Acerca de FormExposedBot

Última actualización: 16 de octubre de 2026

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Token en robots.txt: FormExposedBot

Qué es FormExposedBot

FormExposedBot es el rastreador de formexposed. formexposed comprueba si los formularios de contacto están protegidos frente al spam automatizado y funcionan de forma fiable. Si ha encontrado este user-agent en los registros de su servidor, alguien ha iniciado una comprobación de su sitio web:

• un visitante de formexposed que ha introducido su dominio en la comprobación gratuita, sin cuenta y solo en modo lectura;
• un cliente que tiene su dominio en su cuenta y declara que gestiona o mantiene el sitio web, o alguien que ha instalado nuestro plugin en su sitio web;
• una agencia que hace comprobar su sitio web, solo en modo lectura, como posible cliente;
• nosotros mismos, para un estudio del que solo publicamos cifras agregadas sin los nombres de los sitios web;
• alguien que ha introducido su página de inicio en nuestra comprobación gratuita de cabeceras (solo cabeceras, sin navegador).

Si lo solicita, le indicaremos de cuál de estos tipos fue una comprobación; quién la inició, solo en la medida en que lo permita la normativa de protección de datos. Al hacerlo, actuamos a instancia de esa persona; en el caso de dominios para los que un cliente ha acreditado el control, por cuenta de ese cliente.

Qué ocurre durante una comprobación

• Antes de la comprobación, el bot lee su robots.txt (véase más abajo).
• Carga su página de inicio y hasta otras siete páginas del mismo host (con o sin www., sin otros subdominios), como máximo ocho en total. Tienen prioridad las páginas con palabras como contacto, aviso legal o soporte. Omite las páginas de inicio de sesión, cuenta, cesta y pago, los feeds, los PDF y las imágenes.
• Utiliza un navegador headless real con JavaScript activado y carga las páginas una tras otra, no en paralelo. Una página puede tardar como máximo 20 segundos; al cabo de unos tres minutos, la comprobación se detiene.
• Lee los formularios: nombres y tipos de campo, etiquetas, campos obligatorios, CAPTCHA integrados, trampas ocultas, tokens y cabeceras. Durante esta comprobación de solo lectura, no introduce nada.
• En un máximo de tres páginas con formulario, carga la página una segunda vez y hace clic en «Rechazar» en el banner de cookies, nunca en «Aceptar». Así vemos si el formulario sigue funcionando tras un rechazo.
• En un máximo de tres páginas con formulario, carga la página en vista de móvil, sin hacer clic. El user-agent sigue siendo el mismo; no nos hacemos pasar por un smartphone.
• Determina el tipo de formulario mediante reglas y, cuando estas no bastan, con un modelo de lenguaje que se ejecuta en nuestro propio servidor. En este proceso no sale nada de nuestros servidores.

Sin acreditación del control del dominio (véase más abajo), FormExposedBot solo obtiene páginas accesibles públicamente sin iniciar sesión y no envía nada. No elude ninguna protección de acceso, no adivina credenciales de acceso y no resuelve CAPTCHA. Todo lo que va más allá —envíos de prueba, la búsqueda de archivos expuestos y la comprobación tras un inicio de sesión con una cuenta de prueba— solo se realiza para dominios con esta acreditación o para los dominios de prueba y demostración propios de formexposed.

A través de la comprobación gratuita de nuestro sitio web, comprobamos el mismo dominio como máximo una vez cada siete días; quien lo vuelva a introducir verá el informe existente. Los clientes pueden hacer comprobar manualmente los dominios de su cuenta, con un tiempo de espera; los dominios con acreditación del control se comprueban además periódicamente con la frecuencia de su plan, una comprobación completa como máximo una vez al día. Las solicitudes ligeras realizadas sin navegador (véase más abajo) son más frecuentes.

Envíos de prueba solo para dominios verificados

En el caso de los clientes, solo se envía algo si un cliente ha acreditado que está facultado para controlar el dominio (registro DNS, metaetiqueta, archivo o plugin); sin esta acreditación, solo comprobamos de forma activa nuestros propios dominios de prueba y demostración. Incluso en ese caso:

• solo un formulario por comprobación, y únicamente uno que se haya identificado de forma fiable como formulario de contacto general; el modelo de lenguaje nunca puede habilitar un formulario para el envío;
• como máximo cinco envíos por comprobación, por ejemplo sin respuesta al CAPTCHA, con el campo trampa rellenado o con un token alterado;
• nunca formularios de pedido, reserva, inicio de sesión, registro, boletín, soporte, pago o carga de archivos, nunca formularios con campos obligatorios de teléfono, dirección postal o datos de empresa, nunca sitios web que reconozcamos por el dominio o el título de la página como autoridad pública, tribunal, universidad, centro escolar o centro sanitario.

El bot reconoce el tipo de formulario y el tipo de sitio web a partir de características de la página; en casos concretos, este reconocimiento puede ser erróneo. La lista describe cómo está construido el bot y no constituye una garantía. Si no desea envíos de prueba, excluya el dominio (véase más abajo): entonces no se iniciará ninguna comprobación en la que pudiera enviarse algo.

Cada envío está identificado. Nombre del remitente “FormExposed Security Scanner”, dirección del remitente dummy@formexposed.com, asunto “[formexposed.com] Automated security test — no action required”. El texto está en el idioma de su página (alemán, inglés o polaco); en inglés:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

La frase “No data was stored” es demasiado amplia. Lo correcto es: en este proceso no almacenamos nada de sus visitantes ni de su buzón. No obstante, para evaluar la prueba, sí almacenamos la respuesta de su servidor al envío, es decir, el código de estado, los primeros 300 caracteres de la página de respuesta y una captura de pantalla de esta (véase «Qué se almacena»).

El bot rellena los demás campos obligatorios con “FormExposed security test”. Marca las casillas sin las cuales el formulario no puede enviarse, por ejemplo las de consentimiento. La identificación muestra que detrás no hay ninguna persona ni ninguna declaración de una persona.

La comprobación de inyección de cabeceras solo inserta una cabecera inofensiva X-FormExposed-Injection-Test, nunca un destinatario. La comprobación de validación de direcciones utiliza una dirección bajo .invalid, que no puede existir.

Otras solicitudes para clientes

Para los dominios verificados de una cuenta de cliente, se añaden a petición del cliente las siguientes:

• Recorridos con navegador: un navegador (Chromium o WebKit) abre una página de formulario elegida por el cliente en tamaño de móvil y comprueba si el formulario aparece y puede utilizarse hasta el botón de envío; para ello, rellena los campos obligatorios con valores de prueba que no salen del navegador. Solo envía solicitudes GET y HEAD; el envío está bloqueado técnicamente.
• Escaneo tras el inicio de sesión: solo con una cuenta de prueba que el propio operador del sitio web haya creado, como máximo cinco páginas, sin envíos, sin capturas de pantalla y nunca direcciones de cierre de sesión, eliminación o cancelación. Si el inicio de sesión lleva un CAPTCHA, el bot se detiene.
• Solicitudes ligeras sin navegador: pulso del formulario (hasta tres páginas de formulario, cada 10, 15 o 30 minutos según el plan), comprobación de la acreditación del control, comprobación de cabeceras y búsqueda de archivos expuestos. Utilizan el mismo user-agent con un sufijo como pulse, ownership-verification, headers o exposed-files.

Además, cualquiera puede hacer obtener las cabeceras de su página de inicio con nuestra comprobación gratuita de cabeceras: una solicitud por https y otra por http a su página de inicio, más las posibles redirecciones dentro de su dominio, sin navegador y sin formulario.

Qué se almacena

Solo lo que describe el resultado: direcciones y títulos de las páginas comprobadas, la estructura de los formularios (nombres de campo, tipos, etiquetas y similares, sin valores de campo; el bot solo lee durante la comprobación, sin almacenarlos, los inicios de los campos ocultos prerrellenados hasta 24 caracteres y de los atributos data- hasta 60 caracteres), las medidas de protección detectadas, las cabeceras, los hosts de los servicios integrados, sumas de comprobación de los scripts (no su contenido; en el caso de los scripts incrustados, también los primeros 80 caracteres, con los identificadores hechos irreconocibles), los nombres de las cookies establecidas, capturas de pantalla del área visible de la página de inicio y de los formularios y, tras un envío de prueba, de la página de respuesta; de esa respuesta, también el código de estado y los primeros 300 caracteres. Estas capturas de pantalla de la comprobación no se anonimizan; muestran lo que puede verse en la página pública. Solo los recorridos con navegador generan una pequeña imagen del formulario con los campos de entrada ocultos. Si un formulario contiene una dirección de destinatario, solo almacenamos su dominio.

De dónde proceden las solicitudes

FormExposedBot se ejecuta en nuestros propios servidores en Polonia. No publicamos las direcciones IP porque pueden cambiar. Si desea saber si una solicitud procede realmente de nosotros, escríbanos indicando la hora y la dirección IP de su registro; le diremos si procedía de nosotros. Para la verificación cruzada antes de una alerta de caída, puede añadirse una segunda ubicación con otro proveedor; también utiliza el user-agent FormExposedBot.

Cómo excluir su dominio

robots.txt:

User-agent: FormExposedBot
Disallow: /

El bot busca primero en su robots.txt un grupo para FormExposedBot y, si no lo hay, el grupo para todos (*). Si un Disallow abarca la página de inicio, no se realiza ninguna comprobación. Si su servidor responde a la solicitud de robots.txt con un error de servidor o no responde, tampoco comprobamos, por precaución; si el archivo no existe (404), se considera que el sitio web está permitido. Actualmente no evaluamos por separado los subdirectorios bloqueados individualmente: si no desea que se le compruebe en absoluto, bloquee la página de inicio. Las solicitudes ligeras sin navegador y la comprobación de cabeceras no leen robots.txt.

Opt-out: introduzca su dominio en la página Excluir su dominio. Se aplica al dominio y a su variante www., no a otros subdominios. Surte efecto en toda comprobación que se inicie tras la introducción, de forma permanente, también frente a clientes de pago con un dominio verificado, y abarca también la comprobación de cabeceras. La supervisión en curso en una cuenta de cliente finaliza con la siguiente comprobación prevista; hasta entonces, aún pueden producirse solicitudes ligeras como el pulso del formulario. Si desea que también estas finalicen antes, escríbanos.

Protección de datos

El responsable del tratamiento es LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polonia, contact@lukaswojcik.com. Cuando un cliente comprueba su propio dominio, actuamos por cuenta de este.

• Datos y origen: solo recogemos datos personales en la medida en que aparecen en las páginas comprobadas de su sitio web y se hacen visibles en una dirección de página, un título de página, una etiqueta de formulario o una captura de pantalla, como un nombre en el aviso legal o junto al formulario. El origen es su sitio web. No buscamos este tipo de datos.
• Finalidad y base jurídica: comprobaciones de seguridad de formularios; en el caso de la comprobación gratuita, la comprobación de posibles clientes y el estudio, sobre la base de nuestro interés legítimo y del interés de nuestros usuarios (art. 6(1)(f) RGPD).
• Destinatarios: quien inició el informe o dispone del enlace a él (el enlace abre el informe sin iniciar sesión); en el caso de dominios de una cuenta de cliente, también los destinos de alerta que el cliente haya elegido; del estudio, solo cifras totales. No interviene ningún servicio externo de IA.
• Plazo de conservación: informe sin cuenta 30 días, comprobación de posibles clientes 90 días, comprobaciones en una cuenta de cliente hasta 13 meses, el resultado más reciente de cada dominio mientras exista el dominio, estudio hasta su publicación.
• Sus derechos: acceso, rectificación, supresión, limitación y oposición conforme al art. 21 RGPD —lo más rápido es mediante el opt-out— y el derecho a presentar una reclamación ante una autoridad de control, en nuestro caso el Presidente de la Oficina de Protección de Datos Personales (Prezes Urzędu Ochrony Danych Osobowych) en Varsovia.

Todo lo demás figura en la Política de privacidad. Cómo actuamos frente a los usos indebidos se expone en Uso aceptable y abusos.

Contacto

Preguntas o reclamaciones: contact@lukaswojcik.com o a través de la página de contacto. Indique su dominio y, si dispone de ellos, el ID de escaneo o el enlace al informe. Comunique las vulnerabilidades de seguridad del propio formexposed a través de nuestra página de notificación de vulnerabilidades.