À propos de FormExposedBot

Dernière mise à jour : 16 October 2026

User-agent : FormExposedBot/1.0 (+https://formexposed.com/bot)
Jeton dans robots.txt : FormExposedBot

Qu’est-ce que FormExposedBot

FormExposedBot est le robot d’exploration de formexposed. formexposed vérifie si les formulaires de contact sont protégés contre le spam automatisé et fonctionnent de manière fiable. Si vous avez trouvé ce user-agent dans les journaux de votre serveur, quelqu’un a lancé une vérification de votre site web :

• un visiteur de formexposed qui a saisi votre domaine dans la vérification gratuite – sans compte, en lecture seule ;
• un client qui a votre domaine dans son compte et déclare exploiter ou gérer le site web, ou quelqu’un qui a installé notre plugin sur votre site web ;
• une agence qui fait vérifier votre site web, en lecture seule, en tant que client potentiel ;
• nous-mêmes, pour une étude dont nous ne publions que des chiffres agrégés, sans nom de site web ;
• quelqu’un qui a saisi votre page d’accueil dans notre vérification gratuite des en-têtes (en-têtes uniquement, sans navigateur).

Sur demande, nous vous indiquons de quel type de vérification il s’agissait ; qui l’a lancée, uniquement dans la mesure où le droit de la protection des données le permet. Ce faisant, nous agissons à l’initiative de cette personne ; pour les domaines dont un client a apporté la preuve de contrôle, pour le compte de ce client.

Ce qui se passe lors d’une vérification

• Avant la vérification, le bot lit votre robots.txt (voir ci-dessous).
• Il charge votre page d’accueil et jusqu’à sept autres pages sur le même hôte (avec ou sans www., aucun autre sous-domaine), huit au maximum au total. Les pages contenant des mots tels que contact, mentions légales ou assistance passent en premier. Il ignore les pages de connexion, de compte, de panier et de paiement, les flux, les PDF et les images.
• Il utilise un véritable navigateur headless avec JavaScript activé et charge les pages l’une après l’autre, pas en parallèle. Une page peut prendre au maximum 20 secondes ; après environ trois minutes, la vérification s’arrête.
• Il lit les formulaires : noms et types de champs, libellés, champs obligatoires, CAPTCHA intégrés, pièges cachés, jetons et en-têtes. Pendant cette vérification en lecture seule, il ne saisit rien.
• Pour au maximum trois pages comportant un formulaire, il charge la page une seconde fois et clique sur « Refuser » dans la bannière de cookies – jamais sur « Accepter ». Cela nous montre si le formulaire fonctionne encore après un refus.
• Pour au maximum trois pages comportant un formulaire, il charge la page en affichage mobile, sans cliquer. Le user-agent reste le même ; nous ne nous faisons pas passer pour un smartphone.
• Il détermine le type d’un formulaire à l’aide de règles et, lorsqu’elles ne suffisent pas, d’un modèle de langage fonctionnant sur notre propre serveur. Rien ne quitte nos serveurs au cours de ce processus.

Sans preuve de contrôle du domaine (voir ci-dessous), FormExposedBot ne récupère que des pages accessibles publiquement sans connexion et ne soumet rien. Il ne contourne aucune protection d’accès, ne devine pas d’identifiants de connexion et ne résout pas de CAPTCHA. Tout ce qui va au-delà – soumissions de test, recherche de fichiers exposés et vérification derrière une connexion avec un compte de test – n’a lieu que pour les domaines disposant de cette preuve ou pour les domaines de test et de démonstration propres à formexposed.

Via la vérification gratuite sur notre site web, nous vérifions un même domaine au maximum une fois tous les sept jours ; quiconque le saisit à nouveau voit le rapport existant. Les clients peuvent faire vérifier manuellement les domaines de leur compte, avec un délai d’attente ; les domaines avec preuve de contrôle sont en outre vérifiés régulièrement selon la fréquence de leur formule, une vérification complète au maximum une fois par jour. Les requêtes légères effectuées sans navigateur (voir ci-dessous) sont plus fréquentes.

Soumissions de test uniquement pour les domaines vérifiés

Pour les clients, une soumission n’a lieu que si un client a prouvé qu’il est habilité à contrôler le domaine (enregistrement DNS, balise meta, fichier ou plugin) ; sans cette preuve, nous ne testons activement que nos propres domaines de test et de démonstration. Même dans ce cas :

• un seul formulaire par vérification, et uniquement un formulaire identifié de manière fiable comme formulaire de contact général ; le modèle de langage ne peut jamais autoriser un formulaire à la soumission ;
• au maximum cinq soumissions par vérification, par exemple sans réponse CAPTCHA, avec le champ piège rempli ou avec un jeton modifié ;
• jamais de formulaires de commande, de réservation, de connexion, d’inscription, de newsletter, d’assistance, de paiement ou de téléversement, jamais de formulaires avec des champs obligatoires pour le téléphone, l’adresse postale ou les coordonnées de l’entreprise, jamais de sites web que nous identifions, d’après le domaine ou le titre de la page, comme ceux d’une autorité publique, d’un tribunal, d’une université, d’une école ou d’un établissement de santé.

Le bot reconnaît le type de formulaire et le type de site web à partir de caractéristiques de la page ; dans certains cas, cette reconnaissance peut être erronée. La liste décrit la manière dont le bot est conçu et ne constitue pas une garantie. Si vous ne souhaitez pas de soumissions de test, excluez le domaine (voir ci-dessous) : aucune vérification au cours de laquelle quelque chose pourrait être soumis ne démarrera alors.

Chaque soumission est identifiée. Nom de l’expéditeur « FormExposed Security Scanner », adresse de l’expéditeur dummy@formexposed.com, objet « [formexposed.com] Automated security test — no action required ». Le texte est rédigé dans la langue de votre page (allemand, anglais ou polonais) ; en anglais :

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

La phrase « No data was stored » (aucune donnée n’a été enregistrée) est trop large. Ce qui est exact : nous n’enregistrons rien concernant vos visiteurs ni votre boîte de réception au cours de ce processus. Pour évaluer le test, nous enregistrons toutefois la réponse de votre serveur à la soumission, à savoir le code de statut, les 300 premiers caractères de la page de réponse et une capture d’écran de celle-ci (voir « Ce qui est enregistré »).

Le bot remplit les autres champs obligatoires avec « FormExposed security test ». Il coche les cases sans lesquelles le formulaire ne peut pas être soumis, par exemple pour le consentement. L’identification montre qu’aucune personne ni aucune déclaration d’une personne ne se trouve derrière.

Le test d’injection d’en-tête n’insère qu’un en-tête inoffensif X-FormExposed-Injection-Test, jamais un destinataire. Le test de validation d’adresse utilise une adresse sous .invalid, qui ne peut pas exister.

Autres requêtes pour les clients

Pour les domaines vérifiés d’un compte client, les éléments suivants s’ajoutent à la demande du client :

• Parcours navigateur : un navigateur (Chromium ou WebKit) ouvre une page de formulaire choisie par le client au format téléphone et vérifie si le formulaire s’affiche et peut être utilisé jusqu’au bouton d’envoi ; pour ce faire, il remplit les champs obligatoires avec des valeurs de test qui ne quittent pas le navigateur. Il n’envoie que des requêtes GET et HEAD ; la soumission est techniquement bloquée.
• Analyse derrière la connexion : uniquement avec un compte de test que l’exploitant du site web a lui-même créé, au maximum cinq pages, sans soumission, sans captures d’écran, jamais d’adresses de déconnexion, de suppression ou de résiliation. Si la connexion comporte un CAPTCHA, le bot s’arrête.
• Requêtes légères sans navigateur : pouls des formulaires (jusqu’à trois pages de formulaire, toutes les 10, 15 ou 30 minutes selon la formule), vérification de la preuve de contrôle, vérification des en-têtes et recherche de fichiers exposés. Elles utilisent le même user-agent avec un suffixe tel que pulse, ownership-verification, headers ou exposed-files.

En outre, n’importe qui peut faire récupérer les en-têtes de votre page d’accueil avec notre vérification gratuite des en-têtes : une requête chacune via https et http vers votre page d’accueil, plus les éventuelles redirections au sein de votre domaine, sans navigateur et sans formulaire.

Ce qui est enregistré

Uniquement ce qui décrit le constat : adresses et titres des pages vérifiées, structure des formulaires (noms de champs, types, libellés et éléments similaires, aucune valeur de champ ; les débuts des champs cachés pré-remplis jusqu’à 24 caractères et des attributs data- jusqu’à 60 caractères ne sont lus par le bot que pendant la vérification et ne sont pas enregistrés), mesures de protection détectées, en-têtes, hôtes des services intégrés, sommes de contrôle des scripts (pas leur contenu ; pour les scripts intégrés, également les 80 premiers caractères, les identifiants étant rendus méconnaissables), noms des cookies déposés, captures d’écran de la zone visible de la page d’accueil et des formulaires et, après une soumission de test, de la page de réponse ; de cette réponse, également le code de statut et les 300 premiers caractères. Ces captures d’écran issues de la vérification ne sont pas caviardées ; elles montrent ce qui est visible sur la page publique. Seuls les parcours navigateur produisent une petite image du formulaire dont les champs de saisie sont masqués. Si un formulaire contient une adresse de destinataire, nous n’en enregistrons que le domaine.

D’où proviennent les requêtes

FormExposedBot fonctionne sur nos propres serveurs en Pologne. Nous ne publions pas les adresses IP, car elles peuvent changer. Si vous souhaitez savoir si une requête provient réellement de nous, écrivez-nous en indiquant l’heure et l’adresse IP figurant dans votre journal ; nous vous dirons si elle provenait de nous. Pour le contrôle croisé avant une alerte d’indisponibilité, un second emplacement chez un autre fournisseur peut s’ajouter ; il utilise lui aussi le user-agent FormExposedBot.

Comment exclure votre domaine

robots.txt :

User-agent: FormExposedBot
Disallow: /

Le bot cherche d’abord dans votre robots.txt un groupe pour FormExposedBot, sinon le groupe pour tous (*). Si une règle Disallow couvre la page d’accueil, aucune vérification n’a lieu. Si votre serveur répond à la requête de robots.txt par une erreur serveur ou ne répond pas, nous ne vérifions pas non plus, par précaution ; si le fichier est absent (404), le site web est considéré comme autorisé. Nous n’évaluons pas actuellement séparément les sous-répertoires bloqués individuellement – si vous ne souhaitez pas du tout être vérifié, bloquez la page d’accueil. Les requêtes légères sans navigateur et la vérification des en-têtes ne lisent pas robots.txt.

Opt-out : saisissez votre domaine sur la page Exclure votre domaine. L’exclusion s’applique au domaine et à sa variante www., pas aux autres sous-domaines. Elle prend effet pour toute vérification qui démarre après la saisie, de manière permanente, y compris à l’égard des clients payants disposant d’un domaine vérifié, et couvre également la vérification des en-têtes. La surveillance en cours dans un compte client prend fin à la prochaine vérification prévue ; d’ici là, des requêtes légères telles que le pouls des formulaires peuvent encore avoir lieu. Si vous souhaitez qu’elles cessent plus tôt également, écrivez-nous.

Protection des données

Le responsable du traitement est LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Pologne, contact@lukaswojcik.com. Lorsqu’un client vérifie son propre domaine, nous agissons pour son compte.

• Données et source : nous ne collectons des données à caractère personnel que dans la mesure où elles figurent sur les pages vérifiées de votre site web et deviennent visibles dans une adresse de page, un titre de page, un libellé de formulaire ou une capture d’écran, comme un nom dans les mentions légales ou à côté du formulaire. La source est votre site web. Nous ne recherchons pas de telles données.
• Finalité et base juridique : vérifications de sécurité des formulaires ; pour la vérification gratuite, la vérification de prospects et l’étude, sur la base de notre intérêt légitime et de l’intérêt de nos utilisateurs (Art. 6(1)(f) RGPD).
• Destinataires : la personne qui a lancé le rapport ou qui détient le lien vers celui-ci – le lien ouvre le rapport sans connexion ; pour les domaines d’un compte client, également les destinations d’alerte choisies par le client ; de l’étude, uniquement des totaux. Aucun service d’IA externe n’intervient.
• Durée de conservation : rapport sans compte 30 jours, vérification de prospects 90 jours, vérifications dans un compte client jusqu’à 13 mois, le résultat le plus récent pour chaque domaine aussi longtemps que le domaine existe, étude jusqu’à sa publication.
• Vos droits : accès, rectification, effacement, limitation et opposition au titre de l’Art. 21 RGPD – le plus rapidement via l’opt-out – ainsi que le droit d’introduire une réclamation auprès d’une autorité de contrôle, pour nous le Président de l’Office de protection des données personnelles (Prezes Urzędu Ochrony Danych Osobowych) à Varsovie.

Tout le reste figure dans la Politique de confidentialité. La manière dont nous traitons les abus est exposée dans Utilisation acceptable et abus.

Contact

Questions ou réclamations : contact@lukaswojcik.com ou via la page de contact. Veuillez indiquer votre domaine et, le cas échéant, l’identifiant d’analyse ou le lien vers le rapport. Veuillez signaler les vulnérabilités de sécurité de formexposed lui-même via notre page de signalement des vulnérabilités.