Acerca de FormExposedBot

Última actualización: 16 de octubre de 2026

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Token en robots.txt: FormExposedBot

Qué es FormExposedBot

FormExposedBot es el rastreador de formexposed. formexposed verifica si los formularios de contacto están protegidos contra el spam automatizado y funcionan de forma confiable. Si ha encontrado este user-agent en los registros de su servidor, alguien ha iniciado una verificación de su sitio web:

• un visitante de formexposed que ingresó su dominio en la verificación gratuita, sin cuenta y de solo lectura;
• un cliente que tiene su dominio en su cuenta e indica que opera o mantiene el sitio web, o alguien que ha instalado nuestro plugin en su sitio web;
• una agencia que solicita una verificación de solo lectura de su sitio web como cliente potencial;
• nosotros mismos, para un estudio del que publicamos únicamente cifras agregadas sin nombres de sitios web;
• alguien que ingresó su página de inicio en nuestra verificación gratuita de encabezados (solo encabezados, sin navegador).

Previa solicitud, le diremos a cuál de estos tipos correspondió una verificación; quién la inició, solo en la medida en que lo permita la legislación de protección de datos. Al hacerlo, actuamos a iniciativa de esa persona; para los dominios para los que un cliente ha proporcionado prueba de control, por cuenta de ese cliente.

Qué ocurre durante una verificación

• Antes de la verificación, el bot lee su robots.txt (véase más adelante).
• Carga su página de inicio y hasta otras siete páginas en el mismo host (con o sin www., sin otros subdominios), como máximo ocho en total. Da prioridad a las páginas con palabras como contacto, aviso legal o soporte. Omite páginas de inicio de sesión, cuenta, carrito y pago, fuentes de contenido, archivos PDF e imágenes.
• Utiliza un navegador real sin interfaz gráfica con JavaScript activado y carga las páginas sucesivamente, no en paralelo. Una página puede tardar como máximo 20 segundos; después de unos tres minutos se detiene la verificación.
• Lee los formularios: nombres y tipos de campos, etiquetas, campos obligatorios, CAPTCHA incorporados, trampas ocultas, tokens y encabezados. Durante esta verificación de solo lectura, no ingresa nada.
• Para un máximo de tres páginas con formulario, carga la página por segunda vez y hace clic en «Rechazar» en el banner de cookies, nunca en «Aceptar». Esto nos muestra si el formulario sigue funcionando después de un rechazo.
• Para un máximo de tres páginas con formulario, carga la página en una vista de celular, sin hacer clic. El user-agent sigue siendo el mismo; no fingimos ser un celular.
• Determina el tipo de formulario mediante reglas y, cuando no bastan, mediante un modelo de lenguaje que funciona en nuestro propio servidor. Nada sale de nuestros servidores durante el proceso.

Sin prueba de control sobre el dominio (véase más adelante), FormExposedBot solo recupera páginas accesibles públicamente sin iniciar sesión y no envía ningún formulario. No elude ninguna protección de acceso, no intenta adivinar credenciales de inicio de sesión ni resuelve CAPTCHA. Todo lo que vaya más allá —envíos de prueba, búsqueda de archivos expuestos y verificación detrás de un inicio de sesión con una cuenta de prueba— solo se realiza para dominios con dicha prueba o para los propios dominios de prueba y demostración de formexposed.

Mediante la verificación gratuita de nuestro sitio web, verificamos el mismo dominio como máximo una vez cada siete días; quien lo ingresa de nuevo ve el informe existente. Los clientes pueden solicitar manualmente verificaciones de los dominios de su cuenta, con un tiempo de espera; los dominios con prueba de control también se verifican regularmente con la frecuencia de su plan, con una verificación completa como máximo una vez al día. Las solicitudes ligeras sin navegador (véase más adelante) se realizan con mayor frecuencia.

Envíos de prueba solo para dominios verificados

Para los clientes, solo se realiza un envío si un cliente ha demostrado que tiene derecho a ejercer control sobre el dominio (registro DNS, metaetiqueta, archivo o plugin); sin esta prueba, solo verificamos activamente nuestros propios dominios de prueba y demostración. Incluso entonces:

• solo un formulario por verificación y únicamente uno identificado de forma confiable como formulario de contacto general; el modelo de lenguaje nunca puede autorizar el envío de un formulario;
• como máximo cinco envíos por verificación, por ejemplo, sin respuesta CAPTCHA, con el campo trampa rellenado o con un token alterado;
• nunca formularios de pedidos, reservas, inicio de sesión, registro, boletines, soporte, pago o carga de archivos; nunca formularios con campos obligatorios de teléfono, dirección postal o datos de empresa; nunca sitios web que reconozcamos por el dominio o el título de la página como una autoridad pública, tribunal, universidad, escuela o institución sanitaria.

El bot reconoce el tipo de formulario y de sitio web a partir de características de la página; en casos individuales, este reconocimiento puede ser incorrecto. La lista describe cómo está construido el bot y no constituye una garantía. Si no desea envíos de prueba, excluya el dominio (véase más adelante): así no comenzará ninguna verificación en la que pudiera enviarse algo.

Cada envío está identificado. Nombre del remitente «FormExposed Security Scanner», dirección del remitente dummy@formexposed.com, asunto «[formexposed.com] Automated security test — no action required». El texto está en el idioma de su página (alemán, inglés o polaco); en inglés:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

La frase «No data was stored» es demasiado amplia. Lo correcto es: no almacenamos nada de sus visitantes ni de su buzón durante el proceso. Sin embargo, para evaluar la prueba sí almacenamos la respuesta de su servidor al envío, concretamente el código de estado, los primeros 300 caracteres de la página de respuesta y una captura de pantalla de ella (véase «Qué se almacena»).

El bot rellena otros campos obligatorios con «FormExposed security test». Marca las casillas sin las cuales no puede enviarse el formulario, por ejemplo, las de consentimiento. La identificación muestra que no hay una persona ni una declaración de una persona detrás del envío.

La verificación de inyección de encabezados inserta únicamente un encabezado inocuo X-FormExposed-Injection-Test, nunca un destinatario. La verificación de validación de direcciones utiliza una dirección bajo .invalid, que no puede existir.

Solicitudes adicionales para clientes

Para los dominios verificados de una cuenta de cliente, se agregan las siguientes a solicitud del cliente:

• Recorridos con navegador: Un navegador (Chromium o WebKit) abre una página de formulario elegida por el cliente con tamaño de celular y comprueba si el formulario aparece y puede utilizarse hasta el botón de envío; para ello, rellena los campos obligatorios con valores de prueba que no salen del navegador. Solo envía solicitudes GET y HEAD; el envío del formulario está bloqueado técnicamente.
• Escaneo detrás del inicio de sesión: solo con una cuenta de prueba creada por el propio operador del sitio web, como máximo cinco páginas, sin envíos, sin capturas de pantalla, nunca direcciones de cierre de sesión, eliminación o cancelación. Si el inicio de sesión incluye un CAPTCHA, el bot se detiene.
• Solicitudes ligeras sin navegador: pulso de formularios (hasta tres páginas de formularios, cada 10, 15 o 30 minutos según el plan), comprobación de la prueba de control, verificación de encabezados y búsqueda de archivos expuestos. Utilizan el mismo user-agent con un sufijo como pulse, ownership-verification, headers o exposed-files.

Además, cualquier persona puede solicitar que se recuperen los encabezados de su página de inicio con nuestra verificación gratuita de encabezados: una solicitud mediante https y otra mediante http a su página de inicio, más las redirecciones dentro de su dominio, sin navegador y sin formulario.

Qué se almacena

Solo lo que describe el hallazgo: direcciones y títulos de las páginas verificadas, la estructura de los formularios (nombres de campos, tipos, etiquetas y similares, sin valores de campos; el inicio de los campos ocultos rellenados previamente, hasta 24 caracteres, y de los atributos data-, hasta 60 caracteres, solo se lee por el bot durante la verificación y no se almacena), medidas de protección detectadas, encabezados, los hosts de servicios incorporados, sumas de comprobación de los scripts (no su contenido; para los scripts incorporados, también los primeros 80 caracteres, con los identificadores irreconocibles), los nombres de las cookies instaladas, capturas de pantalla del área visible de la página de inicio y de los formularios y, después de un envío de prueba, de la página de respuesta; de esa respuesta, también el código de estado y los primeros 300 caracteres. En estas capturas de la verificación no se oculta contenido; muestran lo que puede verse en la página pública. Solo los recorridos con navegador generan una imagen pequeña del formulario con los campos de entrada cubiertos. Si un formulario contiene una dirección de destinatario, solo almacenamos su dominio.

De dónde provienen las solicitudes

FormExposedBot funciona en nuestros propios servidores en Polonia. No publicamos las direcciones IP porque pueden cambiar. Si desea saber si una solicitud realmente provino de nosotros, escríbanos con la hora y la dirección IP de su registro; le diremos si provino de nosotros. Para la comprobación cruzada antes de una alerta de caída, puede agregarse una segunda ubicación con otro proveedor; esta también utiliza el user-agent FormExposedBot.

Cómo excluir su dominio

robots.txt:

User-agent: FormExposedBot
Disallow: /

El bot busca primero en su robots.txt un grupo para FormExposedBot o, en su defecto, el grupo para todos (*). Si un Disallow abarca la página de inicio, no se realiza ninguna verificación. Si su servidor responde a la solicitud de robots.txt con un error del servidor o no responde, tampoco verificamos, como precaución; si el archivo no existe (404), el sitio web se considera permitido. Actualmente no evaluamos por separado los subdirectorios bloqueados individualmente; si no desea ninguna verificación, bloquee la página de inicio. Las solicitudes ligeras sin navegador y la verificación de encabezados no leen robots.txt.

Exclusión: Ingrese su dominio en la página Excluir su dominio. Se aplica al dominio y a su variante con www., no a otros subdominios. Surte efecto para cada verificación que comience después de la inscripción, de forma permanente, también frente a clientes de pago con un dominio verificado, e incluye la verificación de encabezados. El monitoreo en curso de una cuenta de cliente termina con la siguiente verificación programada; hasta entonces, pueden seguir llegando solicitudes ligeras como el pulso de formularios. Si desea que estas también terminen antes, escríbanos.

Protección de datos

El responsable del tratamiento es LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, contact@lukaswojcik.com. Cuando un cliente verifica su propio dominio, actuamos por su cuenta.

• Datos y fuente: Solo recopilamos datos personales en la medida en que aparezcan en las páginas verificadas de su sitio web y sean visibles en una dirección de página, un título de página, una etiqueta de formulario o una captura de pantalla, como un nombre en el aviso legal o junto al formulario. La fuente es su sitio web. No buscamos estos datos.
• Finalidad y base jurídica: verificaciones de seguridad de formularios; para la verificación gratuita, la verificación de clientes potenciales y el estudio, sobre la base de nuestro interés legítimo y el interés de nuestros usuarios (art. 6, apartado 1, letra f), del RGPD).
• Destinatarios: quien haya iniciado el informe o tenga su enlace; el enlace abre el informe sin iniciar sesión; para los dominios de una cuenta de cliente, también los destinos de alertas elegidos por el cliente; del estudio, solo totales. No interviene ningún servicio externo de IA.
• Plazo de conservación: informe sin cuenta, 30 días; verificación de clientes potenciales, 90 días; verificaciones en una cuenta de cliente, hasta 13 meses; el resultado más reciente de cada dominio, mientras exista el dominio; estudio, hasta su publicación.
• Sus derechos: acceso, rectificación, supresión, limitación y oposición conforme al art. 21 del RGPD —la vía más rápida es la exclusión— y el derecho a presentar una reclamación ante una autoridad de control, en nuestro caso el Presidente de la Oficina de Protección de Datos Personales (Prezes Urzędu Ochrony Danych Osobowych) en Varsovia.

Todo lo demás se encuentra en la Política de Privacidad. Cómo tratamos el uso indebido se establece en Uso Aceptable y Abuso.

Contacto

Preguntas o reclamaciones: contact@lukaswojcik.com o mediante la página de contacto. Indique su dominio y, si está disponible, el ID del escaneo o el enlace del informe. Notifique las vulnerabilidades de seguridad del propio formexposed mediante nuestra página de notificación de vulnerabilidades.