Інструкція

Перевірте форму на своєму сайті за адресою

Вставте адресу сторінки з формою. Перевірка один раз читає сторінку й показує, що завадить заявкам дійти, і як це виправити.

Коротко: Введіть публічну адресу сторінки й натисніть «Перевірити». Ви отримаєте конкретні проблеми для кожної форми, наприклад відсутній action, поля без name чи відсутній захист від спаму. На сайт нічого не надсилається.

Перевірте сторінку

Перевірка працює з будь-якою формою, не лише з Formgong. Вона безкоштовна, акаунт не потрібен. Перевірка дивиться на HTML, який надсилає сторінка, тому найкраще працює на опублікованому сайті.

Ми один раз читаємо сторінку й нічого на неї не надсилаємо.

Що шукає перевірка

  • Форму без action або action, де досі стоїть заглушка на кшталт YOUR_FORM_ID.
  • Action, що веде на localhost, приватну адресу чи невідомий хост.
  • Метод GET у контактній формі: повідомлення потрапляє в URL.
  • Поля без атрибута name. Браузер їх не надсилає.
  • Поле пошти без type="email" або взагалі без поля пошти.
  • Ні honeypot, ні CAPTCHA, тож ботів зі спамом ніщо не зупиняє.
  • Для форм Formgong: відсутній ключ доступу чи ключ-заглушка, ключ, якого не існує, і відсутнє honeypot-поле botcheck.

Чого вона не бачить

Перевірка читає HTML. JavaScript вона не запускає. Багато сайтів на React, Vue чи з AI-білдера створюють форму в браузері, тож у HTML форми ще немає. Тоді перевірка так і каже, замість того щоб вгадувати. Вона також не бачить, куди скрипт надсилає дані. Для таких сайтів надішліть одну тестову заявку або вставте код форми в промпт для свого інструмента.

Форми в iframe (Google Forms, Typeform і подібні) обробляє той сервіс, тож перевірка лише називає його.

Безпека й приватність

Перевірка надсилає на сторінку один GET-запит, з не більш як 3 переспрямуваннями, і ніколи не надсилає форму на сайт. Вона завантажує лише публічні адреси на звичайних вебпортах. Локальні, приватні й внутрішні адреси відхиляються ще до запиту, як і кожне переспрямування на них. Сторінки понад 512 КБ обрізаються, а повільні сайти зупиняються через 8 секунд.

Ми не зберігаємо ні сторінку, ні результат. Короткий лічильник дозволяє кожному відвідувачу кілька перевірок за 10 хвилин. Про ключ Formgong ми кажемо лише, чи існує форма. Більше подробиць, як-от дозволені домени й кнопка тесту, бачить тільки власник цієї форми, коли він увійшов в акаунт.

Після перевірки

Більшість проблем виправляє прохання до білдера перезібрати форму за чіткою специфікацією. Скористайтеся готовими промптами для Lovable, Bolt, v0, Cursor, Claude Code, Windsurf чи Replit. Для агента, який і далі редагує проєкт, додайте файл правил Formgong, щоб виправлення не зникло.

Запитання й відповіді

Чи надсилає перевірка тестову заявку на мій сайт?

Ні. Вона лише читає сторінку. Єдиний виняток: власник форми Formgong, який увійшов в акаунт, може надіслати одну тестову заявку у свою форму, і тільки в Formgong.

Чому перевірка каже, що форма зібрана на JavaScript?

Ваша сторінка надсилає мало HTML форми або зовсім нічого й будує форму в браузері. Перевірка не запускає скрипти, тож оцінити таку форму не може. Надішліть одну тестову заявку, щоб переконатися, що все працює.

Чи працює вона з формами не на Formgong?

Так. Усі загальні перевірки працюють для будь-якого бекенду форм. Лише перевірки ключа доступу стосуються Formgong.

Чи може вона перевірити сторінки за логіном?

Ні. Вона завантажує сторінку як відвідувач без входу, тож бачить лише публічні сторінки.

Джерела

Перевірено 04.10.2026 за офіційною довідкою та публічними сторінками: OWASP SSRF Prevention Cheat Sheet, MDN: <form>, Formgong /agents.md.

← Formgong