Un modulo senza protezione raccoglie spam, e un modulo con una protezione che non fa nulla raccoglie lo stesso spam dando però una falsa sensazione di sicurezza. Il controllo gratuito di protezione del modulo risponde alla prima metà di questa domanda: quale protezione anti-bot consegna la pagina? Questo articolo spiega come leggere il risultato e dove si ferma la sua risposta.
Cosa fa il controllo
Si inserisce l’indirizzo di una pagina con un modulo. Il controllo legge prima il file robots.txt di quel sito; se vieta il recupero o non è leggibile, il controllo si ferma lì. Altrimenti recupera quella sola pagina, con un nome chiaro (SilentShieldFormCheck), senza cookie, con al massimo tre reindirizzamenti e al massimo 1 MB. Cerca poi nell’HTML i contrassegni dei fornitori noti: indirizzi di script, classi di elementi e nomi di campo. Conosce Google reCAPTCHA, hCaptcha, Cloudflare Turnstile, Friendly Captcha e SilentShield. Non viene memorizzato nulla, né l’indirizzo né il risultato.
I cinque risultati
- Ogni modulo porta un contrassegno. In ogni modulo trovato, l’HTML contiene il contrassegno di un fornitore noto. La protezione è collocata nel modulo.
- Solo alcuni moduli portano un contrassegno. L’elenco mostra a quali moduli manca.
- Uno script di un fornitore è caricato, ma nessun modulo porta un contrassegno. La pagina carica lo script di un fornitore, ma nessuno dei suoi moduli contiene un contrassegno. Se lo script protegga un modulo, e quale, non è visibile senza eseguire JavaScript.
- Nulla rilevato nell’HTML consegnato. La pagina ha dei moduli, ma nessun contrassegno e nessuno script di un fornitore noto.
- Nessun modulo nell’HTML consegnato. I moduli potrebbero essere creati da uno script nel browser, che il controllo non vede.
Cosa non può vedere il controllo
Il controllo legge l’HTML che il suo server consegna. Non esegue JavaScript. Ne derivano quattro conseguenze da tenere presenti.
- Un modulo o un widget che uno script crea nel browser non esiste per il controllo. «Nulla rilevato» significa quindi «nulla nell’HTML consegnato», mai «non protetto».
- Non può stabilire se il suo server verifica la risposta. Un widget nel modulo senza alcuna verifica sul server non ferma nessuno.
- Una protezione che si trova davanti alla pagina, come un firewall o un limite di frequenza, non lascia traccia nell’HTML.
- Le pagine dietro un login sono fuori portata, perché il controllo recupera solo pagine pubbliche, senza cookie.
Un esempio reale: la nostra pagina di registrazione
Quando abbiamo eseguito il controllo sulla nostra pagina di registrazione, la prima versione ha segnalato due fornitori il cui script sarebbe «caricato». La pagina non ne carica nessuno. La causa erano i dati della pagina stessa: una voce di menu «Alternativa a hCaptcha.» si trovava in uno script inline, e il controllo aveva scambiato quella parola per il codice di un fornitore. Abbiamo modificato la regola in modo che uno script inline conti solo se richiama un fornitore (una chiamata di rendering o di esecuzione), e la stessa pagina ora segnala che nell’HTML consegnato non è stato rilevato nulla. La lezione è il motivo per cui il controllo indica solo fatti: una parola su una pagina non è un fornitore.
Cosa fare con il risultato
- Se è presente un contrassegno, verifichi l’altra metà: invii il modulo dall’esterno con la risposta mancante o errata e veda se il suo server la rifiuta. Un contrassegno mostra soltanto che un widget è collocato.
- Se è caricato uno script di un fornitore senza contrassegno nel modulo, guardi come viene collegato il widget. Molte configurazioni lo aggiungono nel browser dopo il caricamento della pagina.
- Se non è stato rilevato nulla, non concluda che il modulo sia aperto. Guardi i log del suo server e ciò che arriva davvero, e verifichi se la protezione agisce sul server o davanti alla pagina.
- Se decide di sostituire una sfida visibile, confronti le opzioni nella pagina confronto CAPTCHA e veda quanto le costa una sfida visibile con il calcolatore di conversione.
Il controllo è una prima occhiata all’HTML consegnato, non un audit. Lo usi per scoprire cosa dice di sé la sua pagina, e verifichi il resto inviando il modulo.