Obrazec brez zaščite zbira neželeno pošto, obrazec z zaščito, ki ne naredi nič, pa zbira isto neželeno pošto, vi pa se počutite varne. Brezplačno preverjanje zaščite obrazcev odgovarja na prvo polovico tega vprašanja: katero zaščito pred boti stran dostavlja? Ta članek pojasnjuje, kako brati rezultat in kje se njegov odgovor konča.
Kaj preverjanje naredi
Vnesete naslov strani z obrazcem. Preverjanje najprej prebere robots.txt tega spletnega mesta; če prepoveduje prenos ali ga ni mogoče prebrati, se preverjanje tam ustavi. Sicer prenese to eno stran, z jasnim imenom (SilentShieldFormCheck), brez piškotkov, z največ tremi preusmeritvami in največ 1 MB. Nato v HTML išče oznake znanih ponudnikov: naslove skript, razrede elementov in imena polj. Pozna Google reCAPTCHA, hCaptcha, Cloudflare Turnstile, Friendly Captcha in SilentShield. Nič se ne shrani, niti naslov niti rezultat.
Pet rezultatov
- Vsak obrazec ima oznako. V vsakem najdenem obrazcu HTML vsebuje oznako znanega ponudnika. Zaščita je nameščena v obrazcu.
- Samo nekateri obrazci imajo oznako. Seznam pokaže, katerim obrazcem manjka.
- Skripta ponudnika je naložena, a noben obrazec nima oznake. Stran naloži skripto ponudnika, vendar nobeden od njenih obrazcev ne vsebuje oznake. Ali in kateri obrazec skripta ščiti, brez izvajanja JavaScripta ni razvidno.
- V dostavljenem HTML ni bilo nič zaznano. Stran ima obrazce, vendar nobene oznake in nobene skripte znanega ponudnika.
- V dostavljenem HTML ni nobenega obrazca. Obrazce morda ustvari skripta v brskalniku, ki je preverjanje ne vidi.
Česa preverjanje ne vidi
Preverjanje prebere HTML, ki ga dostavlja vaš strežnik. Ne izvaja JavaScripta. Iz tega izhajajo štiri posledice, ki jih je dobro imeti v mislih.
- Obrazec ali pripomoček, ki ga skripta ustvari v brskalniku, za preverjanje ne obstaja. »Nič zaznano« zato pomeni »nič v dostavljenem HTML«, nikoli »nezaščiteno«.
- Ne more povedati, ali vaš strežnik odgovor preverja. Pripomoček v obrazcu brez preverjanja na strežniku nikogar ne ustavi.
- Zaščita, ki stoji pred stranjo, na primer požarni zid ali omejitev zahtevkov, v HTML ne pusti sledi.
- Strani za prijavo so nedosegljive, ker preverjanje prenaša le javne strani, brez piškotkov.
Resničen primer: naša lastna stran za registracijo
Ko smo preverjanje zagnali na naši lastni strani za registracijo, je prva različica sporočila dva ponudnika, katerih skripta naj bi bila »naložena«. Stran ne naloži nobenega. Vzrok so bili podatki same strani: vnos menija »Alternativa za hCaptcha.« je bil v vgrajeni skripti, preverjanje pa je besedo vzelo za kodo ponudnika. Pravilo smo spremenili tako, da se vgrajena skripta šteje le, kadar kliče ponudnika (klic render ali execute), in ista stran zdaj sporoča, da v dostavljenem HTML ni bilo nič zaznano. Izkušnja je razlog, zakaj preverjanje navaja le dejstva: beseda na strani ni ponudnik.
Kaj storiti z rezultatom
- Če je oznaka prisotna, preizkusite drugo polovico: obrazec pošljite od zunaj s pomanjkljivim ali napačnim odgovorom in poglejte, ali ga vaš strežnik zavrne. Oznaka samo kaže, da je pripomoček nameščen.
- Če je skripta ponudnika naložena brez oznake v obrazcu, poglejte, kako je pripomoček priključen. Številne postavitve ga dodajo v brskalniku, ko se stran naloži.
- Če ni bilo nič zaznano, ne sklepajte, da je obrazec odprt. Poglejte dnevnike strežnika in kaj dejansko prihaja ter preverite, ali zaščita deluje na strežniku ali pred stranjo.
- Če se odločite zamenjati vidni izziv, primerjajte možnosti na strani primerjava CAPTCHA in s kalkulatorjem konverzije poglejte, kaj vas vidni izziv stane.
Preverjanje je prvi pogled na dostavljeni HTML, ne revizija. Uporabite ga, da ugotovite, kaj vaša stran pove sama o sebi, ostalo pa preizkusite s pošiljanjem.