Sobre o FormExposedBot

Última atualização: 16 de outubro de 2026

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Token no robots.txt: FormExposedBot

O que é o FormExposedBot

FormExposedBot é o rastreador de formexposed. formexposed verifica se os formulários de contato estão protegidos contra spam automatizado e funcionam de forma confiável. Se você encontrou esse user-agent nos registros do seu servidor, alguém iniciou uma verificação do seu site:

• um visitante de formexposed que informou seu domínio na verificação gratuita – sem uma conta, somente leitura;
• um cliente que tem seu domínio na conta e declara que opera ou cuida do site, ou alguém que instalou nosso plugin no seu site;
• uma agência que solicita a verificação do seu site, somente leitura, como potencial cliente;
• nós mesmos, para um estudo do qual publicamos apenas números agregados, sem os nomes dos sites;
• alguém que informou sua página inicial na nossa verificação gratuita de cabeçalhos (apenas cabeçalhos, sem navegador).

Mediante solicitação, informaremos de qual desses tipos foi uma verificação; quem a iniciou, apenas na medida permitida pela legislação de proteção de dados. Nesse processo, agimos por iniciativa dessa pessoa; para domínios para os quais um cliente forneceu comprovação de controle, em nome desse cliente.

O que acontece durante uma verificação

• Antes da verificação, o bot lê seu robots.txt (veja abaixo).
• Ele carrega sua página inicial e até sete outras páginas no mesmo host (com ou sem www., sem outros subdomínios), no máximo oito no total. Páginas com palavras como contato, informações legais ou suporte têm prioridade. Ele ignora páginas de login, conta, carrinho e finalização de compra, feeds, PDFs e imagens.
• Ele usa um navegador real sem interface gráfica, com JavaScript ativado, e carrega as páginas uma após a outra, não em paralelo. Uma página pode levar no máximo 20 segundos; após cerca de três minutos, a verificação para.
• Ele lê os formulários: nomes e tipos de campos, rótulos, campos obrigatórios, CAPTCHAs incorporados, armadilhas ocultas, tokens e cabeçalhos. Durante essa verificação somente de leitura, não insere nada.
• Para no máximo três páginas com um formulário, ele carrega a página uma segunda vez e clica em “Rejeitar” no banner de cookies – nunca em “Aceitar”. Isso nos mostra se o formulário continua funcionando após uma rejeição.
• Para no máximo três páginas com um formulário, ele carrega a página em uma visualização de celular, sem clicar. O user-agent permanece o mesmo; não fingimos ser um smartphone.
• Ele determina o tipo de um formulário com regras e, quando elas não bastam, com um modelo de linguagem executado em nosso próprio servidor. Nada sai dos nossos servidores nesse processo.

Sem comprovação de controle do domínio (abaixo), o FormExposedBot obtém apenas páginas publicamente acessíveis sem login e não envia nada. Ele não contorna nenhuma proteção de acesso, não tenta adivinhar credenciais de login e não resolve CAPTCHAs. Qualquer coisa além disso – envios de teste, busca por arquivos expostos e verificação de áreas protegidas por login com uma conta de teste – ocorre apenas para domínios com essa comprovação ou para os próprios domínios de teste e demonstração de formexposed.

Pela verificação gratuita no nosso site, verificamos o mesmo domínio no máximo uma vez a cada sete dias; quem o informa novamente vê o relatório existente. Os clientes podem solicitar manualmente a verificação dos domínios na sua conta, com um tempo de espera; domínios com comprovação de controle também são verificados regularmente na frequência do seu plano, com uma verificação completa no máximo uma vez por dia. As solicitações leves feitas sem navegador (abaixo) ocorrem com mais frequência.

Envios de teste apenas para domínios verificados

Para clientes, algo só é enviado se um cliente tiver comprovado que tem autorização para controlar o domínio (registro DNS, metatag, arquivo ou plugin); sem essa comprovação, verificamos ativamente apenas nossos próprios domínios de teste e demonstração. Mesmo assim:

• apenas um formulário por verificação, e somente um que tenha sido identificado de forma confiável como formulário de contato geral; o modelo de linguagem nunca pode liberar um formulário para envio;
• no máximo cinco envios por verificação, por exemplo, sem resposta de CAPTCHA, com o campo-armadilha preenchido ou com um token alterado;
• nunca formulários de pedidos, agendamentos, login, cadastro, newsletter, suporte, pagamento ou upload, nunca formulários com campos obrigatórios de telefone, endereço postal ou dados da empresa, nunca sites que reconheçamos pelo domínio ou título da página como autoridade pública, tribunal, universidade, escola ou instituição de saúde.

O bot reconhece o tipo de formulário e o tipo de site a partir de características da página; em casos individuais, esse reconhecimento pode estar errado. A lista descreve como o bot foi desenvolvido e não é uma garantia. Se você não quiser envios de teste, exclua o domínio (abaixo): nenhuma verificação na qual algo possa ser enviado será iniciada.

Cada envio é identificado. Nome do remetente “FormExposed Security Scanner”, endereço do remetente dummy@formexposed.com, assunto “[formexposed.com] Automated security test — no action required”. O texto está no idioma da sua página (alemão, inglês ou polonês); em inglês:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

A frase “No data was stored” é ampla demais. O correto é: não armazenamos nada dos seus visitantes ou da sua caixa de e-mail nesse processo. Para avaliar o teste, no entanto, armazenamos a resposta do seu servidor ao envio, a saber, o código de status, os primeiros 300 caracteres da página de resposta e uma captura de tela dela (veja “O que é armazenado”).

O bot preenche outros campos obrigatórios com “FormExposed security test”. Ele marca as caixas sem as quais o formulário não pode ser enviado, por exemplo, de consentimento. A identificação mostra que não há uma pessoa nem uma declaração de uma pessoa por trás disso.

A verificação de injeção de cabeçalhos insere apenas um cabeçalho inofensivo X-FormExposed-Injection-Test, nunca um destinatário. A verificação de validação de endereço usa um endereço sob .invalid, que não pode existir.

Outras solicitações para clientes

Para domínios verificados em uma conta de cliente, acrescentam-se, mediante solicitação do cliente:

• Fluxos de navegação: Um navegador (Chromium ou WebKit) abre uma página de formulário escolhida pelo cliente no tamanho de um celular e verifica se o formulário aparece e pode ser operado até o botão de envio; para isso, preenche os campos obrigatórios com valores de teste que não saem do navegador. Ele envia apenas solicitações GET e HEAD; o envio de formulários é bloqueado tecnicamente.
• Verificação de áreas protegidas por login: apenas com uma conta de teste que o próprio operador do site tenha criado, no máximo cinco páginas, sem envio, sem capturas de tela, nunca endereços de saída, exclusão ou cancelamento. Se o login tiver um CAPTCHA, o bot para.
• Solicitações leves sem navegador: verificação de disponibilidade do formulário (até três páginas de formulário, a cada 10, 15 ou 30 minutos, dependendo do plano), conferência da comprovação de controle, verificação de cabeçalhos e busca por arquivos expostos. Elas usam o mesmo user-agent com um sufixo como pulse, ownership-verification, headers ou exposed-files.

Além disso, qualquer pessoa pode solicitar a obtenção dos cabeçalhos da sua página inicial com nossa verificação gratuita de cabeçalhos: uma solicitação via https e outra via http à sua página inicial, além de eventuais redirecionamentos dentro do seu domínio, sem navegador e sem formulário.

O que é armazenado

Apenas o que descreve a constatação: endereços e títulos das páginas verificadas, a estrutura dos formulários (nomes e tipos de campos, rótulos e similares, sem valores de campos; o início dos campos ocultos preenchidos previamente, até 24 caracteres, e dos atributos data-, até 60 caracteres, é lido pelo bot apenas durante a verificação e não é armazenado), medidas de proteção detectadas, cabeçalhos, os hosts dos serviços incorporados, somas de verificação dos scripts (não seu conteúdo; para scripts incorporados, também os primeiros 80 caracteres, com identificadores tornados irreconhecíveis), os nomes dos cookies definidos, capturas de tela da área visível da página inicial e dos formulários e, após um envio de teste, da página de resposta; dessa resposta, também o código de status e os primeiros 300 caracteres. Essas capturas de tela da verificação não são editadas para ocultar dados; mostram o que pode ser visto na página pública. Somente os fluxos de navegação produzem uma pequena imagem do formulário com os campos de entrada encobertos. Se um formulário contiver um endereço de destinatário, armazenamos apenas seu domínio.

De onde vêm as solicitações

FormExposedBot é executado em nossos próprios servidores na Polônia. Não publicamos os endereços IP porque eles podem mudar. Se você quiser saber se uma solicitação realmente veio de nós, escreva informando o horário e o endereço IP do seu registro; diremos se veio de nós. Para a verificação cruzada antes de um alerta de indisponibilidade, um segundo local com outro provedor pode ser acrescentado; ele também usa o user-agent FormExposedBot.

Como excluir seu domínio

robots.txt:

User-agent: FormExposedBot
Disallow: /

O bot procura primeiro no seu robots.txt um grupo para FormExposedBot; caso contrário, o grupo para todos (*). Se um Disallow abranger a página inicial, nenhuma verificação é realizada. Se seu servidor responder à solicitação de robots.txt com um erro de servidor ou não responder, também não verificamos, por precaução; se o arquivo não existir (404), o site é tratado como permitido. Atualmente, não avaliamos separadamente subdiretórios individuais bloqueados – se você não quiser ser verificado de forma alguma, bloqueie a página inicial. As solicitações leves sem navegador e a verificação de cabeçalhos não leem o robots.txt.

Opt-out: Informe seu domínio na página Excluir seu domínio. Aplica-se ao domínio e à sua variante www., não a outros subdomínios. Produz efeito para toda verificação iniciada após o registro, permanentemente, inclusive em relação a clientes pagantes com um domínio verificado, e também abrange a verificação de cabeçalhos. O monitoramento em andamento em uma conta de cliente termina na próxima verificação prevista; até lá, solicitações leves como a verificação de disponibilidade do formulário ainda podem ocorrer. Se quiser que elas também terminem antes, escreva para nós.

Proteção de dados

O controlador é LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polônia, contact@lukaswojcik.com. Quando um cliente verifica seu próprio domínio, atuamos em seu nome.

• Dados e origem: Coletamos dados pessoais apenas na medida em que apareçam nas páginas verificadas do seu site e se tornem visíveis no endereço de uma página, no título de uma página, no rótulo de um formulário ou em uma captura de tela, como um nome nas informações legais ou ao lado do formulário. A origem é seu site. Não procuramos esses dados.
• Finalidade e base legal: verificações de segurança de formulários; para a verificação gratuita, a verificação de potencial cliente e o estudo, com base no nosso interesse legítimo e no interesse dos nossos usuários (Art. 6(1)(f) do RGPD).
• Destinatários: quem iniciou o relatório ou tem o link para ele – o link abre o relatório sem login; para domínios em uma conta de cliente, também os destinos de alertas escolhidos pelo cliente; do estudo, apenas totais. Nenhum serviço externo de IA está envolvido.
• Prazo de armazenamento: relatório sem uma conta, 30 dias; verificação de potencial cliente, 90 dias; verificações em uma conta de cliente, até 13 meses; o resultado mais recente de cada domínio, enquanto o domínio existir; estudo, até a publicação.
• Seus direitos: acesso, retificação, exclusão, limitação e oposição nos termos do Art. 21 do RGPD – mais rapidamente pelo opt-out – e o direito de apresentar uma reclamação a uma autoridade de controle, para nós o Presidente do Órgão de Proteção de Dados Pessoais (Prezes Urzędu Ochrony Danych Osobowych), em Varsóvia.

Todo o restante está na Política de Privacidade. A forma como lidamos com o uso indevido está descrita em Uso Aceitável e Abuso.

Contato

Dúvidas ou reclamações: contact@lukaswojcik.com ou pela página de contato. Informe seu domínio e, se disponível, o ID da verificação ou o link do relatório. Comunique vulnerabilidades de segurança no próprio formexposed pela nossa página de comunicação de vulnerabilidades.