Over FormExposedBot

Laatst bijgewerkt: 16 oktober 2026

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Token in robots.txt: FormExposedBot

Wat FormExposedBot is

FormExposedBot is de crawler van formexposed. formexposed controleert of contactformulieren beschermd zijn tegen geautomatiseerde spam en betrouwbaar werken. Als u deze user-agent in uw serverlogs bent tegengekomen, heeft iemand een controle van uw website gestart:

• een bezoeker van formexposed die uw domein in de gratis controle heeft ingevoerd – zonder account, alleen-lezen;
• een klant die uw domein in zijn account heeft en verklaart dat hij de website beheert of onderhoudt, of iemand die onze plugin op uw website heeft geïnstalleerd;
• een bureau dat uw website als potentiële klant alleen-lezen laat controleren;
• wijzelf, voor een onderzoek waarvan wij alleen geaggregeerde cijfers zonder namen van websites publiceren;
• iemand die uw homepage in onze gratis headercontrole heeft ingevoerd (alleen headers, zonder browser).

Op verzoek vertellen wij u om welk van deze typen het bij een controle ging; wie de controle heeft gestart, alleen voor zover het gegevensbeschermingsrecht dat toestaat. Wij handelen daarbij op initiatief van die persoon; voor domeinen waarvoor een klant bewijs van zeggenschap heeft geleverd, namens die klant.

Wat er tijdens een controle gebeurt

• Vóór de controle leest de bot uw robots.txt (zie hieronder).
• Hij laadt uw homepage en maximaal zeven andere pagina’s op dezelfde host (met of zonder www., geen andere subdomeinen), in totaal maximaal acht. Pagina’s met woorden zoals contact, colofon of support komen eerst. Login-, account-, winkelwagen- en afrekenpagina’s, feeds, pdf’s en afbeeldingen slaat hij over.
• Hij gebruikt een echte headless browser met ingeschakeld JavaScript en laadt de pagina’s na elkaar, niet parallel. Een pagina mag maximaal 20 seconden duren; na ongeveer drie minuten stopt de controle.
• Hij leest de formulieren: veldnamen en -typen, labels, verplichte velden, ingesloten CAPTCHA’s, verborgen vallen, tokens en headers. Tijdens deze alleen-lezen-controle voert hij niets in.
• Bij maximaal drie pagina’s met een formulier laadt hij de pagina een tweede keer en klikt hij in de cookiebanner op “Weigeren” – nooit op “Accepteren”. Zo zien wij of het formulier na een weigering nog werkt.
• Bij maximaal drie pagina’s met een formulier laadt hij de pagina in een telefoonweergave, zonder te klikken. De user-agent blijft hetzelfde; wij doen ons niet voor als smartphone.
• Hij bepaalt het type van een formulier aan de hand van regels en, waar die niet volstaan, met een taalmodel dat op onze eigen server draait. Daarbij verlaat niets onze servers.

Zonder bewijs van zeggenschap over het domein (zie hieronder) haalt FormExposedBot alleen pagina’s op die zonder inloggen openbaar toegankelijk zijn, en verzendt hij niets. Hij omzeilt geen toegangsbeveiliging, raadt geen inloggegevens en lost geen CAPTCHA’s op. Alles wat verder gaat – testverzendingen, het zoeken naar blootgestelde bestanden en de controle achter een login met een testaccount – vindt alleen plaats voor domeinen met dit bewijs of voor de eigen test- en demodomeinen van formexposed.

Via de gratis controle op onze website controleren wij hetzelfde domein maximaal eenmaal per zeven dagen; wie het opnieuw invoert, ziet het bestaande rapport. Klanten kunnen de domeinen in hun account handmatig laten controleren, met een wachttijd; domeinen met bewijs van zeggenschap worden bovendien regelmatig gecontroleerd met de frequentie van hun abonnement, een volledige controle maximaal eenmaal per dag. De lichte verzoeken zonder browser (zie hieronder) komen vaker.

Testverzendingen alleen voor geverifieerde domeinen

Voor klanten wordt alleen iets verzonden als een klant heeft aangetoond dat hij gerechtigd is zeggenschap over het domein uit te oefenen (DNS-record, metatag, bestand of plugin); zonder dit bewijs controleren wij alleen onze eigen test- en demodomeinen actief. Ook dan geldt:

• slechts één formulier per controle, en alleen een formulier dat betrouwbaar als algemeen contactformulier is herkend; het taalmodel kan een formulier nooit voor verzending vrijgeven;
• maximaal vijf verzendingen per controle, bijvoorbeeld zonder CAPTCHA-antwoord, met ingevuld valveld of met een gewijzigd token;
• nooit bestel-, boekings-, login-, registratie-, nieuwsbrief-, support-, betaal- of uploadformulieren, nooit formulieren met verplichte velden voor telefoonnummer, postadres of bedrijfsgegevens, nooit websites die wij aan het domein of de paginatitel herkennen als overheidsinstantie, rechtbank, universiteit, school of zorginstelling.

De bot herkent het formuliertype en het type website aan kenmerken van de pagina; in afzonderlijke gevallen kan deze herkenning onjuist zijn. De lijst beschrijft hoe de bot is gebouwd en is geen garantie. Als u geen testverzendingen wilt, sluit u het domein uit (zie hieronder): dan start er geen controle meer waarbij iets verzonden zou kunnen worden.

Elke verzending is gemarkeerd. Afzendernaam “FormExposed Security Scanner”, afzenderadres dummy@formexposed.com, onderwerp “[formexposed.com] Automated security test — no action required”. De tekst is in de taal van uw pagina (Duits, Engels of Pools); in het Engels:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

De zin “No data was stored” is te ruim geformuleerd. Juist is: wij slaan daarbij niets op van uw bezoekers of uit uw mailbox. Om de test te evalueren, slaan wij echter wel de reactie van uw server op de verzending op, namelijk de statuscode, de eerste 300 tekens van de antwoordpagina en een screenshot daarvan (zie “Wat wordt opgeslagen”).

Andere verplichte velden vult de bot in met “FormExposed security test”. Hij vinkt selectievakjes aan zonder welke het formulier niet kan worden verzonden, bijvoorbeeld voor toestemming. De markering laat zien dat er geen persoon en geen verklaring van een persoon achter zit.

De controle op header-injectie voegt alleen een onschuldige header X-FormExposed-Injection-Test in, nooit een ontvanger. De controle van de adresvalidatie gebruikt een adres onder .invalid, dat niet kan bestaan.

Aanvullende verzoeken voor klanten

Voor geverifieerde domeinen in een klantaccount komt op verzoek van de klant het volgende erbij:

• Browsertrajecten: Een browser (Chromium of WebKit) opent een door de klant gekozen formulierpagina op telefoonformaat en controleert of het formulier verschijnt en tot aan de verzendknop te bedienen is; daarvoor vult hij verplichte velden in met testwaarden die de browser niet verlaten. Hij verstuurt alleen GET- en HEAD-verzoeken; verzenden is technisch geblokkeerd.
• Scan achter de login: alleen met een testaccount dat de websitebeheerder zelf heeft aangemaakt, maximaal vijf pagina’s, zonder verzenden, zonder screenshots, nooit uitlog-, verwijder- of opzeggingsadressen. Als de login een CAPTCHA bevat, stopt de bot.
• Lichte verzoeken zonder browser: formulierpuls (tot drie formulierpagina’s, afhankelijk van het abonnement elke 10, 15 of 30 minuten), controle van het bewijs van zeggenschap, headercontrole en zoeken naar blootgestelde bestanden. Deze gebruiken dezelfde user-agent met een achtervoegsel zoals pulse, ownership-verification, headers of exposed-files.

Daarnaast kan iedereen met onze gratis headercontrole de headers van uw homepage laten ophalen: telkens één verzoek via https en via http naar uw homepage, plus eventuele omleidingen binnen uw domein, zonder browser en zonder formulier.

Wat wordt opgeslagen

Alleen wat de bevinding beschrijft: adressen en titels van de gecontroleerde pagina’s, de structuur van de formulieren (veldnamen, typen, labels en dergelijke, geen veldwaarden; de beginstukken van vooraf ingevulde verborgen velden tot 24 tekens en van data--attributen tot 60 tekens leest de bot alleen tijdens de controle en worden niet opgeslagen), gedetecteerde beschermingsmaatregelen, headers, de hosts van ingesloten diensten, controlesommen van de scripts (niet hun inhoud; bij ingesloten scripts ook de eerste 80 tekens, waarbij identificatoren onherkenbaar zijn gemaakt), de namen van geplaatste cookies, screenshots van het zichtbare gedeelte van de homepage en van de formulieren en, na een testverzending, van de antwoordpagina; van dat antwoord ook de statuscode en de eerste 300 tekens. Deze screenshots van de controle worden niet afgeschermd; ze tonen wat op de openbare pagina te zien is. Alleen browsertrajecten maken een kleine afbeelding van het formulier met afgedekte invoervelden. Als een formulier een ontvangeradres bevat, slaan wij alleen het domein daarvan op.

Waar de verzoeken vandaan komen

FormExposedBot draait op onze eigen servers in Polen. Wij publiceren de IP-adressen niet, omdat deze kunnen veranderen. Als u wilt weten of een verzoek echt van ons afkomstig was, schrijf ons dan met het tijdstip en het IP-adres uit uw log; wij laten u weten of het van ons kwam. Voor de controlemeting vóór een storingsmelding kan een tweede locatie bij een andere provider worden ingezet; ook die gebruikt de user-agent FormExposedBot.

Zo sluit u uw domein uit

robots.txt:

User-agent: FormExposedBot
Disallow: /

De bot zoekt in uw robots.txt eerst naar een groep voor FormExposedBot, anders naar de groep voor iedereen (*). Als een Disallow de homepage omvat, vindt er geen controle plaats. Als uw server het verzoek om robots.txt beantwoordt met een serverfout of helemaal niet, controleren wij uit voorzorg ook niet; ontbreekt het bestand (404), dan geldt de website als toegestaan. Afzonderlijk geblokkeerde submappen evalueren wij momenteel niet apart – als u helemaal niet gecontroleerd wilt worden, blokkeer dan de homepage. De lichte verzoeken zonder browser en de headercontrole lezen robots.txt niet.

Opt-out: Voer uw domein in op de pagina Uw domein uitsluiten. De uitsluiting geldt voor het domein en de www.-variant, niet voor andere subdomeinen. Ze werkt voor elke controle die na de invoer start, permanent, ook tegenover betalende klanten met een geverifieerd domein, en geldt ook voor de headercontrole. Lopende monitoring in een klantaccount eindigt bij de eerstvolgende geplande controle; tot dan kunnen er nog lichte verzoeken zoals de formulierpuls binnenkomen. Als u wilt dat ook deze eerder stoppen, schrijf ons dan.

Gegevensbescherming

De verwerkingsverantwoordelijke is LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polen, contact@lukaswojcik.com. Wanneer een klant zijn eigen domein controleert, handelen wij namens die klant.

• Gegevens en bron: Wij verzamelen persoonsgegevens alleen voor zover deze op de gecontroleerde pagina’s van uw website voorkomen en zichtbaar worden in een paginaadres, een paginatitel, een formulierlabel of een screenshot, zoals een naam in het colofon of naast het formulier. De bron is uw website. Wij zoeken niet gericht naar zulke gegevens.
• Doel en rechtsgrond: beveiligingscontroles van formulieren; voor de gratis controle, de prospectcontrole en het onderzoek op basis van ons gerechtvaardigd belang en het belang van onze gebruikers (Art. 6(1)(f) AVG).
• Ontvangers: wie het rapport heeft gestart of over de link ernaar beschikt – de link opent het rapport zonder inloggen; voor domeinen in een klantaccount ook de door de klant gekozen meldingsbestemmingen; uit het onderzoek alleen totalen. Er is geen externe AI-dienst bij betrokken.
• Bewaartermijn: rapport zonder account 30 dagen, prospectcontrole 90 dagen, controles in een klantaccount tot 13 maanden, het meest recente resultaat per domein zolang het domein bestaat, onderzoek tot de publicatie.
• Uw rechten: inzage, rectificatie, wissing, beperking en bezwaar op grond van Art. 21 AVG – het snelst via de opt-out – en het recht om een klacht in te dienen bij een toezichthoudende autoriteit, voor ons de voorzitter van het Bureau voor de bescherming van persoonsgegevens (Prezes Urzędu Ochrony Danych Osobowych) in Warschau.

Al het overige staat in de Privacyverklaring. Hoe wij met misbruik omgaan, leest u in Aanvaardbaar gebruik en misbruik.

Contact

Vragen of klachten: contact@lukaswojcik.com of via de contactpagina. Vermeld uw domein en, indien beschikbaar, de scan-ID of de rapportlink. Meld beveiligingslekken in formexposed zelf via onze pagina voor het melden van kwetsbaarheden.