Проверка небезопасных форм

Что делает проверка небезопасных форм

Инструмент сканирует HTTPS-страницу на наличие форм и выявляет те, чей action указывает на небезопасный HTTP-адрес. Он сообщает о формах, которые отправляли бы пользовательский ввод по обычному HTTP, что подрывает безопасность страницы.

Атрибут action формы определяет, куда отправляются данные. Если HTTPS-страница содержит форму, отправляющую данные на http://, данные передаются незашифрованными после нажатия пользователем кнопки отправки. Это может раскрыть конфиденциальную информацию для перехвата.

Почему небезопасные формы важны

Пользователи доверяют HTTPS-страницам свои персональные данные. Если форма отправляет данные на небезопасный эндпоинт, это доверие не оправдано. Злоумышленники в той же сети потенциально могут прочитать или изменить отправленные данные, включая учётные данные, контактные данные или платёжную информацию.

Браузеры всё чаще предупреждают о небезопасной отправке форм и смешанном контенте. Помимо безопасности, небезопасный action может вызывать предупреждения, которые подрывают доверие и заставляют пользователей отказаться от формы. Это также может влиять на то, как страницу обрабатывают инструменты и аудиты, ориентированные на безопасность.

Как интерпретировать результат

Инструмент сообщает найденные небезопасные формы. Каждая из них указывает на HTTP-адрес, а не HTTPS. Проверьте находку в исходном коде страницы, изучив атрибут action формы. Если action относительный, он наследует протокол страницы и обычно безопасен на HTTPS-странице; проблема — в явном http:// назначении.

Некоторые формы могут быть намеренно внешними, например сторонний сервис, поддерживающий только HTTP. Это не делает отправку безопасной; это означает, что интеграцию нужно пересмотреть. В большинстве случаев правильное исправление — изменить action на HTTPS-эндпоинт, в идеале на том же сайте.

Частые причины

• Жёстко заданные HTTP URL. Legacy-шаблоны, существовавшие до перехода на HTTPS.
• Сторонние интеграции. Внешние обработчики форм, использующие небезопасные эндпоинты.
• Смешанный контент в скриптах. JavaScript, формирующий URL отправки с http://.
• Устаревшая конфигурация. Настройки, не обновлённые после включения HTTPS.

Практический сценарий

Просмотрите сообщённые формы и подтвердите каждый action в исходном коде. Обновите внутренние эндпоинты до HTTPS. Для сторонних обработчиков проверьте, доступен ли безопасный эндпоинт, и мигрируйте. После изменений протестируйте форму от начала до конца и повторно запустите проверку, чтобы подтвердить исправление.

Ограничения

Проверка изучает элементы form в HTML-ответе. Формы, созданные или изменённые клиентскими скриптами, могут не обнаруживаться, а безопасный URL action не гарантирует, что сервер назначения правильно настроен.