Sobre FormExposedBot

Última actualització: 16 d'octubre de 2026

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Identificador al robots.txt: FormExposedBot

Què és FormExposedBot

FormExposedBot és el rastrejador de formexposed. formexposed comprova si els formularis de contacte estan protegits contra missatges brossa automatitzats i funcionen de manera fiable. Si ha trobat aquest user-agent als registres del seu servidor, algú ha iniciat una comprovació del seu lloc web:

• un visitant de formexposed que ha introduït el seu domini a la comprovació gratuïta, sense compte i només de lectura;
• un client que té el seu domini al compte i declara que explota el lloc web o se n'ocupa, o algú que ha instal·lat el nostre connector al seu lloc web;
• una agència que fa comprovar el seu lloc web, només en mode de lectura, com a client potencial;
• nosaltres mateixos, per a un estudi del qual només publiquem xifres agregades sense els noms dels llocs web;
• algú que ha introduït la seva pàgina d'inici a la nostra comprovació gratuïta de capçaleres (només capçaleres, sense navegador).

A petició, li indicarem a quin d'aquests tipus pertanyia una comprovació; qui l'ha iniciada, només en la mesura que la normativa de protecció de dades ho permeti. En fer-ho, actuem a instàncies d'aquesta persona; per als dominis dels quals un client ha facilitat l'acreditació del control, actuem per compte d'aquest client.

Què passa durant una comprovació

• Abans de la comprovació, el bot llegeix el seu robots.txt (vegi més avall).
• Carrega la seva pàgina d'inici i fins a set pàgines més del mateix amfitrió (amb www. o sense, sense altres subdominis), com a màxim vuit en total. Les pàgines amb paraules com ara contacte, dades del prestador o suport tenen prioritat. Omet les pàgines d'inici de sessió, de compte, de cistella i de pagament, els canals de contingut, els PDF i les imatges.
• Utilitza un navegador real sense interfície gràfica amb JavaScript activat i carrega les pàgines una rere l'altra, no en paral·lel. Una pàgina pot trigar com a màxim 20 segons; al cap d'uns tres minuts, la comprovació s'atura.
• Llegeix els formularis: noms i tipus dels camps, etiquetes, camps obligatoris, CAPTCHA incrustats, trampes ocultes, testimonis i capçaleres. Durant aquesta comprovació només de lectura no introdueix res.
• Per a un màxim de tres pàgines amb un formulari, carrega la pàgina per segona vegada i fa clic a «Rebutjar» al bàner de galetes, mai a «Acceptar». Això ens mostra si el formulari continua funcionant després del rebuig.
• Per a un màxim de tres pàgines amb un formulari, carrega la pàgina a la vista de telèfon sense fer clic. El user-agent continua sent el mateix; no ens fem passar per un telèfon intel·ligent.
• Determina el tipus d'un formulari mitjançant regles i, quan no són suficients, mitjançant un model de llenguatge que s'executa al nostre propi servidor. Durant aquest procés, res no surt dels nostres servidors.

Sense acreditació del control del domini (més avall), FormExposedBot només recupera pàgines accessibles públicament sense iniciar sessió i no envia res. No eludeix cap protecció d'accés, no intenta endevinar credencials d'inici de sessió i no resol CAPTCHA. Tot el que va més enllà —enviaments de prova, cerca de fitxers exposats i comprovació que requereix iniciar sessió amb un compte de prova— només es fa per a dominis amb aquesta acreditació o per als dominis de prova i de demostració propis de formexposed.

Mitjançant la comprovació gratuïta del nostre lloc web, comprovem el mateix domini com a màxim una vegada cada set dies; qui el torna a introduir veu l'informe existent. Els clients poden fer comprovar manualment els dominis del seu compte, amb un temps d'espera; els dominis amb acreditació del control també es comproven periòdicament amb la freqüència del seu pla, amb una comprovació completa com a màxim una vegada al dia. Les sol·licituds lleugeres fetes sense navegador (més avall) són més freqüents.

Enviaments de prova només per a dominis verificats

Per als clients, només s'envia alguna cosa si un client ha acreditat que té dret a controlar el domini (registre DNS, metaetiqueta, fitxer o connector); sense aquesta acreditació, només comprovem activament els nostres propis dominis de prova i de demostració. Fins i tot en aquest cas:

• només un formulari per comprovació, i només un que s'hagi identificat de manera fiable com a formulari de contacte general; el model de llenguatge no pot autoritzar mai l'enviament d'un formulari;
• com a màxim cinc enviaments per comprovació, per exemple sense resposta de CAPTCHA, amb el camp trampa emplenat o amb un testimoni modificat;
• mai formularis de comanda, de reserva, d'inici de sessió, de registre, de butlletí, de suport, de pagament o de pujada de fitxers, mai formularis amb camps obligatoris de telèfon, adreça postal o dades d'empresa, mai llocs web que reconeguem pel domini o pel títol de la pàgina com a autoritat pública, tribunal, universitat, escola o centre sanitari.

El bot reconeix el tipus de formulari i el tipus de lloc web a partir de les característiques de la pàgina; en casos individuals, aquest reconeixement pot ser incorrecte. La llista descriu com s'ha desenvolupat el bot i no és una garantia. Si no vol enviaments de prova, exclogui el domini (més avall): aleshores no s'iniciarà cap comprovació en què es pugui enviar alguna cosa.

Tots els enviaments s'identifiquen com a tals. Nom del remitent «FormExposed Security Scanner», adreça del remitent dummy@formexposed.com, assumpte «[formexposed.com] Automated security test — no action required». El text és en la llengua de la seva pàgina (alemany, anglès o polonès); en anglès:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

La frase «No data was stored» és massa àmplia. El que és correcte és que, durant aquest procés, no emmagatzemem res dels seus visitants ni de la seva bústia. Tanmateix, per avaluar la prova sí que emmagatzemem la resposta del seu servidor a l'enviament: concretament, el codi d'estat, els primers 300 caràcters de la pàgina de resposta i una captura de pantalla d'aquesta pàgina (vegi «Què s'emmagatzema»).

El bot emplena els altres camps obligatoris amb «FormExposed security test». Marca les caselles sense les quals el formulari no es pot enviar, per exemple les de consentiment. La identificació com a prova mostra que al darrere no hi ha cap persona ni cap declaració d'una persona.

La comprovació d'injecció de capçaleres només insereix una capçalera inofensiva X-FormExposed-Injection-Test, mai un destinatari. La comprovació de validació d'adreces utilitza una adreça sota .invalid, que no pot existir.

Altres sol·licituds per a clients

Per als dominis verificats d'un compte de client, s'afegeix el següent a petició del client:

• Recorreguts al navegador: Un navegador (Chromium o WebKit) obre una pàgina de formulari triada pel client amb la mida d'un telèfon i comprova si el formulari apareix i es pot utilitzar fins al botó d'enviament; per fer-ho, emplena els camps obligatoris amb valors de prova que no surten del navegador. Només envia sol·licituds GET i HEAD; l'enviament del formulari està bloquejat tècnicament.
• Escaneig que requereix iniciar sessió: només amb un compte de prova que el mateix operador del lloc web ha creat, com a màxim cinc pàgines, sense enviaments, sense captures de pantalla i mai adreces de tancament de sessió, supressió o cancel·lació. Si l'inici de sessió té un CAPTCHA, el bot s'atura.
• Sol·licituds lleugeres sense navegador: comprovació periòdica del formulari (fins a tres pàgines de formulari, cada 10, 15 o 30 minuts segons el pla), comprovació de l'acreditació del control, comprovació de capçaleres i cerca de fitxers exposats. Utilitzen el mateix user-agent amb un sufix com ara pulse, ownership-verification, headers o exposed-files.

A més, qualsevol persona pot fer recuperar les capçaleres de la seva pàgina d'inici amb la nostra comprovació gratuïta de capçaleres: una sol·licitud mitjançant https i una mitjançant http a la seva pàgina d'inici, més les redireccions que hi pugui haver dins del seu domini, sense navegador i sense formulari.

Què s'emmagatzema

Només el que descriu el resultat de la comprovació: adreces i títols de les pàgines comprovades, l'estructura dels formularis (noms dels camps, tipus, etiquetes i similars, sense valors dels camps; el bot només llegeix el començament dels camps ocults preemplenats fins a 24 caràcters i dels atributs data- fins a 60 caràcters durant la comprovació, i no els emmagatzema), mesures de protecció detectades, capçaleres, els amfitrions dels serveis incrustats, sumes de verificació dels scripts (no el contingut; per als scripts incrustats, també els primers 80 caràcters, amb els identificadors fets irrecognoscibles), els noms de les galetes establertes, captures de pantalla de l'àrea visible de la pàgina d'inici i dels formularis i, després d'un enviament de prova, de la pàgina de resposta; d'aquesta resposta, també el codi d'estat i els primers 300 caràcters. Aquestes captures de pantalla de la comprovació no estan censurades; mostren el que es pot veure a la pàgina pública. Només els recorreguts al navegador produeixen una imatge petita del formulari amb els camps d'entrada tapats. Si un formulari conté una adreça de destinatari, només n'emmagatzemem el domini.

D'on provenen les sol·licituds

FormExposedBot s'executa als nostres propis servidors a Polònia. No publiquem les adreces IP perquè poden canviar. Si vol saber si una sol·licitud prové realment de nosaltres, escrigui'ns amb el moment i l'adreça IP del seu registre; li indicarem si prové de nosaltres. Per a la comprovació creuada abans d'un avís d'interrupció, es pot afegir una segona ubicació amb un altre proveïdor; també utilitza el user-agent de FormExposedBot.

Com excloure el seu domini

robots.txt:

User-agent: FormExposedBot
Disallow: /

El bot busca primer al seu robots.txt un grup per a FormExposedBot i, si no n'hi ha, el grup per a tothom (*). Si una directiva Disallow cobreix la pàgina d'inici, no es fa cap comprovació. Si el seu servidor respon a la sol·licitud del robots.txt amb un error de servidor o no respon, tampoc no comprovem el lloc, per precaució; si el fitxer no existeix (404), el lloc web es considera permès. Actualment no avaluem per separat els subdirectoris bloquejats individualment; si no vol que se'l comprovi en absolut, bloquegi la pàgina d'inici. Les sol·licituds lleugeres sense navegador i la comprovació de capçaleres no llegeixen el robots.txt.

Exclusió voluntària: Introdueixi el seu domini a la pàgina Excloure el seu domini. S'aplica al domini i a la seva variant www., no als altres subdominis. Té efectes per a qualsevol comprovació que s'iniciï després de la inscripció, de manera permanent, també davant dels clients de pagament amb un domini verificat, i també cobreix la comprovació de capçaleres. La supervisió en curs en un compte de client finalitza amb la pròxima comprovació prevista; fins aleshores, encara poden arribar sol·licituds lleugeres, com ara la comprovació periòdica del formulari. Si vol que aquestes també finalitzin abans, escrigui'ns.

Protecció de dades

El responsable del tractament és LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, contact@lukaswojcik.com. Quan un client comprova el seu propi domini, actuem per compte seu.

• Dades i origen: Només recollim dades personals en la mesura que apareixen a les pàgines comprovades del seu lloc web i es fan visibles en una adreça de pàgina, un títol de pàgina, una etiqueta de formulari o una captura de pantalla, com ara un nom a les dades del prestador o al costat del formulari. L'origen és el seu lloc web. No busquem dades d'aquest tipus.
• Finalitat i base jurídica: comprovacions de seguretat dels formularis; per a la comprovació gratuïta, la comprovació de clients potencials i l'estudi, sobre la base del nostre interès legítim i de l'interès dels nostres usuaris (art. 6(1)(f) RGPD).
• Destinataris: qui ha iniciat l'informe o en té l'enllaç; l'enllaç obre l'informe sense iniciar sessió; per als dominis d'un compte de client, també les destinacions d'avís que ha triat el client; de l'estudi, només totals. No hi intervé cap servei extern d'IA.
• Termini de conservació: informe sense compte, 30 dies; comprovació de clients potencials, 90 dies; comprovacions en un compte de client, fins a 13 mesos; l'últim resultat de cada domini, mentre existeix el domini; estudi, fins a la publicació.
• Els seus drets: accés, rectificació, supressió, limitació i oposició en virtut de l'art. 21 RGPD —la via més ràpida és l'exclusió voluntària— i dret a presentar una reclamació davant d'una autoritat de control, que per a nosaltres és el President de l'Oficina de Protecció de Dades Personals (Prezes Urzędu Ochrony Danych Osobowych) a Varsòvia.

La resta d'informació es troba a la Política de privacitat. La manera com gestionem els usos indeguts s'exposa a Ús acceptable i abusos.

Contacte

Preguntes o reclamacions: contact@lukaswojcik.com o mitjançant la pàgina de contacte. Indiqui el seu domini i, si en disposa, l'identificador de l'escaneig o l'enllaç de l'informe. Comuniqui les vulnerabilitats de seguretat del mateix formexposed mitjançant la nostra pàgina de notificació de vulnerabilitats.