Formulár bez ochrany zbiera spam a formulár s ochranou, ktorá nerobí nič, zbiera ten istý spam, hoci sa cítite bezpečne. Bezplatná kontrola ochrany formulárov odpovedá na prvú polovicu tejto otázky: akú ochranu pred botmi stránka doručuje? Tento článok vysvetľuje, ako výsledok čítať a kde jeho odpoveď končí.
Čo kontrola robí
Zadáte adresu stránky s formulárom. Kontrola najprv prečíta súbor robots.txt daného webu; ak sťahovanie zakazuje alebo sa nedá prečítať, kontrola sa tu zastaví. Inak stiahne túto jednu stránku, s jasným názvom (SilentShieldFormCheck), bez cookies, s najviac tromi presmerovaniami a najviac 1 MB. Potom v HTML hľadá značky známych poskytovateľov: adresy skriptov, triedy prvkov a názvy polí. Pozná Google reCAPTCHA, hCaptcha, Cloudflare Turnstile, Friendly Captcha a SilentShield. Nič sa neukladá, ani adresa, ani výsledok.
Päť výsledkov
- Každý formulár nesie značku. V každom nájdenom formulári HTML obsahuje značku známeho poskytovateľa. Ochrana je umiestnená vo formulári.
- Len niektoré formuláre nesú značku. Zoznam ukazuje, ktorým formulárom chýba.
- Skript poskytovateľa je načítaný, ale žiadny formulár nenesie značku. Stránka načíta skript poskytovateľa, no žiadny z jej formulárov neobsahuje značku. Či a ktorý formulár skript chráni, nie je bez spustenia JavaScriptu vidieť.
- V doručenom HTML sa nič nezistilo. Stránka má formuláre, ale žiadnu značku ani skript známeho poskytovateľa.
- V doručenom HTML nie je žiadny formulár. Formuláre môže vytvárať skript v prehliadači, ktorý kontrola nevidí.
Čo kontrola nevidí
Kontrola číta HTML, ktoré váš server doručuje. Nespúšťa JavaScript. Z toho vyplývajú štyri dôsledky, ktoré si treba uvedomiť.
- Formulár alebo widget, ktorý vytvorí skript v prehliadači, pre kontrolu neexistuje. „Nič sa nezistilo“ preto znamená „nič v doručenom HTML“, nikdy „nechránený“.
- Nevie povedať, či váš server odpoveď overuje. Widget vo formulári bez overenia na serveri nikoho nezastaví.
- Ochrana, ktorá stojí pred stránkou, napríklad firewall alebo limit požiadaviek, v HTML nezanechá stopu.
- Stránky za prihlásením sú mimo dosahu, pretože kontrola sťahuje len verejné stránky, bez cookies.
Skutočný príklad: naša vlastná registračná stránka
Keď sme kontrolu spustili na našej vlastnej registračnej stránke, prvá verzia nahlásila dvoch poskytovateľov, ktorých skript bol „načítaný“. Stránka nenačíta ani jedného. Príčinou boli dáta samotnej stránky: položka ponuky „Alternatíva k hCaptcha.“ sa nachádzala v inline skripte a kontrola vzala to slovo za kód poskytovateľa. Pravidlo sme zmenili tak, že inline skript sa počíta, len keď poskytovateľa volá (volanie render alebo execute), a tá istá stránka teraz hlási, že v doručenom HTML sa nič nezistilo. Poučenie je dôvodom, prečo kontrola uvádza len fakty: slovo na stránke nie je poskytovateľ.
Čo s výsledkom robiť
- Ak je značka prítomná, otestujte druhú polovicu: odošlite formulár zvonku s chýbajúcou alebo nesprávnou odpoveďou a pozrite sa, či ho váš server odmietne. Značka len ukazuje, že widget je umiestnený.
- Ak je načítaný skript poskytovateľa bez značky vo formulári, pozrite sa, ako je widget pripojený. Mnohé riešenia ho pridávajú v prehliadači po načítaní stránky.
- Ak sa nič nezistilo, nevyvodzujte, že formulár je otvorený. Pozrite sa do logov servera a na to, čo skutočne prichádza, a overte, či ochrana beží na serveri, alebo pred stránkou.
- Ak sa rozhodnete nahradiť viditeľnú výzvu, porovnajte možnosti na stránke porovnanie CAPTCHA a pomocou kalkulačky konverzie zistite, čo vás viditeľná výzva stojí.
Kontrola je prvý pohľad na doručené HTML, nie audit. Použite ju na zistenie, čo o sebe vaša stránka hovorí, a zvyšok otestujte odoslaním.