O FormExposedBot

Stan na: 16 października 2026 r.

User-Agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Identyfikator w robots.txt: FormExposedBot

Czym jest FormExposedBot

FormExposedBot to robot (crawler) serwisu formexposed. formexposed sprawdza, czy formularze kontaktowe są chronione przed automatycznym spamem i czy działają niezawodnie. Jeżeli znalazłeś ten User-Agent w dziennikach swojego serwera, ktoś uruchomił sprawdzenie Twojej strony:

odwiedzający formexposed, który wpisał Twoją domenę w bezpłatnym sprawdzeniu – bez konta, wyłącznie w trybie odczytu;
Klient, który prowadzi Twoją domenę na swoim koncie i deklaruje, że jest operatorem strony lub się nią opiekuje, albo osoba, która zainstalowała naszą wtyczkę na Twojej stronie;
agencja, która zleca sprawdzenie Twojej strony jako potencjalnego klienta, wyłącznie w trybie odczytu;
my sami na potrzeby badania, z którego publikujemy wyłącznie zbiorcze liczby bez nazw stron;
osoba, która wpisała Twoją stronę główną w naszym bezpłatnym sprawdzeniu nagłówków (tylko nagłówki, bez przeglądarki).

Na żądanie poinformujemy Cię, którego z tych rodzajów było sprawdzenie; kto je uruchomił – tylko w zakresie, w jakim pozwalają na to przepisy o ochronie danych. Działamy przy tym z inicjatywy tej osoby; w przypadku domen, do których Klient przedstawił potwierdzenie uprawnień, w jego imieniu.

Co dzieje się podczas sprawdzenia

Przed sprawdzeniem bot odczytuje Twój plik robots.txt (zob. niżej).
Ładuje Twoją stronę główną i do siedmiu dalszych stron tego samego hosta (z www. lub bez, bez innych subdomen), łącznie najwyżej osiem. Strony ze słowami takimi jak kontakt, nota prawna (impressum) lub wsparcie mają pierwszeństwo. Pomija strony logowania, konta, koszyka i kasy, kanały (feedy), pliki PDF i obrazy.
Używa prawdziwej przeglądarki bez ekranu z włączonym JavaScriptem i ładuje strony jedna po drugiej, nie równolegle. Jedna strona może się ładować najwyżej 20 sekund; po około trzech minutach sprawdzenie zostaje przerwane.
Odczytuje formularze: nazwy i typy pól, etykiety, pola obowiązkowe, osadzone CAPTCHA, ukryte pułapki, tokeny i nagłówki. Podczas tego sprawdzenia polegającego na odczycie niczego nie wpisuje.
Dla najwyżej trzech stron z formularzem ładuje stronę drugi raz i klika w banerze cookie „Odrzuć” – nigdy „Akceptuj”. W ten sposób widzimy, czy formularz działa także po odmowie zgody.
Dla najwyżej trzech stron z formularzem ładuje stronę w widoku telefonu, bez klikania. User-Agent pozostaje przy tym taki sam; nie podajemy się za smartfon.
Typ formularza ustala za pomocą reguł, a tam, gdzie one nie wystarczają, za pomocą modelu językowego działającego na naszym własnym serwerze. Nic nie opuszcza przy tym naszych serwerów.

Bez potwierdzenia uprawnień do domeny (zob. niżej) FormExposedBot pobiera wyłącznie strony publicznie dostępne bez logowania i niczego nie wysyła. Nie przełamuje żadnych zabezpieczeń dostępu, nie odgaduje danych dostępowych i nie rozwiązuje CAPTCHA. To, co wykracza poza ten zakres – zgłoszenia testowe, wyszukiwanie publicznie dostępnych plików i sprawdzenie za logowaniem z kontem testowym – odbywa się wyłącznie w przypadku domen z takim potwierdzeniem albo własnych domen testowych i demonstracyjnych formexposed.

Przez bezpłatne sprawdzenie na naszej stronie sprawdzamy tę samą domenę najwyżej raz na siedem dni; kto wpisze ją ponownie, zobaczy istniejący raport. Klienci zlecają ręczne sprawdzenie domen na swoim koncie, z czasem oczekiwania; domeny z potwierdzeniem uprawnień ponadto regularnie, z częstotliwością wynikającą z ich taryfy, w pełnym zakresie najwyżej raz dziennie. Lekkie pobrania bez przeglądarki (zob. niżej) następują częściej.

Zgłoszenia testowe tylko w zweryfikowanych domenach

W przypadku Klientów formularz jest wysyłany tylko wtedy, gdy Klient przedstawił potwierdzenie uprawnień do domeny (rekord DNS, meta tag, plik lub wtyczka); bez takiego potwierdzenia aktywnie sprawdzamy tylko własne domeny testowe i demonstracyjne. Nawet wtedy obowiązuje:

tylko jeden formularz na sprawdzenie, który został z pewnością rozpoznany jako ogólny formularz kontaktowy; model językowy nigdy nie może dopuścić formularza do wysłania;
najwyżej pięć zgłoszeń na jedno sprawdzenie, na przykład bez odpowiedzi CAPTCHA, z wypełnionym polem-pułapką lub ze zmienionym tokenem;
nigdy formularze zamówień, rezerwacji, logowania, rejestracji, newslettera, wsparcia, płatności ani przesyłania plików, nigdy formularze z obowiązkowymi polami na telefon, adres lub dane firmy, nigdy strony, które po domenie lub tytule strony rozpoznajemy jako urząd, sąd, uczelnię, szkołę lub placówkę ochrony zdrowia.

Rodzaj formularza i rodzaj strony bot rozpoznaje po cechach strony; w pojedynczych przypadkach rozpoznanie może być błędne. Lista opisuje, jak zbudowany jest bot, i nie stanowi zapewnienia. Jeżeli nie chcesz zgłoszeń testowych, wyklucz domenę (zob. niżej): wtedy nie rozpocznie się już żadne sprawdzenie, w którym mogłoby dojść do wysłania formularza.

Każde zgłoszenie jest oznaczone. Nazwa nadawcy „FormExposed Security Scanner”, adres nadawcy dummy@formexposed.com, temat (w wersji polskiej) „[formexposed.com] Automatyczny test bezpieczeństwa — bez działań”. Treść jest w języku Twojej strony (niemieckim, angielskim lub polskim), po polsku:

Ta wiadomość została wysłana przez automatyczną usługę testującą, aby sprawdzić, czy ten formularz wysyła e-maile bez ochrony przed botami. Nie zapisano żadnych danych i nie jest wymagane żadne działanie.
Szczegóły: https://formexposed.com/bot
Trwale wyklucz tę domenę: https://formexposed.com/opt-out
ID skanu: …

Zdanie „Nie zapisano żadnych danych” jest ujęte zbyt szeroko. Prawidłowo: nie zapisujemy przy tym niczego, co pochodzi od Twoich odwiedzających ani z Twojej skrzynki pocztowej. W celu oceny testu zapisujemy jednak odpowiedź Twojego serwera na zgłoszenie, tj. kod statusu, pierwsze 300 znaków strony z odpowiedzią i jej zrzut ekranu (zob. „Co jest zapisywane”).

Pozostałe pola obowiązkowe bot wypełnia tekstem „FormExposed security test”. Zaznacza pola wyboru, bez których formularza nie da się wysłać, np. pole zgody. Oznaczenie wskazuje, że za zgłoszeniem nie stoi żadna osoba ani oświadczenie żadnej osoby.

Sprawdzenie pod kątem wstrzykiwania nagłówków (header injection) dodaje tylko nieszkodliwy nagłówek X-FormExposed-Injection-Test, nigdy odbiorcę. Sprawdzenie walidacji adresu używa adresu w domenie .invalid, który nie może istnieć.

Dodatkowe pobrania dla Klientów

W przypadku zweryfikowanych domen na koncie Klienta dochodzą na jego życzenie:

Ścieżki przeglądarki: Przeglądarka (Chromium lub WebKit) otwiera wybraną przez Klienta stronę z formularzem w rozmiarze telefonu i sprawdza, czy formularz się pojawia i czy da się go obsłużyć aż do przycisku wysyłania; pola obowiązkowe wypełnia w tym celu wartościami testowymi, które nie opuszczają przeglądarki. Wysyła tylko żądania GET i HEAD; wysłanie formularza jest technicznie zablokowane.
Skan za logowaniem: tylko z kontem testowym, które operator strony sam założył, najwyżej pięć stron, bez wysyłania, bez zrzutów ekranu, nigdy adresy wylogowania, usuwania lub wypowiedzenia. Jeżeli logowanie jest chronione CAPTCHA, bot przerywa działanie.
Lekkie pobrania bez przeglądarki: puls formularza (do trzech stron z formularzem, w zależności od taryfy co 10, 15 lub 30 minut), kontrola potwierdzenia uprawnień, sprawdzenie nagłówków i wyszukiwanie publicznie dostępnych plików. Używają tego samego User-Agenta z dopiskiem takim jak pulse, ownership-verification, headers lub exposed-files.

Nagłówki Twojej strony głównej może ponadto pobrać każdy za pomocą naszego bezpłatnego sprawdzenia nagłówków: po jednym żądaniu przez https i http do Twojej strony głównej, do tego ewentualnie przekierowania w obrębie Twojej domeny, bez przeglądarki i bez formularza.

Co jest zapisywane

Tylko to, co opisuje wynik: adresy i tytuły sprawdzonych stron, budowa formularzy (nazwy pól, typy, etykiety i podobne, bez wartości pól; początki wstępnie wypełnionych ukrytych pól do 24 znaków i atrybutów data- do 60 znaków bot odczytuje tylko w trakcie sprawdzenia i ich nie zapisuje), wykryte zabezpieczenia, nagłówki, hosty osadzonych usług, sumy kontrolne skryptów (nie ich treść; w przypadku skryptów osadzonych dodatkowo pierwsze 80 znaków, w których identyfikatory są zamaskowane), nazwy ustawionych plików cookie, zrzuty ekranu widocznej części strony głównej i formularzy, a po zgłoszeniu testowym także strony z odpowiedzią; z tej odpowiedzi ponadto kod statusu i pierwsze 300 znaków. Te zrzuty ekranu ze sprawdzenia nie są zaczerniane; pokazują to, co widać na publicznej stronie. Tylko w przypadku ścieżek przeglądarki powstaje mały obraz formularza z zakrytymi polami wprowadzania. Jeżeli w formularzu znajduje się adres odbiorcy, zapisujemy tylko jego domenę.

Skąd pochodzą żądania

FormExposedBot działa na naszych własnych serwerach w Polsce. Nie publikujemy adresów IP, ponieważ mogą się zmieniać. Jeżeli chcesz wiedzieć, czy żądanie rzeczywiście pochodziło od nas, napisz do nas, podając czas i adres IP z Twojego dziennika; poinformujemy Cię, czy pochodziło od nas. Na potrzeby kontroli krzyżowej przed alarmem o awarii może dojść druga lokalizacja u innego dostawcy; ona również używa User-Agenta FormExposedBot.

Jak wykluczyć swoją domenę

robots.txt:

User-agent: FormExposedBot
Disallow: /

Bot szuka w Twoim pliku robots.txt najpierw grupy dla FormExposedBot, a w przeciwnym razie grupy dla wszystkich (*). Jeżeli Disallow obejmuje stronę główną, sprawdzenie się nie odbywa. Jeżeli Twój serwer odpowiada na żądanie robots.txt błędem serwera lub wcale, na wszelki wypadek również nie sprawdzamy; jeżeli pliku brak (404), strona jest traktowana jako dopuszczona. Pojedynczych zablokowanych podkatalogów obecnie nie analizujemy osobno – kto w ogóle nie chce być sprawdzany, blokuje stronę główną. Lekkie pobrania bez przeglądarki i sprawdzenie nagłówków nie odczytują robots.txt.

Opt-out: Na stronie Wyklucz swoją domenę wpisujesz swoją domenę. Obejmuje to domenę i jej wariant z www., nie inne subdomeny. Działa w odniesieniu do każdego sprawdzenia, które rozpocznie się po dokonaniu wpisu, i trwale, także wobec płacących Klientów ze zweryfikowaną domeną, i obejmuje również sprawdzenie nagłówków. Trwające monitorowanie na koncie Klienta kończy się przy następnym przypadającym sprawdzeniu; do tego czasu mogą jeszcze następować lekkie pobrania, takie jak puls formularza. Jeżeli i one mają zakończyć się wcześniej, napisz do nas.

Ochrona danych

Administratorem jest LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polska, contact@lukaswojcik.com. Jeżeli Klient sprawdza swoją własną domenę, działamy w jego imieniu.

Dane i źródło: Dane osobowe zbieramy tylko w zakresie, w jakim znajdują się na sprawdzanych stronach Twojej witryny i stają się widoczne w adresie strony, tytule strony, etykiecie formularza lub na zrzucie ekranu, na przykład imię i nazwisko w nocie prawnej lub obok formularza. Źródłem jest Twoja strona. Nie szukamy takich danych.
Cel i podstawa prawna: sprawdzenie bezpieczeństwa formularzy, przy bezpłatnym sprawdzeniu, sprawdzeniu potencjalnego klienta i badaniu na podstawie naszego prawnie uzasadnionego interesu oraz interesu naszych użytkowników (art. 6 ust. 1 lit. f RODO).
Odbiorcy: osoba, która uruchomiła raport lub posiada do niego link – link otwiera raport bez logowania –; w przypadku domen na koncie Klienta ponadto cele alarmów wybrane przez Klienta; z badania tylko sumy. Żadna zewnętrzna usługa AI nie uczestniczy w przetwarzaniu.
Okres przechowywania: raport bez konta 30 dni, sprawdzenie potencjalnego klienta 90 dni, sprawdzenia na koncie Klienta do 13 miesięcy, ostatni wynik danej domeny – dopóki domena istnieje, badanie do czasu publikacji.
Twoje prawa: dostęp, sprostowanie, usunięcie, ograniczenie i sprzeciw na podstawie art. 21 RODO – najszybciej przez opt-out – oraz skarga do organu nadzorczego, w naszym przypadku do Prezesa Urzędu Ochrony Danych Osobowych w Warszawie.

Wszystkie dalsze informacje zawiera Polityka prywatności. Jak postępujemy z nadużyciami, opisuje strona Dopuszczalne użytkowanie i nadużycia.

Kontakt

Pytania lub skargi: contact@lukaswojcik.com lub przez stronę kontaktową. Podaj swoją domenę oraz, jeśli masz, ID skanu lub link do raportu. Luki bezpieczeństwa w samym formexposed zgłaszaj przez punkt zgłaszania luk bezpieczeństwa.

Wyklucz domenę Sprawdź domenę

Jak możemy pomóc?