Ett formulär utan skydd samlar på sig spam, och ett formulär med ett skydd som inte gör något samlar på sig samma spam medan du känner dig trygg. Den kostnadsfria kontrollen av formulärskydd svarar på den första halvan av frågan: vilket botskydd levererar sidan? Den här artikeln förklarar hur du läser resultatet och var svaret tar slut.
Vad kontrollen gör
Du anger adressen till en sida med ett formulär. Kontrollen läser först webbplatsens robots.txt; om den förbjuder hämtningen, eller inte går att läsa, stannar kontrollen där. Annars hämtar den just den sidan, med ett tydligt namn (SilentShieldFormCheck), utan cookies, med högst tre omdirigeringar och högst 1 MB. Därefter letar den i HTML efter kända leverantörers kännetecken: skriptadresser, elementklasser och fältnamn. Den känner till Google reCAPTCHA, hCaptcha, Cloudflare Turnstile, Friendly Captcha och SilentShield. Ingenting sparas, varken adressen eller resultatet.
De fem resultaten
- Varje formulär har ett kännetecken. I varje formulär som hittats innehåller HTML en känd leverantörs kännetecken. Skyddet är placerat i formuläret.
- Bara vissa formulär har ett kännetecken. Listan visar vilka formulär som saknar det.
- Ett leverantörsskript laddas, men inget formulär har ett kännetecken. Sidan laddar en leverantörs skript, men inget av dess formulär innehåller något kännetecken. Om skriptet skyddar något formulär, och i så fall vilket, syns inte utan att köra JavaScript.
- Inget upptäckt i den levererade HTML:en. Sidan har formulär, men inget kännetecken och inget skript från en känd leverantör.
- Inget formulär i den levererade HTML:en. Formulären kan skapas av ett skript i webbläsaren, vilket kontrollen inte ser.
Vad kontrollen inte kan se
Kontrollen läser den HTML som din server levererar. Den kör inte JavaScript. Det får fyra följder som du bör ha i åtanke.
- Ett formulär eller en widget som ett skript skapar i webbläsaren finns inte för kontrollen. ”Inget upptäckt” betyder därför ”inget i den levererade HTML:en”, aldrig ”oskyddat”.
- Den kan inte avgöra om din server kontrollerar svaret. En widget i formuläret utan kontroll på servern stoppar ingen.
- Skydd som sitter framför sidan, till exempel en brandvägg eller en begränsning av antalet anrop, lämnar inga spår i HTML.
- Sidor bakom en inloggning är utom räckhåll, eftersom kontrollen bara hämtar offentliga sidor, utan cookies.
Ett verkligt exempel: vår egen registreringssida
När vi körde kontrollen mot vår egen registreringssida rapporterade den första versionen två leverantörer vars skript var ”laddat”. Sidan laddar ingen av dem. Orsaken låg i sidans egna data: en menypost med texten ”Alternativ till hCaptcha.” fanns i ett inbäddat skript, och kontrollen tog ordet för en leverantörs kod. Vi ändrade regeln så att ett inbäddat skript bara räknas när det anropar en leverantör (ett render- eller execute-anrop), och samma sida rapporterar nu att inget upptäcktes i den levererade HTML:en. Lärdomen är anledningen till att kontrollen bara anger fakta: ett ord på en sida är inte en leverantör.
Vad du gör med resultatet
- Om ett kännetecken finns, testa den andra halvan: skicka formuläret utifrån med svaret utelämnat eller felaktigt och se om din server avvisar det. Ett kännetecken visar bara att en widget är placerad.
- Om ett leverantörsskript laddas utan kännetecken i formuläret, titta på hur widgeten kopplas in. Många upplägg lägger till den i webbläsaren efter att sidan har laddats.
- Om inget upptäcktes, dra inte slutsatsen att formuläret är öppet. Titta i serverloggarna och på vad som faktiskt kommer in, och kontrollera om skyddet körs på servern eller framför sidan.
- Om du bestämmer dig för att byta ut en synlig utmaning, jämför alternativen på sidan CAPTCHA-jämförelse och se vad en synlig utmaning kostar dig med konverteringskalkylatorn.
Kontrollen är en första titt på den levererade HTML:en, inte en granskning. Använd den för att ta reda på vad din sida säger om sig själv, och testa resten genom att skicka in.