Допустимо използване и злоупотреби

Този документ е публикуван на няколко езика. В случай на несъответствие между езиковите версии меродавна е полската версия.

Версия 1.0 · Последна актуализация: 16 октомври 2026 г.

formexposed разглежда уебсайтове на трети страни и на верифицирани домейни изпраща тестови съобщения чрез формулярите за контакт. Подобен инструмент може да бъде обърнат и срещу други. Тази страница определя за какво служи formexposed, какво е забранено, как технически ограничаваме злоупотребите и какво се случва, ако някой наруши правилата. Тя се прилага за всеки, който използва formexposed: както за клиентите с акаунт, така и за посетителите, които използват безплатната проверка без акаунт.

Доставчик е LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Полша. За клиентите тази страница е част от договора: Общите условия я включват сред договорните документи. За безплатната проверка и другите свободно достъпни инструменти тя се прилага като част от правилата, които Общите условия установяват за тези инструменти. Ако тази страница противоречи на Общите условия, предимство имат Общите условия. Примерите („като“, „например“) илюстрират дадено правило; те нито го разширяват, нито го ограничават.

1. За какво служи formexposed

formexposed проверява дали даден формуляр за контакт е защитен от автоматизиран спам, дали работи надеждно и дали борави внимателно с данните. По-специално е разрешено:

• да проверявате и наблюдавате собствения си уебсайт или уебсайта на клиент и да използвате резултатите, за да го защитите;
• да използвате безплатната проверка без акаунт, за да получите първо впечатление само за четене от всеки публично достъпен уебсайт – така, както го вижда посетител;
• като агенция в плана Business – да възложите пасивна проверка на уебсайта на потенциален клиент и да предоставите констатациите на оператора по законосъобразен начин (вж. раздел 3.5);
• да споделяте доклади с хората, които отговарят за уебсайта или го поддържат;
• да използвате API, плъгина и разширенията в рамките на тяхната документация и лимити;
• да показвате значката на домейна, за който е издадена.

Критерият е прост: formexposed е предназначен да помага на операторите на уебсайтове да защитават собствените си формуляри. Всичко, което вреди на трета страна, която не е дала съгласието си за това, не е част от тази цел.

2. Какво formexposed умишлено не може да прави

За да бъде услугата безполезна като инструмент за атаки, сме я ограничили. Тези ограничения важат за всички потребители и не могат да бъдат отключени от потребителите:

• Без доказателство за контрол над домейн там не се изпраща нищо; единствените изключения са собствените тестови и демонстрационни домейни на formexposed, които проверяваме вътрешно. Безплатната проверка, проверката на потенциални клиенти и нашето проучване четат само това, което вижда посетителят.
• Дори на верифицирани домейни изпращаме само чрез разпознат общ формуляр за контакт – най-много пет обозначени тестови съобщения на проверка. Никога не изпращаме формуляри за поръчка, резервация, вход, регистрация, бюлетин, поддръжка, плащане или качване на файлове, формуляри със задължителни данни като телефонен номер или пощенски адрес, нито формуляри на уебсайтове, които по домейна или заглавието на страницата разпознаваме като публичен орган, съд, университет, училище или здравно заведение.
• Проверката за инжектиране в хедъри е чисто откриване: тестовата стойност никога не съдържа реален получател. Проверката за валидиране на имейл използва само адрес, завършващ на .invalid, който не може да съществува.
• Ние не решаваме CAPTCHA. На верифицирани домейни проверяваме само дали формулярът приема изпращане без CAPTCHA токен или с измислен такъв. Ако формулярът за вход за сканирането зад входа съдържа CAPTCHA, проверката спира.
• Краулерът заявява само публични адреси през обичайните уеб портове. Вътрешните мрежи, локалните адреси и другите портове са блокирани, включително при пренасочвания и вградено съдържание.
• Търсенето на открити файлове (например забравен конфигурационен файл) се извършва само за верифицирани домейни, тъй като заявяването на такива пътища на уебсайтове на трети страни представлява атака.

Тези ограничения описват как е изградена услугата. Скенерът разпознава дали даден формуляр е общ формуляр за контакт и дали уебсайтът принадлежи на някоя от изброените институции по характеристики на страницата като имена на полета, етикети, домейн и заглавие на страницата; в отделни случаи това разпознаване може да е погрешно. Следователно описанието не е гаранция към клиентите или трети страни, че даден формуляр никога няма да бъде обхванат. Всеки, който не желае уебсайтът му да бъде проверяван, може да го изключи чрез opt-out (раздел 6.1).

3. Какво е забранено

3.1 Сондиране или атакуване на уебсайтове на трети страни

• Използване на formexposed за откриване на уязвимости в уебсайтове на трети страни, за да бъдат след това атакувани, претоварени или експлоатирани – например умишлено заливане на незащитен формуляр със спам.
• Предаване на резултати, доклади или екранни снимки на уебсайт на трета страна на лица, които искат да ги използват за атака.
• Използване на услугата срещу уебсайтове, чийто оператор очевидно я е изключил, например чрез преминаване към друго изписване на домейна.

Всеки, който без разрешение шпионира или атакува чужди системи, може също да извърши престъпление (в Полша например по чл.267 до 269b от полския Наказателен кодекс (Kodeks karny), в Германия например по §§ 202a до 202d и § 303b StGB, германския Наказателен кодекс). Фактът, че информацията идва от доклад на formexposed, не променя нищо.

3.2 Заобикаляне на лимити и защитни механизми

• Заобикаляне на лимитите на безплатната проверка, например чрез много сесии в браузъра, смяна на IP адреси, проксита, VPN вериги или множество акаунти.
• Автоматизирано заявяване на безплатната проверка, проверката на хедъри или формуляра за opt-out. За автоматизация е предвиден API.
• Заобикаляне на reCAPTCHA, проверката на времето и другите защитни мерки на нашите собствени формуляри.
• Заобикаляне на лимитите на плана чрез разпределяне на използването между няколко безплатни акаунта.

3.3 Получаване на верификация чрез измама

• Верифициране на домейн, на който не сте нито оператор, нито упълномощен от оператора – дори ако технически имате достъп до DNS, сървъра или CMS, например като бивш доставчик на услуги, хостинг доставчик или служител.
• Предоставяне на доказателство чрез съдържание на трети лица, например чрез функция за коментари или зона за качване на файлове на уебсайт на трета страна, в която всеки може да пише.
• Оставяне на домейн в акаунта след прекратяване на правомощието. Когато ангажиментът приключи, клиентът премахва домейна.

Верификацията е входът към активните проверки. Всеки, който я получи чрез измама, кара formexposed да изпраща съобщения чрез чужд формуляр – това е най-сериозната злоупотреба, която услугата позволява, и ние я третираме като такава.

3.4 Злоупотреба с тестовите изпращания

• Използване на тестовите изпращания като канал за спам или известяване, например чрез верифициране на домейн, за да бъдат натоварени получателите му с тестови имейли.
• Стартиране на проверки на домейн, по-специално ръчни проверки, с цел да бъде натоварен получателят на имейлите от формуляра, а не да бъде проверен формулярът.
• Настройване на тестови изпращания за домейн, без да се гарантира, че хората, които получават и обработват имейлите от формуляра там (например търговски екип), знаят, че могат да пристигнат обозначени тестови съобщения.

3.5 Използване на проверката на потенциални клиенти за непоискана реклама

Проверката на потенциални клиенти позволява на агенция да възложи пасивна проверка на уебсайта на потенциален клиент. Ние не пишем на оператора; агенцията сама предава връзката. Как го прави, е нейна работа и нейна отговорност. Забранено е констатациите да се използват за реклама, която законът не допуска без предварително съгласие. Това включва по-специално:

• непоискани имейли с констатациите до дружества или лица, които не са дали съгласие (в Полша – чл. 398 от полския Закон за електронните съобщения (Prawo komunikacji elektronicznej, PKE); в Германия – § 7 UWG, германския Закон срещу нелоялната конкуренция – и в двете държави това се отнася и за търговци);
• непоискани рекламни обаждания, доколкото приложимото право изисква съгласие за тях;
• съобщения, които използват констатациите, за да оказват натиск, да всяват страх или да създават впечатление, че formexposed е проверил уебсайта от името на орган или на оператора.

Остава разрешено констатациите да бъдат показани на оператора в разговор, който той е поискал, и да му бъдат изпратени, ако той е дал съгласие да ги получи или ако правото, приложимо към контакта, изрично позволява изпращането им без съгласие. Агенцията сама проверява дали случаят е такъв; фактът, че тя работи с оператора по друг въпрос, сам по себе си не е достатъчен.

3.6 Злоупотреба с доклади, API, плъгин и значка

• Систематично събиране на доклади, отгатване или изпробване на адреси на доклади или извличане на доклади в големи количества с цел натрупване на данни за уебсайтове на трети страни.
• Публикуване на доклади за уебсайтове на трети страни с цел излагане на техните оператори.
• Предаване на API ключове, тайни ключове на плъгина или данни за достъп, заобикаляне на лимитите на API или използването му за домейни на трети страни.
• Променяне или имитиране на значката, показването ѝ на домейн, различен от този, за който е издадена, или използването ѝ, за да се твърди за сертифициране, което formexposed не предоставя. Значката показва „защитен“ само докато домейнът е верифициран, мониторингът работи и последната проверка е скорошна и благоприятна; в противен случай тя показва неутралното „Проверка на формуляра за контакт“. Самостоятелно изработена графика със същото твърдение заблуждава посетителите.
• Съхраняване на данни за достъп за сканирането зад входа за акаунт, който не е създаден специално като тестов акаунт, или за уебсайт на трета страна.

4. Как formexposed предотвратява и открива злоупотреби

Следните мерки са внедрени в кода. Не разкриваме точните прагове, тъй като те се променят и тъй като биха улеснили злоупотребите.

4.1 Безплатна проверка

• Авариен прекъсвач. Можем да спрем временно безплатната проверка по всяко време. Opt-out не се засяга и работи и по време на спирането.
• reCAPTCHA за проверката, проверката на хедъри и opt-out, с отделни прагове за всеки формуляр, както и капан и проверка на времето в тези формуляри.
• Лимити по IP адрес, по сесия и на ден. Приетите проверки се броят. Общ дневен лимит предпазва от вълни.
• Много домейни от един адрес. Всеки, който се опита да провери много различни домейни от един IP адрес за кратко време, бива блокиран. Тук се брои всеки опит, включително отхвърленият: това е типичният модел, по който някой използва formexposed, за да опипва чужди сайтове.
• Един домейн на седмица. Всеки, който въведе отново домейн в рамките на седмица, вижда съществуващия доклад; домейнът не се проверява отново.
• Много млади домейни и домейни, чиято възраст не може да бъде определена, не се проверяват без акаунт. Те често се регистрират с цел измама.
• Само публични цели. Име, което сочи към вътрешен или резервиран адрес, се отхвърля – преди задачата и отново при всяка отделна заявка на краулера.

4.2 Наблюдение

Записваме подозрителни модели – много домейни от един адрес, много заявки в рамките на няколко минути, много отхвърлени опити в една сесия, натрупване на opt-out заявки от една държава, достигане на дневния лимит – като аномалия. Нова аномалия задейства известие до нас, без домейн и без IP адрес; подробностите виждаме само в административната зона. Какви данни съхраняваме за целта и за колко време, е посочено в Политиката за поверителност.

4.3 Верификацията като вход

Активните проверки, мониторингът, сканирането зад входа, браузърните сценарии и търсенето на открити файлове се извършват за клиентите само за домейни, за които е предоставено доказателство за контрол: чрез DNS запис, мета таг, файл на сървъра или чрез плъгина. Преди всяка задача скенерът сам проверява отново дали домейнът е класифициран като верифициран; ако не е, активната проверка преминава към проверка само за четене, а браузърният сценарий не се изпълнява. Активните проверки могат да бъдат изключени и за цялата услуга.

4.4 Тестови изпращания

Всяко тестово изпращане е обозначено: в името на подателя „FormExposed Security Scanner“, в темата „[formexposed.com] Automated security test — no action required“ и в текста – с препратка към страницата за FormExposedBot, към opt-out и с идентификатора на сканирането. Езикът зависи от целевата страница (немски, английски или полски). При една проверка към един формуляр се изпращат най-много пет съобщения. Скенерът спира след този брой. Другите задължителни полета той попълва с „FormExposed security test“; отбелязва квадратчетата, без които формулярът не може да бъде изпратен, например за съгласие. Обозначаването показва, че зад него не стои човек и няма изявление на човек.

4.5 Краулерът

FormExposedBot се идентифицира със собствен user-agent, чете robots.txt преди всяка проверка и не извършва проверка, ако Disallow за него или за всички програми обхваща началната страница; понастоящем той не съобразява поотделно блокираните подпътища. Леките заявки без браузър, като пулса на формуляра или проверката на хедъри, не четат robots.txt. Той не проверява домейни от нашия списък за изключване (opt-out) или техния вариант с www, дори от името на плащащи клиенти с верифициран домейн; текущият им мониторинг приключва със следващата предстояща проверка. Подробности ще намерите на страницата за FormExposedBot.

5. Последици от нарушение

Реагираме съразмерно: избираме най-леката мярка, която спира нарушението и предотвратява по-нататъшни вреди за трети страни и за услугата, ограничаваме я до засегнатия акаунт, домейн или функция и я отменяме веднага щом основанието за нея отпадне. Възможните мерки са:

• прекъсване на отделни проверки и временно блокиране на IP адреси или сесии;
• премахване на домейн от акаунт, отнемане на верификацията му или вписването му в списъка за изключване;
• блокиране на отделни функции, като активните проверки, проверката на потенциални клиенти, API или значката;
• блокиране на акаунта и прекратяване на договора по важни причини, както е предвидено в Общите условия;
• предявяване на обезщетение за вреди в съответствие със законовите разпоредби и, доколкото е законово допустимо, уведомяване на засегнатите оператори на уебсайтове, правоприлагащите органи или CERT Polska, ако има конкретни индикации за престъпление или атака срещу трети страни.

Автоматичните лимити на безплатната проверка и на нашите собствени формуляри (раздел 4.1) не са мярка срещу конкретно лице. Те важат за всички по фиксирани правила и приключват с изтичането на съответния период или веднага щом разрешим дадена аномалия.

Предварително изслушване. Преди да блокираме акаунта, домейна или функция на клиент, да премахнем домейн от акаунта му, да отнемем верификацията му или да прекратим договора, уведомяваме клиента в текстова форма какво поведение възразяваме, на кое правило от тази страница или от Общите условия се позоваваме и каква мярка обмисляме. Клиентът може да изрази становище или да отстрани нарушението в рамките на седем дни; едва тогава вземаме решение. Преди прекратяване по важни причини вместо това се прилага по-дългият срок за отстраняване, предвиден за целта в Общите условия; блокирането поради неплащане се урежда единствено от Общите условия.

Спешни случаи. Действаме без предварително изслушване само ако изчакването би застрашило сериозно трети страни или услугата, по-специално когато има конкретни индикации за верификация, получена чрез измама, при проверки или тестови изпращания против изразената воля на оператора на уебсайта, при атака срещу трети страни чрез услугата, при сигнал, сочещ сериозно нарушение на закона чрез съдържание в клиентски портал или доклад с бял етикет, или ако орган, съд или законът изискват това. В такъв случай първоначално ограничаваме мярката до засегнатия домейн, функция или съдържание, уведомяваме клиента за нея с мотиви в текстова форма без излишно забавяне и най-късно на следващия работен ден, доколкото това не осуетява целта ѝ и не е забранено от закона, и провеждаме изслушването впоследствие.

Възражения. Всеки, който смята дадена мярка за неоснователна, включително без акаунт, може да възрази срещу нея в текстова форма на contact@lukaswojcik.com. Разглеждаме възражението и отговаряме в рамките на 14 дни, като излагаме мотиви; ако то е основателно, отменяме мярката незабавно. Процедурата по Жалби и съдебният ред остават открити. Ако ограничим съдържание на клиент след сигнал за незаконно съдържание, допълнително предоставяме изложение на мотивите съгласно чл. 17 от Регламент (ЕС) 2022/2065 (Акт за цифровите услуги, DSA) и посочваме тези средства за правна защита. Дали блокирането засяга задължението за плащане и кога е възможно прекратяване по важни причини, се урежда от Общите условия.

6. Ако сте засегнати

6.1 Не желаете formexposed да проверява уебсайта ви

Въведете домейна си на страницата Изключване на домейна ви или блокирайте FormExposedBot за началната страница във вашия robots.txt. И двете действат, без да е необходимо да се свързвате с нас, за всяка проверка, която започне след това. Текущият мониторинг в клиентски акаунт приключва със следващата предстояща проверка; дотогава все още могат да постъпват леки заявки като пулса на формуляра, а тези леки заявки не четат robots.txt. Ако искате и те да спрат по-рано, пишете ни също. Какво точно се изключва, е описано на страницата за opt-out.

6.2 Получили сте тестово съобщение, което не сте очаквали

Тестовите изпращания се извършват само към домейни, за които клиент е предоставил доказателство за контрол, и към собствените тестови и демонстрационни домейни на formexposed. Те се извършват по инициатива на този клиент. Ако не сте уредили това вие, може би вашата агенция, хостинг доставчикът ви или колега е добавил домейна – или някой е получил верификацията чрез измама. Най-бързият начин да спрете следващите тестови изпращания е да го направите сами чрез opt-out: тестови изпращания има само по време на проверка, а след вписването не започва нова проверка на домейна. Пишете ни също на contact@lukaswojcik.com и посочете идентификатора на сканирането от съобщението. Ще проверим кой е верифицирал домейна, ще впишем домейна в списъка за изключване до изясняване, ако вече не сте го направили, и ще поискаме от клиента да докаже правомощието си. Ще ви кажем кой го е верифицирал само доколкото законодателството за защита на данните позволява.

6.3 Подозирате, че някой използва formexposed срещу вас

Пишете на contact@lukaswojcik.com, по възможност с часа, домейна и – от дневниците на вашия сървър – заявките с user-agent на FormExposedBot. Можете да се свържете с нас и чрез страницата за контакт. Ще потвърдим получаването и ще ви кажем какво сме предприели. По същия начин можете да сигнализирате за незаконно съдържание в клиентски портал или доклад с бял етикет; какво трябва да съдържа такъв сигнал съгласно чл. 16 от DSA, е посочено в Изходни данниа. Там е посочено и нашето звено за контакт съгласно чл. 11 и 12 от DSA.

6.4 Открили сте уязвимост в сигурността на самия formexposed

Моля, съобщете за нея чрез нашата страница за докладване на уязвимости (също и на /.well-known/security.txt). Там е обяснено как обработваме докладите и какво обещаваме на изследователите. Моля, не извършвайте тестове на уебсайтове на трети страни в този процес, включително чрез formexposed.

7. Сътрудничество с органите

Сътрудничим с правоприлагащите органи, надзорните органи и структури като CERT Polska, когато става дума за злоупотреба с услугата или атаки срещу трети страни. Предоставяме данни само ако има правно основание, искащият орган е компетентен и искането е в предписаната форма. Разглеждаме всяко искане поотделно и предоставяме само това, което то действително изисква. Уведомяваме засегнатите клиенти, освен ако законът или органът не забраняват това.

Не съхраняваме повече, за да можем да предоставяме информация на органите, отколкото е необходимо за работата на услугата и защитата от злоупотреби. Това, което е изтрито след изтичането на сроковете, посочени в Политиката за поверителност, не можем и да предоставим.

8. Промени

Актуализираме тази страница, когато услугата или моделите на злоупотреба се променят. За клиентите се прилагат правилата за промени в Общите условия; новите забрани и по-строгите последици се прилагат за тях едва след тази процедура. Оценяваме поведението според версията, действаща към момента на поведението. Въпроси относно тази страница: contact@lukaswojcik.com.