölőt. Az oldal betölti egy szolgáltató szkriptjét, de egyik űrlapja sem tartalmaz jelölőt. Hogy a szkript véd-e űrlapot, és melyiket, JavaScript futtatása nélkül nem látható.
• Nem észlelhető semmi a kiszolgált HTML-ben. Az oldalon vannak űrlapok, de nincs ismert szolgáltatótól származó jelölő vagy szkript.
• Nincs űrlap a kiszolgált HTML-ben. Az űrlapokat lehet, hogy egy szkript hozza létre a böngészőben, amit az ellenőrzés nem lát.

Mit nem láthat az ellenőrzés

Az ellenőrzés a szerver által kiszolgált HTML-t olvassa. Nem futtat JavaScriptet. Ennek négy következményét érdemes szem előtt tartani.

• Az az űrlap vagy widget, amelyet egy szkript a böngészőben hoz létre, az ellenőrzés számára nem létezik. A „Nem észlelhető semmi” ezért azt jelenti: „nincs semmi a kiszolgált HTML-ben”, soha nem azt, hogy „védtelen”.
• Nem tudja megállapítani, hogy a szerver ellenőrzi-e a választ. Az űrlapban lévő widget szerveroldali ellenőrzés nélkül senkit nem állít meg.
• Az oldal előtt álló védelem, például tűzfal vagy kérésszám-korlátozás, nem hagy nyomot a HTML-ben.
• A bejelentkezés mögötti oldalak elérhetetlenek, mert az ellenőrzés csak nyilvános oldalakat kér le, sütik nélkül.

Egy valós példa: a saját regisztrációs oldalunk

Amikor saját regisztrációs oldalunkon futtattuk az ellenőrzést, az első változat két szolgáltatót jelzett, amelyek szkriptje „be van töltve”. Az oldal egyiket sem tölti be. Az ok az oldal saját adata volt: egy „Alternatíva a hCaptchához.” feliratú menüelem állt egy beágyazott szkriptben, és az ellenőrzés ezt a szót egy szolgáltató kódjának vette. Úgy módosítottuk a szabályt, hogy a beágyazott szkript csak akkor számít, ha szolgáltatót hív meg (megjelenítési vagy futtatási hívással), és ugyanez az oldal most azt jelzi, hogy a kiszolgált HTML-ben semmi nem észlelhető. A tanulság az oka annak, hogy az ellenőrzés csak tényeket nevez meg: egy szó az oldalon még nem szolgáltató.

Mit kezdjen az eredménnyel

1. Ha van jelölő, tesztelje a másik felet: küldje el az űrlapot kívülről hiányzó vagy hibás válasszal, és nézze meg, elutasítja-e a szerver. A jelölő csak azt mutatja, hogy egy widget el van helyezve.
2. Ha egy szolgáltatói szkript be van töltve, de az űrlapban nincs jelölő, nézze meg, hogyan csatlakozik a widget. Sok megoldás az oldal betöltése után, a böngészőben adja hozzá.
3. Ha semmi nem észlelhető, ne következtessen arra, hogy az űrlap nyitott. Nézze meg a szerver naplóit és azt, mi érkezik valójában, és ellenőrizze, hogy a védelem a szerveren vagy az oldal előtt fut-e.
4. Ha úgy dönt, hogy lecseréli a látható feladványt, hasonlítsa össze a lehetőségeket a CAPTCHA-összehasonlítás oldalon, és nézze meg a konverziós kalkulátorral, mibe kerül Önnek egy látható feladvány.

Az ellenőrzés első pillantás a kiszolgált HTML-re, nem audit. Arra használja, hogy megtudja, mit mond az oldala önmagáról, a többit pedig az űrlap elküldésével tesztelje.