За FormExposedBot

Последна актуализация: 16 октомври 2026 г.

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Токен в robots.txt: FormExposedBot

Какво е FormExposedBot

FormExposedBot е роботът (crawler) на formexposed. formexposed проверява дали формите за контакт са защитени срещу автоматизиран спам и работят надеждно. Ако сте открили този user-agent в логовете на сървъра си, някой е стартирал проверка на Вашия уебсайт:

• посетител на formexposed, въвел Вашия домейн в безплатната проверка – без акаунт, само за четене;
• клиент, който има Вашия домейн в акаунта си и заявява, че управлява или поддържа уебсайта, или някой, който е инсталирал нашия плъгин на Вашия уебсайт;
• агенция, която проверява Вашия уебсайт като потенциален клиент, само за четене;
• самите ние, за проучване, от което публикуваме само обобщени данни без имена на уебсайтове;
• някой, въвел началната Ви страница в нашата безплатна проверка на хедърите (само хедъри, без браузър).

При поискване ще Ви кажем от кой от тези видове е била дадена проверка; кой я е стартирал – само доколкото законодателството за защита на данните позволява. При това действаме по инициатива на това лице; за домейни, за които клиент е доказал контрол, от името на този клиент.

Какво се случва по време на проверка

• Преди проверката ботът прочита Вашия robots.txt (вж. по-долу).
• Зарежда началната Ви страница и до седем други страници на същия хост (със или без www., без други поддомейни), общо най-много осем. С предимство са страниците с думи като контакт, импресум или поддръжка. Пропуска страници за вход, акаунт, количка и плащане, фийдове, PDF файлове и изображения.
• Използва истински headless браузър с включен JavaScript и зарежда страниците една след друга, не паралелно. Една страница може да отнеме най-много 20 секунди; след около три минути проверката спира.
• Прочита формите: имена и типове на полетата, етикети, задължителни полета, вградени CAPTCHA, скрити капани, токени и хедъри. При тази проверка само за четене не въвежда нищо.
• За най-много три страници с форма зарежда страницата втори път и щраква „Отхвърляне“ в банера за бисквитки – никога „Приемане“. Така виждаме дали формата продължава да работи след отказ.
• За най-много три страници с форма зарежда страницата в изглед за телефон, без да щраква. User-agent остава същият; не се представяме за смартфон.
• Определя вида на формата с правила, а когато те не са достатъчни – с езиков модел, работещ на собствения ни сървър. При това нищо не напуска нашите сървъри.

Без доказателство за контрол над домейна (по-долу) FormExposedBot извлича само страници, публично достъпни без вход, и не изпраща нищо. Не заобикаля никаква защита на достъпа, не налучква данни за вход и не решава CAPTCHA. Всичко отвъд това – тестови заявки, търсене на открити файлове и проверка зад вход с тестов акаунт – се извършва само за домейни с такова доказателство или за собствените тестови и демонстрационни домейни на formexposed.

Чрез безплатната проверка на нашия уебсайт проверяваме един и същ домейн най-много веднъж на седем дни; който го въведе отново, вижда съществуващия доклад. Клиентите могат да проверяват ръчно домейните в акаунта си, с време на изчакване; домейните с доказан контрол се проверяват и редовно с честотата на съответния план, пълна проверка – най-много веднъж дневно. Леките заявки без браузър (по-долу) идват по-често.

Тестови заявки само за потвърдени домейни

Нещо се изпраща само ако клиент е доказал, че има право да контролира домейна (DNS запис, мета таг, файл или плъгин); без такова доказателство активно проверяваме само собствените си тестови и демонстрационни домейни. Дори тогава:

• само една форма на проверка и само такава, която е надеждно разпозната като обща форма за контакт; езиковият модел никога не може да разреши изпращане на форма;
• най-много пет изпращания на проверка, например без отговор на CAPTCHA, с попълнено поле-капан или с променен токен;
• никога форми за поръчка, резервация, вход, регистрация, бюлетин, поддръжка, плащане или качване на файлове, никога форми със задължителни полета за телефон, пощенски адрес или данни за фирма, никога уебсайтове, които по домейна или заглавието на страницата разпознаваме като публичен орган, съд, университет, училище или здравно заведение.

Ботът разпознава вида на формата и вида на уебсайта по характеристики на страницата; в отделни случаи това разпознаване може да е погрешно. Списъкът описва как е изграден ботът и не е гаранция. Ако не желаете тестови заявки, изключете домейна (по-долу): тогава няма да започва проверка, при която би могло да се изпрати нещо.

Всяко изпращане е обозначено. Име на подателя „FormExposed Security Scanner“, адрес на подателя dummy@formexposed.com, тема „[formexposed.com] Automated security test — no action required“. Текстът е на езика на Вашата страница (немски, английски или полски); на английски:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

Изречението „No data was stored“ (Не са съхранени данни) е твърде общо. Вярното е: при това не съхраняваме нищо от Вашите посетители или от Вашата пощенска кутия. За да оценим теста обаче, съхраняваме отговора на Вашия сървър на изпращането, а именно кода на състоянието, първите 300 знака от страницата с отговора и екранна снимка на нея (вж. „Какво се съхранява“).

Ботът попълва другите задължителни полета с „FormExposed security test“. Отмята квадратчета, без които формата не може да бъде изпратена, например за съгласие. Обозначението показва, че зад това няма човек и няма изявление на човек.

Проверката за инжектиране на хедъри вмъква само безобиден хедър X-FormExposed-Injection-Test, никога получател. Проверката на валидирането на адреси използва адрес под .invalid, който не може да съществува.

Допълнителни заявки за клиенти

За потвърдени домейни в клиентски акаунт по искане на клиента се добавят:

• Сценарии в браузър: браузър (Chromium или WebKit) отваря избрана от клиента страница с форма в размер на телефон и проверява дали формата се показва и може да се използва до бутона за изпращане; за целта попълва задължителните полета с тестови стойности, които не напускат браузъра. Изпраща само GET и HEAD заявки; изпращането е технически блокирано.
• Сканиране зад вход: само с тестов акаунт, създаден от самия оператор на уебсайта, най-много пет страници, без изпращане, без екранни снимки, никога адреси за изход, изтриване или анулиране. Ако входът е защитен с CAPTCHA, ботът спира.
• Леки заявки без браузър: пулс на формите (до три страници с форми, на всеки 10, 15 или 30 минути според плана), проверка на доказателството за контрол, проверка на хедърите и търсене на открити файлове. Те използват същия user-agent с добавка като pulse, ownership-verification, headers или exposed-files.

Освен това всеки може да поиска извличане на хедърите на началната Ви страница чрез нашата безплатна проверка на хедърите: по една заявка чрез https и http към началната Ви страница, плюс евентуални пренасочвания в рамките на Вашия домейн, без браузър и без форма.

Какво се съхранява

Само това, което описва констатацията: адреси и заглавия на проверените страници, структурата на формите (имена на полета, типове, етикети и други подобни, без стойности на полетата; началото на предварително попълнени скрити полета до 24 знака и на атрибути data- до 60 знака ботът чете само по време на проверката и не ги съхранява), установените защитни мерки, хедъри, хостовете на вградените услуги, контролни суми на скриптовете (не тяхното съдържание; за вградените скриптове и първите 80 знака, като идентификаторите са направени неразпознаваеми), имената на зададените бисквитки, екранни снимки на видимата област на началната страница и на формите, а след тестово изпращане – и на страницата с отговора; от този отговор също кода на състоянието и първите 300 знака. Тези екранни снимки от проверката не се редактират; те показват това, което се вижда на публичната страница. Само сценариите в браузър създават малко изображение на формата с покрити полета за въвеждане. Ако форма съдържа адрес на получател, съхраняваме само неговия домейн.

Откъде идват заявките

FormExposedBot работи на собствените ни сървъри в Полша. Не публикуваме IP адресите, защото могат да се променят. Ако искате да разберете дали дадена заявка наистина е от нас, пишете ни с часа и IP адреса от Вашия лог; ще Ви кажем дали е от нас. За кръстосана проверка преди предупреждение за срив може да се добави второ местоположение при друг доставчик; то също използва user-agent FormExposedBot.

Как да изключите домейна си

robots.txt:

User-agent: FormExposedBot
Disallow: /

Ботът първо търси във Вашия robots.txt група за FormExposedBot, а иначе групата за всички (*). Ако Disallow обхваща началната страница, проверка не се извършва. Ако сървърът Ви отговори на заявката за robots.txt със сървърна грешка или изобщо не отговори, по предпазливост също не проверяваме; ако файлът липсва (404), уебсайтът се третира като разрешен. Понастоящем не оценяваме отделно блокирани поддиректории – ако изобщо не желаете да бъдете проверявани, блокирайте началната страница. Леките заявки без браузър и проверката на хедърите не четат robots.txt.

Opt-out: въведете домейна си на страницата Изключване на домейна. Изключването важи за домейна и неговия вариант с www., но не и за други поддомейни. То действа за всяка проверка, започнала след въвеждането, за постоянно, включително спрямо плащащи клиенти с потвърден домейн, и обхваща също проверката на хедърите. Текущото наблюдение в клиентски акаунт приключва със следващата предстояща проверка; дотогава все още могат да идват леки заявки като пулса на формите. Ако искате и те да спрат по-рано, пишете ни.

Защита на данните

Администратор е LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Полша, contact@lukaswojcik.com. Когато клиент проверява собствения си домейн, действаме от негово име.

• Данни и източник: събираме лични данни само доколкото те се появяват на проверените страници на Вашия уебсайт и станат видими в адрес на страница, заглавие на страница, етикет на форма или екранна снимка, като например име в импресума или до формата. Източникът е Вашият уебсайт. Не търсим такива данни.
• Цел и правно основание: проверки на сигурността на форми; за безплатната проверка, проверката на потенциални клиенти и проучването – въз основа на нашия законен интерес и интереса на нашите потребители (чл. 6(1)(f) ОРЗД).
• Получатели: лицето, което е стартирало доклада или разполага с връзката към него – връзката отваря доклада без вход; за домейни в клиентски акаунт и избраните от клиента канали за предупреждения; от проучването – само обобщени данни. Не се използва външна услуга с ИИ.
• Срок на съхранение: доклад без акаунт 30 дни, проверка на потенциални клиенти 90 дни, проверки в клиентски акаунт до 13 месеца, последният резултат за всеки домейн – докато домейнът съществува, проучването – до публикуването му.
• Вашите права: достъп, коригиране, изтриване, ограничаване и възражение съгласно чл. 21 ОРЗД – най-бързо чрез opt-out – както и правото на жалба до надзорен орган, за нас Председателят на Службата за защита на личните данни (Prezes Urzędu Ochrony Danych Osobowych) във Варшава.

Всичко останало ще намерите в Политиката за поверителност. Как постъпваме при злоупотреба, е описано в Допустима употреба и злоупотреба.

Контакт

Въпроси или оплаквания: contact@lukaswojcik.com или чрез страницата за контакт. Моля, посочете домейна си и, ако е налице, идентификатора на сканирането или връзката към доклада. Моля, съобщавайте за уязвимости в сигурността на самия formexposed чрез нашата страница за докладване на уязвимости.