Un formular fără protecție adună spam, iar un formular cu o protecție care nu face nimic adună același spam, dar vă dă un sentiment de siguranță. Verificarea gratuită a protecției formularelor răspunde la prima jumătate a întrebării: ce protecție anti-boți livrează pagina? Acest articol explică cum se citește rezultatul și unde se oprește răspunsul lui.
Ce face verificarea
Introduceți adresa unei pagini cu formular. Verificarea citește mai întâi robots.txt al site-ului; dacă acesta interzice accesul sau nu poate fi citit, verificarea se oprește aici. Altfel, preia acea pagină, cu un nume clar (SilentShieldFormCheck), fără cookie-uri, cu cel mult trei redirecționări și cel mult 1 MB. Apoi caută în HTML marcajele furnizorilor cunoscuți: adrese de scripturi, clase de elemente și nume de câmpuri. Cunoaște Google reCAPTCHA, hCaptcha, Cloudflare Turnstile, Friendly Captcha și SilentShield. Nu se stochează nimic, nici adresa, nici rezultatul.
Cele cinci rezultate
- Fiecare formular poartă un marcaj. În fiecare formular găsit, HTML-ul conține marcajul unui furnizor cunoscut. Protecția este plasată în formular.
- Doar unele formulare poartă un marcaj. Lista arată ce formulare nu îl au.
- Este încărcat un script de furnizor, dar niciun formular nu poartă un marcaj. Pagina încarcă scriptul unui furnizor, dar niciunul dintre formularele ei nu conține un marcaj. Dacă, și care, formular este protejat de script nu se vede fără a rula JavaScript.
- Nimic detectat în HTML-ul livrat. Pagina are formulare, dar niciun marcaj și niciun script al unui furnizor cunoscut.
- Niciun formular în HTML-ul livrat. Formularele pot fi create de un script în browser, pe care verificarea nu îl vede.
Ce nu poate vedea verificarea
Verificarea citește HTML-ul livrat de serverul dumneavoastră. Nu rulează JavaScript. Din aceasta rezultă patru consecințe pe care e bine să le aveți în vedere.
- Un formular sau un widget creat de un script în browser nu există pentru verificare. „Nimic detectat” înseamnă deci „nimic în HTML-ul livrat”, niciodată „neprotejat”.
- Nu poate spune dacă serverul dumneavoastră verifică răspunsul. Un widget în formular, fără verificare pe server, nu oprește pe nimeni.
- Protecția aflată în fața paginii, de exemplu un firewall sau o limită de cereri, nu lasă urme în HTML.
- Paginile din spatele unei autentificări sunt inaccesibile, deoarece verificarea preia doar pagini publice, fără cookie-uri.
Un exemplu real: propria noastră pagină de înregistrare
Când am rulat verificarea pe propria noastră pagină de înregistrare, prima versiune a raportat doi furnizori al căror script ar fi „încărcat”. Pagina nu încarcă niciunul. Cauza erau datele paginii însăși: o intrare de meniu „Alternativă la hCaptcha.” se afla într-un script inline, iar verificarea a luat cuvântul drept codul unui furnizor. Am schimbat regula astfel încât un script inline să conteze doar când apelează un furnizor (un apel render sau execute), iar aceeași pagină raportează acum că nu s-a detectat nimic în HTML-ul livrat. Lecția este motivul pentru care verificarea numește doar fapte: un cuvânt de pe o pagină nu este un furnizor.
Ce faceți cu rezultatul
- Dacă există un marcaj, testați cealaltă jumătate: trimiteți formularul din exterior cu răspunsul lipsă sau greșit și vedeți dacă serverul dumneavoastră îl respinge. Un marcaj arată doar că un widget este plasat.
- Dacă este încărcat un script de furnizor fără marcaj în formular, priviți cum este atașat widgetul. Multe configurații îl adaugă în browser, după încărcarea paginii.
- Dacă nu s-a detectat nimic, nu concluzionați că formularul este deschis. Priviți jurnalele serverului și ce ajunge efectiv, și verificați dacă protecția rulează pe server sau în fața paginii.
- Dacă hotărâți să înlocuiți o provocare vizibilă, comparați opțiunile pe pagina comparație CAPTCHA și vedeți cât vă costă o provocare vizibilă cu calculatorul de conversie.
Verificarea este o primă privire asupra HTML-ului livrat, nu un audit. Folosiți-o pentru a afla ce spune pagina dumneavoastră despre ea însăși, iar restul testați prin trimitere.