保護のないフォームはスパムを集めます。何もしない保護を備えたフォームも同じスパムを集めますが、安心している気分になります。無料のフォーム保護チェックは、この問いの前半に答えます。つまり、そのページはどのボット対策を配信しているのか、という点です。この記事では、結果の読み方と、その答えがどこまでなのかをご説明します。
チェックの内容
フォームのあるページのアドレスを入力します。チェックはまずそのサイトのrobots.txtを読み取ります。取得が禁止されている場合、または読み取れない場合は、そこで停止します。そうでなければ、その1ページだけを取得します。名前は明示し（SilentShieldFormCheck）、Cookieは使わず、リダイレクトは最大3回、サイズは最大1 MBまでです。そのうえで、HTML内にある既知のプロバイダーの目印、つまりスクリプトのアドレス、要素のクラス、フィールド名を探します。対象はGoogle reCAPTCHA、hCaptcha、Cloudflare Turnstile、Friendly Captcha、SilentShieldです。アドレスも結果も、何も保存されません。
5つの結果
- すべてのフォームに目印があります。 見つかった各フォームのHTMLに、既知のプロバイダーの目印が含まれています。保護はフォームの中に置かれています。
- 一部のフォームにだけ目印があります。 目印のないフォームが一覧に表示されます。
- プロバイダーのスクリプトは読み込まれていますが、目印のあるフォームはありません。 ページはプロバイダーのスクリプトを読み込んでいますが、どのフォームにも目印がありません。スクリプトがフォームを保護しているか、どのフォームを保護しているかは、JavaScriptを実行しなければ確認できません。
- 配信されたHTMLでは何も検出されませんでした。 ページにはフォームがありますが、既知のプロバイダーの目印もスクリプトもありません。
- 配信されたHTMLにフォームがありません。 フォームがブラウザ上のスクリプトで作られている可能性がありますが、チェックはそれを確認できません。
チェックで見えないもの
チェックは、サーバーが配信するHTMLを読み取ります。JavaScriptは実行しません。そのため、次の4点にご留意ください。
- スクリプトがブラウザ上で作るフォームやウィジェットは、チェックには存在しません。したがって「検出なし」は「配信されたHTMLには何もない」という意味であり、「保護されていない」という意味ではありません。
- サーバーが応答を検証しているかどうかは判断できません。サーバー側で検証しないままフォームにウィジェットを置いても、誰も止められません。
- ファイアウォールやレート制限のように、ページの手前にある保護はHTMLに痕跡を残しません。
- チェックはCookieなしで公開ページだけを取得するため、ログインが必要なページは対象外です。
実例：当社のサインアップページ
当社自身のサインアップページでチェックを実行したところ、最初の版は、スクリプトが「読み込まれている」プロバイダーを2つ報告しました。実際には、このページはどちらも読み込んでいません。原因はページ自身のデータでした。「hCaptchaの代替」というメニュー項目がインラインスクリプトの中にあり、チェックはその語をプロバイダーのコードと取り違えたのです。そこで、インラインスクリプトはプロバイダーを呼び出している場合（描画または実行の呼び出し）にのみ数えるようルールを変更し、同じページは「配信されたHTMLでは何も検出されませんでした」と報告するようになりました。この教訓が、チェックが事実だけを示す理由です。ページ上の語は、プロバイダーではありません。
結果をどう活用するか
- 目印がある場合は、もう半分を試してください。回答を空にするか誤ったものにして外部からフォームを送信し、サーバーが拒否するかを確認します。目印は、ウィジェットが置かれていることを示すにすぎません。
- プロバイダーのスクリプトは読み込まれているのにフォームに目印がない場合は、ウィジェットの取り付け方を確認してください。多くの構成では、ページの読み込み後にブラウザ上で追加されます。
- 何も検出されなかった場合でも、フォームが無防備だと結論づけないでください。サーバーのログと実際に届いているものを確認し、保護がサーバー上で動いているか、ページの手前で動いているかを調べてください。
- 表示型のチャレンジを置き換えることにした場合は、CAPTCHA比較ページで選択肢を比べ、コンバージョン計算ツールで表示型チャレンジのコストを確認してください。
このチェックは、配信されたHTMLを最初に確認するためのもので、監査ではありません。ご自身のページが自らについて何を示しているかを知るために使い、残りはフォームを送信して試してください。