על FormExposedBot

עודכן לאחרונה: 16 באוקטובר 2026

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
אסימון ב-robots.txt: FormExposedBot

מהו FormExposedBot

FormExposedBot הוא הסורק של formexposed. formexposed בודק אם טפסי יצירת קשר מוגנים מפני ספאם אוטומטי ופועלים באופן אמין. אם סוכן משתמש זה מופיע ביומני השרת של האתר, מישהו הפעיל בדיקה של האתר:

• מבקר ב-formexposed שהזין את הדומיין בבדיקה החינמית – ללא חשבון, לקריאה בלבד;
• לקוח שהדומיין נמצא בחשבון שלו ושהצהיר כי הוא מפעיל את האתר או מטפל בו, או מי שהתקין באתר את התוסף שלנו;
• סוכנות שגורמת לבדיקת האתר, לקריאה בלבד, כלקוח פוטנציאלי;
• אנו עצמנו, לצורך מחקר שממנו אנו מפרסמים רק נתונים מצרפיים ללא שמות האתרים;
• מי שהזין את דף הבית בבדיקת כותרות התגובה החינמית שלנו (כותרות בלבד, ללא דפדפן).

לפי בקשה נמסור לאיזה מסוגים אלה השתייכה בדיקה; את זהות מי שהפעיל אותה נמסור רק במידה שדיני הגנת המידע מתירים זאת. בכך אנו פועלים ביוזמת אותו אדם; ביחס לדומיינים שלקוח סיפק עבורם הוכחת שליטה, אנו פועלים מטעם אותו לקוח.

מה קורה במהלך בדיקה

• לפני הבדיקה, הבוט קורא את קובץ robots.txt של האתר (ראו להלן).
• הוא טוען את דף הבית ועד שבעה דפים נוספים באותו מארח (עם או בלי www., ללא תת-דומיינים אחרים), ולכל היותר שמונה דפים בסך הכול. דפים עם מילים כגון יצירת קשר, פרטי ספק השירות או תמיכה מקבלים עדיפות. הוא מדלג על דפי כניסה לחשבון, חשבון, סל קניות ותשלום, על הזנות, על קובצי PDF ועל תמונות.
• הוא משתמש בדפדפן אמיתי ללא ממשק גרפי, עם JavaScript פעיל, וטוען את הדפים בזה אחר זה ולא במקביל. טעינת דף יכולה להימשך לכל היותר 20 שניות; לאחר כשלוש דקות הבדיקה נעצרת.
• הוא קורא את הטפסים: שמות וסוגים של שדות, תוויות, שדות חובה, רכיבי CAPTCHA מוטמעים, מלכודות נסתרות, אסימונים וכותרות תגובה. במהלך בדיקה זו, שהיא לקריאה בלבד, הוא אינו מזין דבר.
• בעד שלושה דפים המכילים טופס, הוא טוען את הדף פעם שנייה ולוחץ על “דחייה” בכרזת העוגיות – ולעולם לא על “אישור”. כך אנו רואים אם הטופס עדיין פועל לאחר דחייה.
• בעד שלושה דפים המכילים טופס, הוא טוען את הדף בתצוגת טלפון, ללא לחיצות. סוכן המשתמש נשאר זהה; איננו מתחזים לטלפון חכם.
• הוא קובע את סוג הטופס באמצעות כללים, וכאשר הם אינם מספיקים, באמצעות מודל שפה הפועל בשרת שלנו עצמנו. דבר אינו יוצא מהשרתים שלנו בתהליך זה.

ללא הוכחת שליטה בדומיין (להלן), FormExposedBot מאחזר רק דפים הנגישים לציבור ללא כניסה לחשבון ואינו שולח דבר. הוא אינו עוקף הגנות גישה, אינו מנחש פרטי כניסה ואינו פותר CAPTCHA. כל פעולה מעבר לכך – שליחות בדיקה, חיפוש קבצים חשופים ובדיקה מאחורי כניסה לחשבון באמצעות חשבון בדיקה – מתבצעת רק בדומיינים עם הוכחה זו או בדומייני הבדיקה וההדגמה של formexposed עצמו.

באמצעות הבדיקה החינמית באתר שלנו, אנו בודקים אותו דומיין לכל היותר פעם בשבעה ימים; הזנתו שוב מציגה את הדוח הקיים. לקוחות יכולים להפעיל ידנית בדיקות של הדומיינים שבחשבון שלהם, בכפוף לזמן המתנה; דומיינים עם הוכחת שליטה נבדקים גם בקביעות בתדירות של המסלול, כאשר בדיקה מלאה מתבצעת לכל היותר פעם ביום. הבקשות הקלות המתבצעות ללא דפדפן (להלן) נשלחות בתדירות גבוהה יותר.

שליחות בדיקה רק לדומיינים מאומתים

עבור לקוחות, שליחה מתבצעת רק אם לקוח הוכיח שהוא רשאי לשלוט בדומיין (רשומת DNS, תג מטא, קובץ או תוסף); ללא הוכחה זו, אנו בודקים באופן פעיל רק את דומייני הבדיקה וההדגמה שלנו עצמנו. גם אז:

• נבדק רק טופס אחד בכל בדיקה, ורק טופס שזוהה באופן מהימן כטופס יצירת קשר כללי; מודל השפה לעולם אינו יכול לאשר שליחה מטופס;
• מתבצעות לכל היותר חמש שליחות בכל בדיקה, למשל ללא תשובת CAPTCHA, עם שדה המלכודת מלא או עם אסימון ששונה;
• לעולם לא נשלחים טפסי הזמנה, הזמנת שירות, כניסה לחשבון, הרשמה, דיוור, תמיכה, תשלום או העלאת קבצים; לעולם לא טפסים עם שדות חובה לטלפון, לכתובת דואר או לפרטי חברה; ולעולם לא באתרים שאנו מזהים לפי הדומיין או כותרת הדף כרשות ציבורית, בית משפט, אוניברסיטה, בית ספר או מוסד רפואי.

הבוט מזהה את סוג הטופס ואת סוג האתר מתוך מאפייני הדף; במקרים מסוימים הזיהוי עלול להיות שגוי. הרשימה מתארת כיצד הבוט בנוי ואינה ערבות. כדי למנוע שליחות בדיקה, יש להחריג את הדומיין (להלן): לאחר מכן לא תתחיל שום בדיקה שבה עשויה להתבצע שליחה.

כל שליחה מסומנת. שם השולח “FormExposed Security Scanner”, כתובת השולח dummy@formexposed.com, הנושא “[formexposed.com] Automated security test — no action required”. הטקסט הוא בשפת הדף (גרמנית, אנגלית או פולנית); באנגלית:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

המשפט “No data was stored” רחב מדי. הניסוח הנכון הוא: בתהליך זה איננו שומרים דבר מהמבקרים באתר או מתיבת הדואר שלו. עם זאת, לצורך הערכת הבדיקה אנו שומרים את תגובת השרת לשליחה, כלומר את קוד המצב, את 300 התווים הראשונים של דף התגובה ואת צילום המסך שלו (ראו “מה נשמר”).

הבוט ממלא שדות חובה אחרים בטקסט “FormExposed security test”. הוא מסמן תיבות שבלעדיהן לא ניתן לשלוח את הטופס, למשל תיבת הסכמה. הסימון מבהיר שאין מאחורי הפעולה אדם או הצהרה של אדם.

בדיקת הזרקת כותרות דוא״ל מוסיפה רק כותרת לא מזיקה X-FormExposed-Injection-Test, ולעולם לא נמען. בדיקת אימות הכתובת משתמשת בכתובת תחת .invalid, שאינה יכולה להתקיים.

בקשות נוספות עבור לקוחות

עבור דומיינים מאומתים בחשבון לקוח, לפי בקשת הלקוח מתווספות הפעולות הבאות:

• תהליכי שימוש בדפדפן: דפדפן (Chromium או WebKit) פותח דף טופס שבחר הלקוח בגודל של טלפון, ובודק אם הטופס מופיע וניתן לתפעול עד לכפתור השליחה; לשם כך הוא ממלא שדות חובה בערכי בדיקה שאינם יוצאים מהדפדפן. הוא שולח רק בקשות GET ו-HEAD; השליחה חסומה מבחינה טכנית.
• סריקה מאחורי כניסה לחשבון: רק עם חשבון בדיקה שמפעיל האתר יצר בעצמו, לכל היותר חמישה דפים, ללא שליחה, ללא צילומי מסך, ולעולם לא בכתובות להתנתקות, למחיקה או לביטול. אם הכניסה לחשבון כוללת CAPTCHA, הבוט נעצר.
• בקשות קלות ללא דפדפן: דופק הטופס (עד שלושה דפי טפסים, בכל 10, 15 או 30 דקות בהתאם למסלול), בדיקת הוכחת השליטה, בדיקת כותרות תגובה וחיפוש קבצים חשופים. הן משתמשות באותו סוכן משתמש עם סיומת כגון pulse, ownership-verification, headers או exposed-files.

בנוסף, כל אדם יכול לגרום לאחזור כותרות התגובה של דף הבית באמצעות בדיקת הכותרות החינמית שלנו: בקשה אחת דרך https ואחת דרך http לדף הבית, בתוספת הפניות בתוך הדומיין, ללא דפדפן וללא טופס.

מה נשמר

רק מה שמתאר את הממצא: כתובות וכותרות של הדפים שנבדקו, מבנה הטפסים (שמות שדות, סוגים, תוויות וכדומה, ללא ערכי שדות; התחלות של שדות נסתרים שמולאו מראש, עד 24 תווים, ושל מאפייני data-, עד 60 תווים, נקראות על ידי הבוט רק במהלך הבדיקה ואינן נשמרות), אמצעי ההגנה שזוהו, כותרות תגובה, המארחים של שירותים מוטמעים, סכומי ביקורת של הסקריפטים (לא תוכנם; עבור סקריפטים מוטמעים, גם 80 התווים הראשונים, לאחר שהמזהים הפכו לבלתי ניתנים לזיהוי), שמות העוגיות שהוצבו, צילומי מסך של האזור הגלוי של דף הבית ושל הטפסים, ולאחר שליחת בדיקה גם של דף התגובה; מהתגובה נשמרים גם קוד המצב ו-300 התווים הראשונים. צילומי מסך אלה מהבדיקה אינם עוברים השחרה; הם מציגים את מה שניתן לראות בדף הציבורי. רק תהליכי שימוש בדפדפן מפיקים תמונה קטנה של הטופס כששדות הקלט מכוסים. אם טופס מכיל כתובת נמען, אנו שומרים רק את הדומיין שלה.

מהיכן מגיעות הבקשות

FormExposedBot פועל בשרתים שלנו עצמנו בפולין. איננו מפרסמים את כתובות ה-IP משום שהן עשויות להשתנות. כדי לברר אם בקשה אכן הגיעה מאיתנו, אפשר לכתוב אלינו בצירוף השעה וכתובת ה-IP מהיומן; נודיע אם היא הגיעה מאיתנו. לבדיקה הצולבת לפני התרעה על השבתה עשוי להתווסף מיקום שני אצל ספק אחר; גם הוא משתמש בסוכן המשתמש FormExposedBot.

כיצד להחריג דומיין

robots.txt:

User-agent: FormExposedBot
Disallow: /

הבוט מחפש תחילה בקובץ robots.txt של האתר קבוצה עבור FormExposedBot, ואם אין כזו, את הקבוצה לכולם (*). אם הוראת Disallow מכסה את דף הבית, לא מתבצעת בדיקה. אם השרת משיב לבקשת robots.txt בשגיאת שרת או אינו משיב כלל, גם אז איננו בודקים, כאמצעי זהירות; אם הקובץ חסר (404), האתר נחשב למותר לבדיקה. כיום איננו בוחנים בנפרד תת-תיקיות בודדות שנחסמו – כדי למנוע בדיקה לחלוטין, יש לחסום את דף הבית. הבקשות הקלות ללא דפדפן ובדיקת כותרות התגובה אינן קוראות את robots.txt.

החרגה: יש להזין את הדומיין בדף החרגת דומיין. ההחרגה חלה על הדומיין ועל גרסת ה-www. שלו, ולא על תת-דומיינים אחרים. היא נכנסת לתוקף עבור כל בדיקה המתחילה לאחר הרישום, לצמיתות, גם כלפי לקוחות משלמים עם דומיין מאומת, ומכסה גם את בדיקת כותרות התגובה. ניטור מתמשך בחשבון לקוח מסתיים בבדיקה הבאה שמגיעה זמנה; עד אז עדיין עשויות להגיע בקשות קלות כגון דופק הטופס. כדי שגם הן יסתיימו מוקדם יותר, אפשר לכתוב אלינו.

הגנת מידע

בעל השליטה במידע הוא LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, contact@lukaswojcik.com. כאשר לקוח בודק דומיין שלו עצמו, אנו פועלים מטעמו.

• מידע ומקור: אנו אוספים מידע אישי רק במידה שהוא מופיע בדפים שנבדקו באתר ונעשה גלוי בכתובת דף, בכותרת דף, בתווית טופס או בצילום מסך, כגון שם בפרטי ספק השירות או ליד הטופס. המקור הוא האתר. איננו מחפשים מידע כזה.
• מטרה ובסיס משפטי: בדיקות אבטחה של טפסים; עבור הבדיקה החינמית, בדיקת לקוחות פוטנציאליים והמחקר, על בסיס האינטרס הלגיטימי שלנו והאינטרס של המשתמשים שלנו (סעיף 6(1)(f) ל-GDPR).
• נמענים: מי שהפעיל את הדוח או מחזיק בקישור אליו – הקישור פותח את הדוח ללא כניסה לחשבון; עבור דומיינים בחשבון לקוח, גם יעדי ההתרעות שהלקוח בחר; מהמחקר, רק נתונים מצטברים. לא מעורב שירות בינה מלאכותית חיצוני.
• תקופת שמירה: דוח ללא חשבון נשמר 30 ימים, בדיקת לקוחות פוטנציאליים 90 ימים, בדיקות בחשבון לקוח עד 13 חודשים, התוצאה האחרונה לכל דומיין כל עוד הדומיין קיים, והמחקר עד לפרסום.
• הזכויות: גישה למידע, תיקון, מחיקה, הגבלת עיבוד והתנגדות לפי סעיף 21 ל-GDPR – בדרך המהירה ביותר דרך ההחרגה – וכן הזכות להגיש תלונה לרשות פיקוח, שבענייננו היא נשיא הרשות להגנת מידע אישי (Prezes Urzędu Ochrony Danych Osobowych) בוורשה.

כל יתר הפרטים מופיעים במדיניות הפרטיות. אופן הטיפול שלנו בשימוש לרעה מפורט בדף שימוש מותר ושימוש לרעה.

יצירת קשר

שאלות או תלונות: contact@lukaswojcik.com או דרך דף יצירת הקשר. יש לציין את הדומיין, ואם קיים, את מזהה הסריקה או את הקישור לדוח. על חולשות אבטחה ב-formexposed עצמו יש לדווח דרך דף הדיווח על חולשות אבטחה שלנו.