Om FormExposedBot

Sist oppdatert: 16. oktober 2026

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Token i robots.txt: FormExposedBot

Hva FormExposedBot er

FormExposedBot er crawleren til formexposed. formexposed kontrollerer om kontaktskjemaer er beskyttet mot automatisk spam og fungerer pålitelig. Hvis du har funnet denne user-agent-strengen i serverloggene dine, har noen startet en kontroll av nettstedet ditt:

• en besøkende på formexposed som skrev inn domenet ditt i den gratis kontrollen – uten konto, bare lesing;
• en kunde som har domenet ditt i kontoen sin og oppgir å drive eller administrere nettstedet, eller noen som har installert tillegget vårt på nettstedet ditt;
• et byrå som får kontrollert nettstedet ditt, bare med lesing, som en potensiell kunde;
• vi selv, for en studie der vi bare publiserer aggregerte tall uten navn på nettsteder;
• noen som skrev inn startsiden din i den gratis kontrollen av HTTP-hoder (bare hoder, uten nettleser).

På forespørsel forteller vi deg hvilken av disse typene en kontroll var; hvem som startet den, bare i den utstrekning personvernreglene tillater det. Vi handler da på initiativ fra denne personen; for domener der en kunde har fremlagt dokumentasjon på kontroll, på denne kundens vegne.

Hva som skjer under en kontroll

• Før kontrollen leser boten robots.txt (se nedenfor).
• Den laster startsiden din og inntil sju ytterligere sider på samme vert (med eller uten www., ingen andre underdomener), høyst åtte totalt. Sider med ord som kontakt, leverandøropplysninger eller kundestøtte kommer først. Den hopper over innloggings-, konto-, handlekurv- og betalingssider, strømmer, PDF-er og bilder.
• Den bruker en reell nettleser uten grafisk grensesnitt med JavaScript aktivert og laster sidene etter hverandre, ikke parallelt. En side kan bruke høyst 20 sekunder; etter omtrent tre minutter stopper kontrollen.
• Den leser skjemaene: feltnavn og typer, etiketter, obligatoriske felt, innebygde CAPTCHA-er, skjulte feller, tokener og hoder. Under denne lesekontrollen legger den ikke inn noe.
• For høyst tre sider med et skjema laster den siden en gang til og klikker «Avvis» i informasjonskapselbanneret – aldri «Godta». Dette viser oss om skjemaet fortsatt fungerer etter en avvisning.
• For høyst tre sider med et skjema laster den siden i mobilvisning uten å klikke. User-agent-strengen forblir den samme; vi utgir oss ikke for å være en smarttelefon.
• Den fastslår skjematypen med regler og, der disse ikke er tilstrekkelige, med en språkmodell som kjører på vår egen server. Ingenting forlater serverne våre i prosessen.

Uten dokumentasjon på kontroll over domenet (nedenfor) henter FormExposedBot bare sider som er offentlig tilgjengelige uten innlogging, og sender ikke inn noe. Den omgår ingen tilgangsbeskyttelse, gjetter ikke innloggingsopplysninger og løser ikke CAPTCHA-er. Alt ut over dette – testinnsendinger, søk etter tilgjengelige filer og kontroll bak innlogging med en testkonto – skjer bare for domener med denne dokumentasjonen eller for formexposeds egne test- og demonstrasjonsdomener.

Via den gratis kontrollen på nettstedet vårt kontrollerer vi samme domene høyst én gang hver sjuende dag; den som skriver det inn på nytt, ser den eksisterende rapporten. Kunder kan få domenene i kontoen kontrollert manuelt, med en ventetid; domener med dokumentasjon på kontroll kontrolleres også regelmessig med abonnementets hyppighet, en fullstendig kontroll høyst én gang om dagen. De lette forespørslene uten nettleser (nedenfor) kommer oftere.

Testinnsendinger bare for verifiserte domener

For kunder sendes noe inn bare hvis en kunde har dokumentert sin rett til å kontrollere domenet (DNS-oppføring, metatagg, fil eller tillegg); uten denne dokumentasjonen kontrollerer vi bare våre egne test- og demonstrasjonsdomener aktivt. Selv da gjelder:

• bare ett skjema per kontroll, og bare ett som med sikkerhet er identifisert som et generelt kontaktskjema; språkmodellen kan aldri frigi et skjema for innsending;
• høyst fem innsendinger per kontroll, for eksempel uten CAPTCHA-svar, med fellefeltet utfylt eller med en endret token;
• aldri bestillings-, booking-, innloggings-, registrerings-, nyhetsbrev-, kundestøtte-, betalings- eller opplastingsskjemaer, aldri skjemaer med obligatoriske felt for telefon, postadresse eller firmaopplysninger, aldri nettsteder vi ut fra domenet eller sidetittelen gjenkjenner som en offentlig myndighet, domstol, et universitet, en skole eller en helseinstitusjon.

Boten gjenkjenner skjematypen og nettstedstypen ut fra egenskaper ved siden; i enkelttilfeller kan denne gjenkjenningen være feil. Listen beskriver hvordan boten er bygget, og er ingen garanti. Hvis du ikke ønsker testinnsendinger, unnta domenet (nedenfor): Da starter ingen kontroll der noe kan sendes inn.

Hver innsending er merket. Avsendernavn «FormExposed Security Scanner», avsenderadresse dummy@formexposed.com, emne «[formexposed.com] Automated security test — no action required». Teksten er på sidens språk (tysk, engelsk eller polsk); på engelsk:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

Setningen «No data was stored» er for vid. Det som er riktig: Vi lagrer ingenting fra de besøkende dine eller fra postkassen din i prosessen. For å vurdere testen lagrer vi imidlertid serverens svar på innsendingen, nemlig statuskoden, de første 300 tegnene på svarsiden og et skjermbilde av den (se «Hva som lagres»).

Boten fyller ut andre obligatoriske felt med «FormExposed security test». Den krysser av i bokser som er nødvendige for at skjemaet skal kunne sendes inn, for eksempel for samtykke. Merkingen viser at det ikke står noen person eller erklæring fra en person bak.

Kontrollen av hodeinjeksjon setter bare inn et ufarlig hode X-FormExposed-Injection-Test, aldri en mottaker. Kontrollen av adressevalidering bruker en adresse under .invalid, som ikke kan eksistere.

Ytterligere forespørsler for kunder

For verifiserte domener i en kundekonto kommer følgende i tillegg på kundens anmodning:

• Nettleserforløp: En nettleser (Chromium eller WebKit) åpner en skjemaside valgt av kunden i telefonstørrelse og kontrollerer om skjemaet vises og kan betjenes frem til sendeknappen; til dette fyller den ut obligatoriske felt med testverdier som ikke forlater nettleseren. Den sender bare GET- og HEAD-forespørsler; innsending er teknisk blokkert.
• Skanning bak innlogging: Bare med en testkonto som nettstedoperatøren selv har opprettet, høyst fem sider, uten innsending, uten skjermbilder, aldri utloggings-, slette- eller avbestillingsadresser. Hvis innloggingen har en CAPTCHA, stopper boten.
• Lette forespørsler uten nettleser: Skjemapuls (inntil tre skjemasider, hvert 10., 15. eller 30. minutt avhengig av abonnementet), kontroll av dokumentasjon på kontroll, kontroll av HTTP-hoder og søk etter tilgjengelige filer. De bruker samme user-agent med et tillegg som pulse, ownership-verification, headers eller exposed-files.

I tillegg kan alle få hentet HTTP-hodene til startsiden din med den gratis kontrollen av HTTP-hoder: én forespørsel hver via https og http til startsiden, pluss eventuelle omdirigeringer innenfor domenet ditt, uten nettleser og uten skjema.

Hva som lagres

Bare det som beskriver funnet: adresser og titler på de kontrollerte sidene, skjemastrukturen (feltnavn, typer, etiketter og lignende, ingen feltverdier; begynnelsen av forhåndsutfylte skjulte felt inntil 24 tegn og av data--attributter inntil 60 tegn leses av boten bare under kontrollen og lagres ikke), oppdagede beskyttelsestiltak, hoder, vertene til innebygde tjenester, kontrollsummer for skriptene (ikke innholdet; for innebygde skript også de første 80 tegnene, med identifikatorer gjort ugjenkjennelige), navnene på informasjonskapsler som er satt, skjermbilder av det synlige området på startsiden og av skjemaene og, etter en testinnsending, av svarsiden; av dette svaret også statuskoden og de første 300 tegnene. Disse skjermbildene fra kontrollen er ikke sladdet; de viser det som er synlig på den offentlige siden. Bare nettleserforløp gir et lite bilde av skjemaet med inndatafeltene tildekket. Hvis et skjema inneholder en mottakeradresse, lagrer vi bare domenet til den.

Hvor forespørslene kommer fra

FormExposedBot kjører på våre egne servere i Polen. Vi offentliggjør ikke IP-adressene fordi de kan endres. Hvis du vil vite om en forespørsel virkelig kom fra oss, skriv til oss med tidspunktet og IP-adressen fra loggen din; vi forteller deg om den kom fra oss. For krysskontrollen før et varsel om driftsavbrudd kan et annet kontrollsted hos en annen leverandør legges til; også dette bruker user-agent-strengen FormExposedBot.

Slik unntar du domenet ditt

robots.txt:

User-agent: FormExposedBot
Disallow: /

Boten ser først i robots.txt etter en gruppe for FormExposedBot, ellers etter gruppen for alle (*). Hvis en Disallow omfatter startsiden, finner ingen kontroll sted. Hvis serveren din svarer på forespørselen om robots.txt med en serverfeil eller ikke svarer i det hele tatt, kontrollerer vi heller ikke, som en forholdsregel; hvis filen mangler (404), behandles nettstedet som tillatt. Vi vurderer for tiden ikke enkelte blokkerte underkataloger separat – hvis du ikke vil bli kontrollert i det hele tatt, blokker startsiden. De lette forespørslene uten nettleser og kontrollen av HTTP-hoder leser ikke robots.txt.

Opt-out: Skriv inn domenet ditt på siden Unnta domenet ditt. Det gjelder domenet og www.-varianten, ikke andre underdomener. Det får virkning for hver kontroll som starter etter registreringen, permanent, også overfor betalende kunder med et verifisert domene, og omfatter også kontrollen av HTTP-hoder. Løpende overvåking i en kundekonto avsluttes med neste planlagte kontroll; frem til da kan lette forespørsler som skjemapulsen fortsatt komme. Hvis du ønsker at også disse skal avsluttes tidligere, skriv til oss.

Personvern

Behandlingsansvarlig er LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polen, contact@lukaswojcik.com. Når en kunde kontrollerer sitt eget domene, handler vi på kundens vegne.

• Opplysninger og kilde: Vi samler bare inn personopplysninger i den utstrekning de finnes på de kontrollerte sidene på nettstedet ditt og blir synlige i en sideadresse, sidetittel, skjemaetikett eller et skjermbilde, som et navn i leverandøropplysningene eller ved siden av skjemaet. Kilden er nettstedet ditt. Vi søker ikke etter slike opplysninger.
• Formål og rettslig grunnlag: Sikkerhetskontroller av skjemaer; for den gratis kontrollen, kontrollen av potensielle kunder og studien på grunnlag av vår og brukernes berettigede interesse (personvernforordningen art. 6(1)(f)).
• Mottakere: Den som startet rapporten eller har lenken til den – lenken åpner rapporten uten innlogging; for domener i en kundekonto også mottakerstedene for varsler som kunden har valgt; fra studien bare samlede tall. Ingen ekstern KI-tjeneste er involvert.
• Lagringstid: Rapport uten konto 30 dager, kontroll av potensielle kunder 90 dager, kontroller i en kundekonto inntil 13 måneder, det siste resultatet for hvert domene så lenge domenet finnes, studie frem til publisering.
• Dine rettigheter: Innsyn, retting, sletting, begrensning og protest etter personvernforordningen art. 21 – raskest via opt-out – og rett til å klage til en tilsynsmyndighet, for oss lederen for det polske personvernkontoret (Prezes Urzędu Ochrony Danych Osobowych) i Warszawa.

Alt annet står i Personvernerklæringen. Hvordan vi håndterer misbruk, fremgår av Akseptabel bruk og misbruk.

Kontakt

Spørsmål eller klager: contact@lukaswojcik.com eller via kontaktsiden. Oppgi domenet ditt og, hvis tilgjengelig, skanne-ID-en eller rapportlenken. Vennligst meld sikkerhetssårbarheter i selve formexposed via rapporteringssiden for sårbarheter vår.