O robotu FormExposedBot

Poslední aktualizace: 16. října 2026

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Token v robots.txt: FormExposedBot

Co je FormExposedBot

FormExposedBot je crawler služby formexposed. formexposed kontroluje, zda jsou kontaktní formuláře chráněny proti automatizovanému spamu a zda spolehlivě fungují. Pokud jste tento user-agent našli v protokolech svého serveru, někdo spustil kontrolu vašeho webu:

• návštěvník formexposed, který zadal vaši doménu do bezplatné kontroly – bez účtu, pouze čtením;
• zákazník, který má vaši doménu ve svém účtu a uvádí, že web provozuje nebo spravuje, nebo někdo, kdo na váš web nainstaloval náš plugin;
• agentura, která nechává váš web zkontrolovat, pouze čtením, jako potenciálního klienta;
• my sami, pro studii, z níž zveřejňujeme pouze souhrnná čísla bez názvů webů;
• někdo, kdo zadal vaši domovskou stránku do naší bezplatné kontroly hlaviček (pouze hlavičky, bez prohlížeče).

Na požádání vám sdělíme, o který z těchto typů kontroly šlo; kdo ji spustil, pouze v rozsahu, v jakém to právo na ochranu osobních údajů dovoluje. Jednáme přitom z podnětu této osoby; u domén, u nichž zákazník prokázal kontrolu nad doménou, jejím jménem.

Co se při kontrole děje

• Před kontrolou bot přečte váš robots.txt (viz níže).
• Načte vaši domovskou stránku a až sedm dalších stránek na stejném hostiteli (s www. nebo bez, žádné jiné subdomény), celkem nejvýše osm. Přednost mají stránky se slovy jako kontakt, impressum nebo podpora. Vynechává přihlašovací stránky, stránky účtu, košíku a pokladny, feedy, PDF a obrázky.
• Používá skutečný headless prohlížeč se zapnutým JavaScriptem a stránky načítá jednu po druhé, nikoli paralelně. Jedna stránka smí trvat nejvýše 20 sekund; přibližně po třech minutách se kontrola ukončí.
• Čte formuláře: názvy a typy polí, popisky, povinná pole, vložené CAPTCHA, skryté pasti, tokeny a hlavičky. Během této kontroly pouze čtením nic nezadává.
• U nejvýše tří stránek s formulářem načte stránku podruhé a v cookie liště klikne na „Odmítnout“ – nikdy na „Přijmout“. Tím zjistíme, zda formulář po odmítnutí stále funguje.
• U nejvýše tří stránek s formulářem načte stránku v zobrazení pro telefon, bez klikání. User-agent zůstává stejný; nevydáváme se za smartphone.
• Typ formuláře určuje pomocí pravidel, a kde nestačí, pomocí jazykového modelu běžícího na našem vlastním serveru. Nic přitom neopouští naše servery.

Bez prokázání kontroly nad doménou (níže) načítá FormExposedBot pouze stránky veřejně dostupné bez přihlášení a nic neodesílá. Neobchází žádnou ochranu přístupu, nehádá přihlašovací údaje a neřeší CAPTCHA. Cokoli nad tento rámec – testovací odeslání, hledání odhalených souborů a kontrola za přihlášením s testovacím účtem – probíhá pouze u domén s tímto prokázáním nebo u vlastních testovacích a ukázkových domén formexposed.

Prostřednictvím bezplatné kontroly na našem webu kontrolujeme stejnou doménu nejvýše jednou za sedm dní; kdo ji zadá znovu, uvidí již existující zprávu. Zákazníci mohou domény ve svém účtu nechat zkontrolovat ručně, s čekací dobou; domény s prokázanou kontrolou se navíc kontrolují pravidelně v četnosti podle tarifu, úplná kontrola nejvýše jednou denně. Lehké požadavky bez prohlížeče (níže) přicházejí častěji.

Testovací odeslání pouze u ověřených domén

U zákazníků se něco odesílá pouze tehdy, když zákazník prokázal, že je oprávněn doménu spravovat (DNS záznam, meta tag, soubor nebo plugin); bez tohoto prokázání aktivně kontrolujeme pouze vlastní testovací a ukázkové domény. I pak platí:

• pouze jeden formulář na kontrolu, a to pouze takový, který byl spolehlivě rozpoznán jako obecný kontaktní formulář; jazykový model nemůže formulář k odeslání nikdy uvolnit;
• nejvýše pět odeslání na kontrolu, například bez odpovědi na CAPTCHA, s vyplněným pastí-polem nebo se změněným tokenem;
• nikdy objednávkové, rezervační, přihlašovací, registrační, newsletterové, podpůrné, platební ani nahrávací formuláře, nikdy formuláře s povinnými poli pro telefon, poštovní adresu nebo údaje o firmě, nikdy weby, které podle domény nebo názvu stránky rozpoznáme jako orgán veřejné moci, soud, vysokou školu, školu nebo zdravotnické zařízení.

Bot rozpoznává typ formuláře a typ webu podle znaků stránky; v jednotlivých případech se toto rozpoznání může mýlit. Výčet popisuje, jak je bot sestaven, a není zárukou. Pokud testovací odeslání nechcete, doménu vylučte (níže): pak se nespustí žádná kontrola, při níž by se mohlo cokoli odeslat.

Každé odeslání je označeno. Jméno odesílatele „FormExposed Security Scanner“, adresa odesílatele dummy@formexposed.com, předmět „[formexposed.com] Automated security test — no action required“. Text je v jazyce vaší stránky (německy, anglicky nebo polsky); v angličtině:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

Věta „No data was stored“ (Nebyla uložena žádná data) je příliš široká. Správně platí: od vašich návštěvníků ani z vaší poštovní schránky přitom nic neukládáme. Pro vyhodnocení testu však ukládáme odpověď vašeho serveru na odeslání, a to stavový kód, prvních 300 znaků stránky s odpovědí a její snímek obrazovky (viz „Co se ukládá“).

Ostatní povinná pole bot vyplní textem „FormExposed security test“. Zaškrtne políčka, bez nichž formulář nelze odeslat, například pro souhlas. Označení ukazuje, že za tím nestojí žádná osoba ani žádný projev vůle osoby.

Kontrola vkládání hlaviček (header injection) vkládá pouze neškodnou hlavičku X-FormExposed-Injection-Test, nikdy příjemce. Kontrola ověřování adresy používá adresu pod .invalid, která nemůže existovat.

Další požadavky pro zákazníky

U ověřených domén v zákaznickém účtu přibývají na žádost zákazníka:

• Průchody prohlížečem: Prohlížeč (Chromium nebo WebKit) otevře stránku s formulářem zvolenou zákazníkem ve velikosti telefonu a zkontroluje, zda se formulář zobrazí a zda jej lze ovládat až po tlačítko pro odeslání; za tím účelem vyplní povinná pole testovacími hodnotami, které prohlížeč neopustí. Odesílá pouze požadavky GET a HEAD; odeslání je technicky zablokováno.
• Kontrola za přihlášením: pouze s testovacím účtem, který si provozovatel webu sám vytvořil, nejvýše pět stránek, bez odesílání, bez snímků obrazovky, nikdy adresy pro odhlášení, smazání nebo zrušení. Pokud je u přihlášení CAPTCHA, bot se zastaví.
• Lehké požadavky bez prohlížeče: puls formulářů (až tři stránky s formulářem, podle tarifu každých 10, 15 nebo 30 minut), kontrola prokázání kontroly nad doménou, kontrola hlaviček a hledání odhalených souborů. Používají stejný user-agent s příponou jako pulse, ownership-verification, headers nebo exposed-files.

Kromě toho si kdokoli může nechat načíst hlavičky vaší domovské stránky naší bezplatnou kontrolou hlaviček: po jednom požadavku přes https a http na vaši domovskou stránku a případná přesměrování v rámci vaší domény, bez prohlížeče a bez formuláře.

Co se ukládá

Pouze to, co popisuje zjištění: adresy a názvy kontrolovaných stránek, struktura formulářů (názvy polí, typy, popisky a podobně, žádné hodnoty polí; začátky předvyplněných skrytých polí do 24 znaků a atributů data- do 60 znaků bot čte pouze během kontroly a neukládají se), zjištěná ochranná opatření, hlavičky, hostitelé vložených služeb, kontrolní součty skriptů (nikoli jejich obsah; u vložených skriptů také prvních 80 znaků, přičemž identifikátory jsou znečitelněny), názvy nastavených cookies, snímky obrazovky viditelné oblasti domovské stránky a formulářů a po testovacím odeslání i stránky s odpovědí; z této odpovědi také stavový kód a prvních 300 znaků. Tyto snímky obrazovky z kontroly nejsou začerněny; ukazují to, co je vidět na veřejné stránce. Pouze průchody prohlížečem vytvářejí malý obrázek formuláře se zakrytými vstupními poli. Pokud formulář obsahuje adresu příjemce, ukládáme pouze její doménu.

Odkud požadavky přicházejí

FormExposedBot běží na našich vlastních serverech v Polsku. IP adresy nezveřejňujeme, protože se mohou měnit. Chcete-li vědět, zda požadavek skutečně pocházel od nás, napište nám čas a IP adresu ze svého protokolu; sdělíme vám, zda šlo o nás. Pro křížové ověření před upozorněním na výpadek může přibýt druhé umístění u jiného poskytovatele; i to používá user-agent FormExposedBot.

Jak vyloučit svou doménu

robots.txt:

User-agent: FormExposedBot
Disallow: /

Bot nejprve hledá ve vašem robots.txt skupinu pro FormExposedBot, jinak skupinu pro všechny (*). Pokud Disallow pokrývá domovskou stránku, kontrola neproběhne. Pokud váš server odpoví na požadavek na robots.txt chybou serveru nebo vůbec, z opatrnosti rovněž nekontrolujeme; pokud soubor chybí (404), považuje se web za povolený. Jednotlivé zablokované podadresáře v současnosti samostatně nevyhodnocujeme – pokud nechcete být kontrolováni vůbec, zablokujte domovskou stránku. Lehké požadavky bez prohlížeče a kontrola hlaviček robots.txt nečtou.

Opt-out: Zadejte svou doménu na stránce Vyloučení domény. Platí pro doménu a její variantu s www., nikoli pro jiné subdomény. Uplatní se u každé kontroly, která začne po zadání, trvale, i vůči platícím zákazníkům s ověřenou doménou, a vztahuje se i na kontrolu hlaviček. Probíhající monitorování v zákaznickém účtu skončí s nejbližší splatnou kontrolou; do té doby mohou ještě přicházet lehké požadavky, například puls formulářů. Pokud chcete, aby skončily dříve i tyto, napište nám.

Ochrana osobních údajů

Správcem je LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polsko, contact@lukaswojcik.com. Kontroluje-li zákazník svou vlastní doménu, jednáme jeho jménem.

• Údaje a zdroj: Osobní údaje shromažďujeme pouze v rozsahu, v jakém se vyskytují na kontrolovaných stránkách vašeho webu a stanou se viditelnými v adrese stránky, názvu stránky, popisku formuláře nebo na snímku obrazovky, například jméno v impressu nebo vedle formuláře. Zdrojem je váš web. Po takových údajích nepátráme.
• Účel a právní základ: bezpečnostní kontroly formulářů; u bezplatné kontroly, kontroly potenciálního klienta a studie na základě našeho oprávněného zájmu a zájmu našich uživatelů (čl. 6 odst. 1 písm. f) GDPR).
• Příjemci: ten, kdo zprávu spustil nebo má odkaz na ni – odkaz otevře zprávu bez přihlášení; u domén v zákaznickém účtu také cíle upozornění zvolené zákazníkem; ze studie pouze souhrnné hodnoty. Žádná externí služba AI není zapojena.
• Doba uložení: zpráva bez účtu 30 dní, kontrola potenciálního klienta 90 dní, kontroly v zákaznickém účtu až 13 měsíců, nejnovější výsledek pro každou doménu po dobu existence domény, studie do zveřejnění.
• Vaše práva: přístup, oprava, výmaz, omezení a námitka podle čl. 21 GDPR – nejrychleji prostřednictvím opt-outu – a právo podat stížnost u dozorového úřadu, v našem případě u předsedy Úřadu pro ochranu osobních údajů (Prezes Urzędu Ochrony Danych Osobowych) ve Varšavě.

Vše ostatní najdete v Zásadách ochrany osobních údajů. Jak postupujeme při zneužití, popisuje stránka Přípustné užívání a zneužití.

Kontakt

Dotazy nebo stížnosti: contact@lukaswojcik.com nebo prostřednictvím kontaktní stránky. Uveďte prosím svou doménu a případně ID kontroly nebo odkaz na zprávu. Bezpečnostní zranitelnosti přímo v formexposed prosím hlaste prostřednictvím naší stránky pro hlášení zranitelností.