A FormExposedBotról

Utolsó frissítés: 2026. október 16.

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Token a robots.txt-ben: FormExposedBot

Mi a FormExposedBot?

A FormExposedBot a(z) formexposed robotja. A(z) formexposed azt ellenőrzi, hogy a kapcsolatfelvételi űrlapok védettek-e az automatizált spam ellen, és megbízhatóan működnek-e. Ha ezt a user-agentet a szervernaplóiban találta, valaki elindította a weboldala ellenőrzését:

• a(z) formexposed egy látogatója, aki beírta a domainjét az ingyenes ellenőrzésbe – fiók nélkül, csak olvasással;
• egy ügyfél, akinek a fiókjában szerepel a domainje, és aki kijelenti, hogy ő üzemelteti vagy gondozza a weboldalt, vagy valaki, aki telepítette a bővítményünket a weboldalára;
• egy ügynökség, amely potenciális ügyfélként, csak olvasással ellenőrizteti a weboldalát;
• mi magunk, egy tanulmányhoz, amelyből csak összesített adatokat teszünk közzé, weboldalak neve nélkül;
• valaki, aki beírta a kezdőlapját ingyenes fejléc-ellenőrzőnkbe (csak fejlécek, böngésző nélkül).

Kérésre megmondjuk, hogy egy ellenőrzés e típusok közül melyikbe tartozott; hogy ki indította, csak annyiban, amennyiben az adatvédelmi jog megengedi. Ennek során az adott személy kezdeményezésére járunk el; azon domainek esetében, amelyekre egy ügyfél igazolta a felette való rendelkezést, az ügyfél megbízásából.

Mi történik az ellenőrzés során?

• Az ellenőrzés előtt a robot elolvassa a robots.txt fájlját (lásd lent).
• Betölti a kezdőlapját és legfeljebb hét további oldalt ugyanazon a hoszton (www. előtaggal vagy anélkül, más aldomainek nélkül), összesen legfeljebb nyolcat. Elsőként azok az oldalak kerülnek sorra, amelyeken olyan szavak szerepelnek, mint kapcsolat, impresszum vagy támogatás. Kihagyja a bejelentkezési, fiók-, kosár- és pénztároldalakat, a hírcsatornákat, a PDF-eket és a képeket.
• Valódi, fej nélküli (headless) böngészőt használ bekapcsolt JavaScripttel, és az oldalakat egymás után tölti be, nem párhuzamosan. Egy oldal legfeljebb 20 másodpercig tarthat; körülbelül három perc után az ellenőrzés leáll.
• Beolvassa az űrlapokat: a mezők nevét és típusát, a címkéket, a kötelező mezőket, a beágyazott CAPTCHA-kat, a rejtett csapdákat, a tokeneket és a fejléceket. Ebben a csak olvasó ellenőrzésben semmit nem ír be.
• Legfeljebb három űrlapot tartalmazó oldalnál másodszor is betölti az oldalt, és a sütibannerben az „Elutasítás” gombra kattint – soha nem az „Elfogadás” gombra. Ebből látjuk, hogy az űrlap elutasítás után is működik-e.
• Legfeljebb három űrlapot tartalmazó oldalt telefonos nézetben is betölt, kattintás nélkül. A user-agent ugyanaz marad; nem adjuk ki magunkat okostelefonnak.
• Az űrlap típusát szabályok alapján, és ahol ezek nem elegendők, a saját szerverünkön futó nyelvi modell segítségével határozza meg. Eközben semmi nem hagyja el a szervereinket.

A domain feletti rendelkezés igazolása nélkül (lásd lent) a FormExposedBot csak bejelentkezés nélkül nyilvánosan elérhető oldalakat tölt le, és semmit nem küld be. Nem kerül meg semmilyen hozzáférés-védelmet, nem találgat bejelentkezési adatokat, és nem old meg CAPTCHA-kat. Minden ezen túlmenő művelet – tesztbeküldések, nyilvánosan elérhető fájlok keresése és a bejelentkezés mögötti ellenőrzés tesztfiókkal – csak ilyen igazolással rendelkező domaineknél vagy a(z) formexposed saját teszt- és demódomainjein történik.

A weboldalunkon elérhető ingyenes ellenőrzéssel ugyanazt a domaint legfeljebb hétnaponta egyszer ellenőrizzük; aki ismét beírja, a meglévő jelentést látja. Az ügyfelek a fiókjukban lévő domaineket kézzel, várakozási idővel ellenőriztethetik; a rendelkezés igazolásával rendelkező domaineket ezenfelül csomagjuk gyakoriságával rendszeresen is ellenőrizzük, teljes ellenőrzést legfeljebb naponta egyszer végezve. A böngésző nélküli könnyű lekérések (lásd lent) gyakrabban érkeznek.

Tesztbeküldések csak igazolt domaineknél

Beküldésre csak akkor kerül sor, ha egy ügyfél igazolta, hogy jogosult rendelkezni a domain felett (DNS-rekord, metacímke, fájl vagy bővítmény); ilyen igazolás nélkül aktívan csak saját teszt- és demódomainjeinket ellenőrizzük. Még ekkor is:

• ellenőrzésenként csak egy űrlapot, és csak olyat, amelyet megbízhatóan általános kapcsolatfelvételi űrlapként azonosítottunk; a nyelvi modell soha nem engedélyezhet beküldésre egy űrlapot;
• ellenőrzésenként legfeljebb öt beküldés, például CAPTCHA-válasz nélkül, kitöltött csapdamezővel vagy módosított tokennel;
• soha nem rendelési, foglalási, bejelentkezési, regisztrációs, hírlevél-, támogatási, fizetési vagy feltöltési űrlapok, soha nem olyan űrlapok, amelyekben telefonszám, postai cím vagy cégadatok kötelező mezők, soha nem olyan weboldalak, amelyeket a domain vagy az oldal címe alapján hatóságként, bíróságként, egyetemként, iskolaként vagy egészségügyi intézményként ismerünk fel.

A robot az űrlap típusát és a weboldal jellegét az oldal jellemzői alapján ismeri fel; ez a felismerés egyes esetekben téves lehet. A lista azt írja le, hogyan épül fel a robot, és nem jelent garanciát. Ha nem szeretne tesztbeküldéseket, zárja ki a domaint (lásd lent): ekkor nem indul olyan ellenőrzés, amelyben bármi beküldésre kerülhetne.

Minden beküldés meg van jelölve. Feladó neve: „FormExposed Security Scanner”, feladó címe: dummy@formexposed.com, tárgy: „[formexposed.com] Automated security test — no action required”. A szöveg az Ön oldalának nyelvén (németül, angolul vagy lengyelül) szól; angolul:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

A „No data was stored” (nem tároltunk adatot) mondat túl tág. A helyes megfogalmazás: eközben semmit nem tárolunk a látogatóitól vagy a postafiókjából. A teszt kiértékeléséhez azonban tároljuk a szervere beküldésre adott válaszát, mégpedig az állapotkódot, a válaszoldal első 300 karakterét és egy képernyőképet róla (lásd „Mit tárolunk?”).

A robot a többi kötelező mezőt a „FormExposed security test” szöveggel tölti ki. Bejelöli azokat a jelölőnégyzeteket, amelyek nélkül az űrlap nem küldhető be, például a hozzájárulásét. A megjelölés mutatja, hogy mögötte nem áll személy, és nem egy személy nyilatkozata.

A fejlécinjektálási teszt csak egy ártalmatlan X-FormExposed-Injection-Test fejlécet szúr be, soha nem címzettet. A címellenőrzési teszt egy .invalid alatti címet használ, amely nem létezhet.

További lekérések ügyfelek számára

Az ügyfélfiókban lévő igazolt domainek esetében az ügyfél kérésére a következők egészítik ki az ellenőrzést:

• Böngészős útvonalak: Egy böngésző (Chromium vagy WebKit) telefonméretben megnyit egy, az ügyfél által kiválasztott űrlapoldalt, és ellenőrzi, hogy az űrlap megjelenik-e és kezelhető-e egészen a küldés gombig; ehhez a kötelező mezőket tesztértékekkel tölti ki, amelyek nem hagyják el a böngészőt. Csak GET és HEAD kéréseket küld; a beküldés technikailag le van tiltva.
• Ellenőrzés a bejelentkezés mögött: csak a weboldal üzemeltetője által saját maga létrehozott tesztfiókkal, legfeljebb öt oldal, beküldés és képernyőképek nélkül, soha nem kijelentkezési, törlési vagy lemondási címek. Ha a bejelentkezésnél CAPTCHA van, a robot leáll.
• Könnyű lekérések böngésző nélkül: űrlappulzus (legfeljebb három űrlapoldal, csomagtól függően 10, 15 vagy 30 percenként), a rendelkezés igazolásának ellenőrzése, fejléc-ellenőrzés és nyilvánosan elérhető fájlok keresése. Ugyanazt a user-agentet használják egy olyan utótaggal, mint a pulse, ownership-verification, headers vagy exposed-files.

Ezen kívül ingyenes fejléc-ellenőrzőnkkel bárki lekérheti a kezdőlapja fejléceit: egy-egy kérés https-en és http-n keresztül a kezdőlapjára, valamint az esetleges átirányítások a domainjén belül, böngésző és űrlap nélkül.

Mit tárolunk?

Csak azt, ami a megállapítást leírja: az ellenőrzött oldalak címét és címsorát, az űrlapok felépítését (mezőnevek, típusok, címkék és hasonlók, mezőértékek nélkül; az előre kitöltött rejtett mezők legfeljebb 24 karakteres és a data- attribútumok legfeljebb 60 karakteres elejét a robot csak az ellenőrzés során olvassa be, és nem tárolja), az észlelt védelmi intézkedéseket, a fejléceket, a beágyazott szolgáltatások hosztjait, a szkriptek ellenőrzőösszegeit (nem a tartalmukat; beágyazott szkripteknél az első 80 karaktert is, felismerhetetlenné tett azonosítókkal), a beállított sütik nevét, a kezdőlap és az űrlapok látható területéről, valamint tesztbeküldés után a válaszoldalról készült képernyőképeket; e válaszból az állapotkódot és az első 300 karaktert is. Az ellenőrzés során készült képernyőképeket nem kitakarjuk; azt mutatják, ami a nyilvános oldalon látható. Csak a böngészős útvonalak készítenek kis képet az űrlapról, letakart beviteli mezőkkel. Ha egy űrlap címzettcímet tartalmaz, csak annak domainjét tároljuk.

Honnan érkeznek a lekérések?

A FormExposedBot saját szervereinken fut Lengyelországban. Az IP-címeket nem tesszük közzé, mert változhatnak. Ha tudni szeretné, hogy egy lekérés valóban tőlünk származott-e, írjon nekünk a naplójából vett időponttal és IP-címmel; megmondjuk, hogy tőlünk jött-e. A kimaradási riasztás előtti keresztellenőrzéshez egy másik szolgáltatónál lévő második helyszín is bekapcsolódhat; az is a FormExposedBot user-agentet használja.

Hogyan zárhatja ki a domainjét?

robots.txt:

User-agent: FormExposedBot
Disallow: /

A robot először egy FormExposedBotra vonatkozó csoportot keres a robots.txt fájlban, ennek hiányában a mindenkire vonatkozó csoportot (*). Ha egy Disallow kiterjed a kezdőlapra, nem történik ellenőrzés. Ha a szervere a robots.txt lekérésére szerverhibával vagy egyáltalán nem válaszol, óvatosságból szintén nem ellenőrzünk; ha a fájl hiányzik (404), a weboldalt engedélyezettnek tekintjük. Az egyes letiltott alkönyvtárakat jelenleg nem értékeljük külön – ha egyáltalán nem szeretné, hogy ellenőrizzük, tiltsa le a kezdőlapot. A böngésző nélküli könnyű lekérések és a fejléc-ellenőrzés nem olvassák a robots.txt fájlt.

Opt-out: Adja meg a domainjét a Domain kizárása oldalon. Ez a domainre és annak www. változatára vonatkozik, más aldomainekre nem. A megadás után induló minden ellenőrzésre véglegesen érvényes, igazolt domainnel rendelkező fizető ügyfelekkel szemben is, és a fejléc-ellenőrzésre is kiterjed. Az ügyfélfiókban folyó felügyelet a következő esedékes ellenőrzéssel ér véget; addig még érkezhetnek könnyű lekérések, például az űrlappulzus. Ha ezeket is hamarabb szeretné megszüntetni, írjon nekünk.

Adatvédelem

Az adatkezelő: LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Lengyelország, contact@lukaswojcik.com. Ha egy ügyfél a saját domainjét ellenőrzi, az ő megbízásából járunk el.

• Adatok és forrásuk: Személyes adatokat csak annyiban gyűjtünk, amennyiben azok a weboldala ellenőrzött oldalain szerepelnek, és megjelennek egy oldalcímben (URL), egy oldal címsorában, egy űrlapcímkében vagy egy képernyőképen, például egy név az impresszumban vagy az űrlap mellett. A forrás az Ön weboldala. Ilyen adatokat nem keresünk.
• Cél és jogalap: űrlapok biztonsági ellenőrzése; az ingyenes ellenőrzés, a potenciális ügyfél ellenőrzése és a tanulmány esetében a mi és felhasználóink jogos érdeke alapján (Art. 6(1)(f) GDPR).
• Címzettek: aki a jelentést elindította, vagy aki rendelkezik a hivatkozásával – a hivatkozás bejelentkezés nélkül megnyitja a jelentést; az ügyfélfiókban lévő domaineknél az ügyfél által választott riasztási célpontok is; a tanulmányból csak összesítések. Külső MI-szolgáltatás nem vesz részt.
• Tárolási idő: fiók nélküli jelentés 30 nap, potenciális ügyfél ellenőrzése 90 nap, ügyfélfiókban végzett ellenőrzések legfeljebb 13 hónap, minden domain legutóbbi eredménye addig, amíg a domain létezik, a tanulmány a közzétételig.
• Az Ön jogai: hozzáférés, helyesbítés, törlés, az adatkezelés korlátozása és tiltakozás az Art. 21 GDPR szerint – leggyorsabban az opt-out útján –, valamint a felügyeleti hatóságnál történő panasztétel joga; ez esetünkben a varsói Személyes Adatok Védelmi Hivatalának Elnöke (Prezes Urzędu Ochrony Danych Osobowych).

Minden további információ az Adatvédelmi tájékoztatóban található. Hogy hogyan kezeljük a visszaéléseket, azt az Elfogadható használat és visszaélések dokumentum ismerteti.

Kapcsolat

Kérdések vagy panaszok: contact@lukaswojcik.com vagy a kapcsolatfelvételi oldalon. Kérjük, adja meg a domainjét és – ha rendelkezésre áll – az ellenőrzés azonosítóját (Scan ID) vagy a jelentés hivatkozását. Magának a(z) formexposed szolgáltatásnak a biztonsági réseit kérjük a sebezhetőségek bejelentésére szolgáló oldalunkon jelentse.