Перевірте сторінку
Перевірка працює з будь-якою формою, не лише з Formgong. Вона безкоштовна, акаунт не потрібен. Перевірка дивиться на HTML, який надсилає сторінка, тому найкраще працює на опублікованому сайті.
У цієї форми немає action. Якщо її не надсилає скрипт, браузер відправляє її назад на цю сторінку, і нічого не доставляється. Вкажіть свій бекенд форм, наприклад за допомогою промпта для свого білдера.
У цієї форми немає action, але її атрибути свідчать, що її надсилає скрипт. Перевірка не бачить, куди скрипт надсилає дані. Надішліть одну тестову заявку й перевірте, що вона дійшла.
Action «{action}» — це не вебадреса, тож форму не можна надіслати.
Action «{action}» схожий на заглушку, яку так і не замінили. Вкажіть там справжню адресу. Для Formgong це https://formgong.com/submit плюс ваш ключ доступу.
Форма надсилає дані на {host} — локальну чи приватну адресу. Це працює лише на комп'ютері розробника, а заявки відвідувачів нікуди не йдуть. Використайте публічну адресу.
Форма надсилає дані звичайним http на {host} зі сторінки https. Браузери попереджають про це або блокують. Використайте https.
Форма надсилає дані на {host}. Ми не знаємо такого сервісу форм. Це може бути нормально, але переконайтеся, що він ваш і досі працює.
Форма використовує метод GET, тож повідомлення потрапляє в URL, історію браузера й логи сервера. Використайте method="POST".
У форми немає method, тож браузер використовує GET і кладе повідомлення в URL. Додайте method="POST".
Полів без атрибута name: {count}. Браузер їх не надсилає: {fields}. Додайте name кожному полю.
Немає поля пошти, тож ви не зможете відповісти відвідувачу. Додайте <input type="email" name="email">.
Поле пошти «{field}» не має type="email". Телефони показують не ту клавіатуру, а браузери не перевіряють адресу. Використайте type="email".
Захисту від спаму не знайдено: ні honeypot-поля, ні CAPTCHA. Контактні форми отримують спам від ботів уже за кілька днів. Додайте приховане honeypot-поле (у Formgong це botcheck) або Turnstile. Див. промпти.
Ця форма надсилає дані в Formgong, але на {path}. Правильна адреса — /submit.
Ця форма надсилає дані в Formgong, але не має поля access_key, тож кожна заявка відхиляється. Додайте <input type="hidden" name="access_key" value="fk_…">.
Схоже на форму Formgong без action. Можливо, ключ додає й надсилає скрипт, а перевірка цього не бачить. Надішліть одну тестову заявку, щоб переконатися.
Ключ доступу «{key}» — заглушка або має хибний формат. Скопіюйте справжній ключ із кабінету.
Немає honeypot-поля botcheck. Formgong усе одно фільтрує спам, але honeypot зупиняє більшість простих ботів. Поверніть його (див. промпти).
У формі є поле для файлу, але немає enctype="multipart/form-data", тож файли не надсилаються.
У цій формі багато полів; перевірено лише перші 120.
У HTML цієї форми проблем не знайдено.
За адресою немає HTML-сторінки, тож перевіряти нічого.
Сторінка відповіла кодом HTTP {status}. Перевірте адресу: можливо, це сторінка помилки.
Сторінка більша за 512 КБ, тож перевірено лише перші 512 КБ.
Сторінка показує форму іншого сервісу в iframe ({hosts}). Перевірка не може зазирнути всередину; заявки обробляє той сервіс.
Знайдено поля форми поза елементом form: {count}. Імовірно, форму будує й надсилає JavaScript, який перевірка не запускає. Надішліть тестову заявку або вставте свій код у промпт для білдера.
Ця сторінка схожа на застосунок на JavaScript (React, Vue чи подібне). Форма з'являється лише після запуску скриптів, а перевірка читає тільки HTML, тож не може сказати, чи форма працює. Надішліть тестову заявку, щоб переконатися.
Форми знайдено, але жодна не схожа на контактну. Форми пошуку й входу пропускаємо.
У HTML цієї сторінки форм не знайдено.
На сторінці понад 20 форм; перевірено лише перші 20.
На сторінці підключено скрипт Formgong fg.js.
Введіть повну адресу, наприклад https://example.com/contact.
Адреса задовга.
Перевірити можна лише адреси http і https.
Приберіть з адреси ім'я користувача й пароль.
Перевірити можна лише стандартні вебпорти (80 і 443).
Цю адресу не можна перевірити (локальне чи внутрішнє ім'я або сам Formgong).
Ця адреса в приватній чи локальній мережі, тож ми її не завантажуємо.
Не вдалося знайти цей домен. Перевірте написання.
Цей домен веде в приватну чи локальну мережу, тож ми його не завантажуємо.
Сторінка переспрямувала понад 3 рази, тож ми зупинилися.
Сторінка надіслала зламане переспрямування.
Сайт не відповів за 8 секунд.
Не вдалося завантажити сторінку.
Забагато перевірок. Зачекайте кілька хвилин.
Спершу пройдіть перевірку безпеки.
Перевірка безпеки не пройшла. Спробуйте ще раз.
Перевірка зараз недоступна. Спробуйте пізніше.
Запит заблоковано. Оновіть сторінку й спробуйте ще раз.
Щось пішло не так. Спробуйте ще раз.
Результат для {url}
Переспрямувань: {n}
Форма {label}
На цій сторінці немає форм для перевірки.
Надсилає на: {target}
цю саму сторінку
контактна форма
форма пошуку
форма входу
форма підписки
форма
Проблема
Увага
Примітка
OK
Ключ Formgong {key}: форма існує й приймає заявки.
Ключ Formgong {key}: форми з таким ключем немає, тож кожна заявка буде відхилена (unknown_access_key).
Це ваша форма «{name}».
Домену цієї сторінки немає серед дозволених доменів форми, тож заявки звідси відхиляються. Змініть це в налаштуваннях форми.
Домен цієї сторінки дозволений для форми.
Для цієї форми ввімкнено Turnstile, але на сторінці немає віджета Turnstile, тож заявки не пройдуть.
Надіслати тестову заявку в мою форму
Надсилаємо…
Тестову заявку надіслано. Перевірте пошту й кабінет.
Тест не прийнято ({code}).
Ця форма вимагає Turnstile, тож надішліть тест із самої сторінки.
Увійдіть як власник форми, щоб надіслати звідси тестову заявку.
Що шукає перевірка
- Форму без action або action, де досі стоїть заглушка на кшталт YOUR_FORM_ID.
- Action, що веде на localhost, приватну адресу чи невідомий хост.
- Метод GET у контактній формі: повідомлення потрапляє в URL.
- Поля без атрибута name. Браузер їх не надсилає.
- Поле пошти без type="email" або взагалі без поля пошти.
- Ні honeypot, ні CAPTCHA, тож ботів зі спамом ніщо не зупиняє.
- Для форм Formgong: відсутній ключ доступу чи ключ-заглушка, ключ, якого не існує, і відсутнє honeypot-поле botcheck.
Чого вона не бачить
Перевірка читає HTML. JavaScript вона не запускає. Багато сайтів на React, Vue чи з AI-білдера створюють форму в браузері, тож у HTML форми ще немає. Тоді перевірка так і каже, замість того щоб вгадувати. Вона також не бачить, куди скрипт надсилає дані. Для таких сайтів надішліть одну тестову заявку або вставте код форми в промпт для свого інструмента.
Форми в iframe (Google Forms, Typeform і подібні) обробляє той сервіс, тож перевірка лише називає його.
Безпека й приватність
Перевірка надсилає на сторінку один GET-запит, з не більш як 3 переспрямуваннями, і ніколи не надсилає форму на сайт. Вона завантажує лише публічні адреси на звичайних вебпортах. Локальні, приватні й внутрішні адреси відхиляються ще до запиту, як і кожне переспрямування на них. Сторінки понад 512 КБ обрізаються, а повільні сайти зупиняються через 8 секунд.
Ми не зберігаємо ні сторінку, ні результат. Короткий лічильник дозволяє кожному відвідувачу кілька перевірок за 10 хвилин. Про ключ Formgong ми кажемо лише, чи існує форма. Більше подробиць, як-от дозволені домени й кнопка тесту, бачить тільки власник цієї форми, коли він увійшов в акаунт.
Після перевірки
Більшість проблем виправляє прохання до білдера перезібрати форму за чіткою специфікацією. Скористайтеся готовими промптами для Lovable, Bolt, v0, Cursor, Claude Code, Windsurf чи Replit. Для агента, який і далі редагує проєкт, додайте файл правил Formgong, щоб виправлення не зникло.
Запитання й відповіді
Чи надсилає перевірка тестову заявку на мій сайт?
Ні. Вона лише читає сторінку. Єдиний виняток: власник форми Formgong, який увійшов в акаунт, може надіслати одну тестову заявку у свою форму, і тільки в Formgong.
Чому перевірка каже, що форма зібрана на JavaScript?
Ваша сторінка надсилає мало HTML форми або зовсім нічого й будує форму в браузері. Перевірка не запускає скрипти, тож оцінити таку форму не може. Надішліть одну тестову заявку, щоб переконатися, що все працює.
Чи працює вона з формами не на Formgong?
Так. Усі загальні перевірки працюють для будь-якого бекенду форм. Лише перевірки ключа доступу стосуються Formgong.
Чи може вона перевірити сторінки за логіном?
Ні. Вона завантажує сторінку як відвідувач без входу, тож бачить лише публічні сторінки.
Джерела
Перевірено 04.10.2026 за офіційною довідкою та публічними сторінками: OWASP SSRF Prevention Cheat Sheet, MDN: <form>, Formgong /agents.md.