Despre FormExposedBot

Ultima actualizare: 16 octombrie 2026

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Token în robots.txt: FormExposedBot

Ce este FormExposedBot

FormExposedBot este crawlerul formexposed. formexposed verifică dacă formularele de contact sunt protejate împotriva spamului automat și funcționează fiabil. Dacă ați găsit acest user-agent în jurnalele serverului dumneavoastră, cineva a pornit o verificare a site-ului dumneavoastră:

• un vizitator al formexposed care a introdus domeniul dumneavoastră în verificarea gratuită – fără cont, doar în citire;
• un client care are domeniul dumneavoastră în contul său și declară că administrează sau întreține site-ul, ori cineva care a instalat pluginul nostru pe site-ul dumneavoastră;
• o agenție care vă verifică site-ul, doar în citire, ca potențial client;
• noi înșine, pentru un studiu din care publicăm doar cifre agregate, fără numele site-urilor;
• cineva care a introdus pagina dumneavoastră principală în verificarea gratuită a antetelor (doar antete, fără browser).

La cerere, vă comunicăm de ce tip a fost o verificare; cine a pornit-o, doar în măsura în care legislația privind protecția datelor permite. În acest caz acționăm la inițiativa persoanei respective; pentru domeniile pentru care un client a furnizat dovada controlului, în numele acelui client.

Ce se întâmplă în timpul unei verificări

• Înainte de verificare, botul citește fișierul dumneavoastră robots.txt (vezi mai jos).
• Încarcă pagina principală și până la șapte alte pagini de pe același host (cu sau fără www., fără alte subdomenii), în total cel mult opt. Paginile cu cuvinte precum contact, informații legale sau asistență au prioritate. Omite paginile de autentificare, cont, coș și finalizare a comenzii, fluxurile, fișierele PDF și imaginile.
• Folosește un browser headless real, cu JavaScript activat, și încarcă paginile una după alta, nu în paralel. O pagină poate dura cel mult 20 de secunde; după aproximativ trei minute verificarea se oprește.
• Citește formularele: numele și tipurile câmpurilor, etichetele, câmpurile obligatorii, CAPTCHA-urile încorporate, capcanele ascunse, tokenurile și antetele. În timpul acestei verificări doar în citire nu introduce nimic.
• Pentru cel mult trei pagini cu formular, încarcă pagina a doua oară și apasă „Respinge” în bannerul de cookie-uri – niciodată „Accept”. Astfel vedem dacă formularul funcționează și după o respingere.
• Pentru cel mult trei pagini cu formular, încarcă pagina în vizualizare de telefon, fără să facă clic. User-agentul rămâne același; nu ne dăm drept smartphone.
• Stabilește tipul unui formular pe baza unor reguli și, acolo unde acestea nu sunt suficiente, cu un model lingvistic care rulează pe propriul nostru server. În acest proces nimic nu părăsește serverele noastre.

Fără dovada controlului asupra domeniului (mai jos), FormExposedBot preia doar pagini accesibile public fără autentificare și nu trimite nimic. Nu ocolește nicio protecție a accesului, nu ghicește date de autentificare și nu rezolvă CAPTCHA-uri. Tot ce depășește acest cadru – trimiterile de test, căutarea fișierelor expuse și verificarea în spatele autentificării cu un cont de test – are loc doar pentru domeniile cu această dovadă sau pentru domeniile de test și demonstrație proprii ale formexposed.

Prin verificarea gratuită de pe site-ul nostru, verificăm același domeniu cel mult o dată la șapte zile; cine îl introduce din nou vede raportul existent. Clienții pot verifica manual domeniile din contul lor, cu un timp de așteptare; domeniile cu dovada controlului sunt verificate și periodic, la frecvența planului lor, o verificare completă cel mult o dată pe zi. Cererile ușoare fără browser (mai jos) vin mai des.

Trimiteri de test doar pentru domeniile verificate

Pentru clienți se trimite ceva doar dacă un client a dovedit că are dreptul de a controla domeniul (înregistrare DNS, metaetichetă, fișier sau plugin); fără această dovadă, testăm activ doar propriile domenii de test și demonstrație. Chiar și atunci:

• doar un singur formular per verificare și doar unul care a fost identificat cu certitudine ca formular de contact general; modelul lingvistic nu poate niciodată să elibereze un formular pentru trimitere;
• cel mult cinci trimiteri per verificare, de exemplu fără răspuns CAPTCHA, cu câmpul-capcană completat sau cu un token modificat;
• niciodată formulare de comandă, rezervare, autentificare, înregistrare, newsletter, asistență, plată sau încărcare, niciodată formulare cu câmpuri obligatorii pentru telefon, adresă poștală sau date ale firmei, niciodată site-uri pe care le recunoaștem după domeniu sau titlul paginii ca fiind ale unei autorități publice, instanțe, universități, școli sau instituții medicale.

Botul recunoaște tipul formularului și tipul site-ului după caracteristicile paginii; în cazuri izolate, această recunoaștere poate fi greșită. Lista descrie modul în care este construit botul și nu reprezintă o garanție. Dacă nu doriți trimiteri de test, excludeți domeniul (mai jos): atunci nu mai pornește nicio verificare în care s-ar putea trimite ceva.

Fiecare trimitere este marcată. Numele expeditorului „FormExposed Security Scanner”, adresa expeditorului dummy@formexposed.com, subiectul „[formexposed.com] Automated security test — no action required”. Textul este în limba paginii dumneavoastră (germană, engleză sau poloneză); în engleză:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

Fraza „No data was stored” este prea largă. Corect este: în acest proces nu stocăm nimic de la vizitatorii dumneavoastră sau din căsuța dumneavoastră de e-mail. Pentru a evalua testul, stocăm totuși răspunsul serverului dumneavoastră la trimitere, și anume codul de stare, primele 300 de caractere ale paginii de răspuns și o captură de ecran a acesteia (vezi „Ce se stochează”).

Botul completează celelalte câmpuri obligatorii cu „FormExposed security test”. Bifează casetele fără de care formularul nu poate fi trimis, de exemplu pentru consimțământ. Marcajul arată că în spatele trimiterii nu se află nicio persoană și nicio declarație a unei persoane.

Verificarea injecției în antete inserează doar un antet inofensiv X-FormExposed-Injection-Test, niciodată un destinatar. Verificarea validării adresei folosește o adresă sub .invalid, care nu poate exista.

Alte cereri pentru clienți

Pentru domeniile verificate dintr-un cont de client, la cererea clientului se adaugă următoarele:

• Parcursuri în browser: Un browser (Chromium sau WebKit) deschide o pagină cu formular aleasă de client, la dimensiune de telefon, și verifică dacă formularul apare și poate fi utilizat până la butonul de trimitere; pentru aceasta completează câmpurile obligatorii cu valori de test care nu părăsesc browserul. Trimite doar cereri GET și HEAD; trimiterea este blocată tehnic.
• Scanarea în spatele autentificării: doar cu un cont de test creat chiar de operatorul site-ului, cel mult cinci pagini, fără trimitere, fără capturi de ecran, niciodată adrese de deconectare, ștergere sau reziliere. Dacă autentificarea are CAPTCHA, botul se oprește.
• Cereri ușoare fără browser: pulsul formularelor (până la trei pagini cu formular, la fiecare 10, 15 sau 30 de minute, în funcție de plan), verificarea dovezii controlului, verificarea antetelor și căutarea fișierelor expuse. Acestea folosesc același user-agent cu un sufix precum pulse, ownership-verification, headers sau exposed-files.

În plus, oricine poate solicita preluarea antetelor paginii dumneavoastră principale prin verificarea noastră gratuită a antetelor: câte o cerere prin https și prin http către pagina principală, plus eventualele redirecționări în cadrul domeniului dumneavoastră, fără browser și fără formular.

Ce se stochează

Doar ceea ce descrie constatarea: adresele și titlurile paginilor verificate, structura formularelor (numele câmpurilor, tipurile, etichetele și altele asemenea, fără valorile câmpurilor; începuturile câmpurilor ascunse precompletate, de până la 24 de caractere, și ale atributelor data-, de până la 60 de caractere, sunt citite de bot doar în timpul verificării și nu sunt stocate), măsurile de protecție detectate, antetele, hosturile serviciilor încorporate, sumele de control ale scripturilor (nu conținutul lor; pentru scripturile încorporate, și primele 80 de caractere, cu identificatorii făcuți de nerecunoscut), numele cookie-urilor setate, capturi de ecran ale zonei vizibile a paginii principale și ale formularelor și, după o trimitere de test, ale paginii de răspuns; din acest răspuns, și codul de stare și primele 300 de caractere. Aceste capturi de ecran din verificare nu sunt anonimizate; ele arată ce se vede pe pagina publică. Doar parcursurile în browser produc o imagine mică a formularului cu câmpurile de introducere acoperite. Dacă un formular conține o adresă de destinatar, stocăm doar domeniul acesteia.

De unde vin cererile

FormExposedBot rulează pe propriile noastre servere din Polonia. Nu publicăm adresele IP, deoarece se pot schimba. Dacă doriți să aflați dacă o cerere a venit într-adevăr de la noi, scrieți-ne ora și adresa IP din jurnalul dumneavoastră; vă vom spune dacă a venit de la noi. Pentru verificarea încrucișată dinaintea unei alerte de indisponibilitate se poate adăuga o a doua locație, la un alt furnizor; și aceasta folosește user-agentul FormExposedBot.

Cum vă excludeți domeniul

robots.txt:

User-agent: FormExposedBot
Disallow: /

Botul caută mai întâi în fișierul dumneavoastră robots.txt un grup pentru FormExposedBot, altfel grupul pentru toți (*). Dacă o regulă Disallow acoperă pagina principală, nu are loc nicio verificare. Dacă serverul dumneavoastră răspunde la cererea pentru robots.txt cu o eroare de server sau nu răspunde deloc, din precauție nu verificăm nici atunci; dacă fișierul lipsește (404), site-ul este considerat permis. În prezent nu evaluăm separat subdirectoarele blocate individual – dacă nu doriți deloc să fiți verificat, blocați pagina principală. Cererile ușoare fără browser și verificarea antetelor nu citesc robots.txt.

Opt-out: Introduceți domeniul pe pagina Excludeți-vă domeniul. Excluderea se aplică domeniului și variantei sale www., nu și altor subdomenii. Ea produce efecte pentru fiecare verificare care pornește după înregistrare, permanent, inclusiv față de clienții plătitori cu domeniu verificat, și acoperă și verificarea antetelor. Monitorizarea în curs dintr-un cont de client se încheie la următoarea verificare programată; până atunci pot veni încă cereri ușoare, cum ar fi pulsul formularelor. Dacă doriți ca și acestea să înceteze mai devreme, scrieți-ne.

Protecția datelor

Operatorul este LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polonia, contact@lukaswojcik.com. Atunci când un client își verifică propriul domeniu, acționăm în numele acestuia.

• Date și sursă: Colectăm date cu caracter personal doar în măsura în care acestea apar pe paginile verificate ale site-ului dumneavoastră și devin vizibile într-o adresă de pagină, un titlu de pagină, o etichetă de formular sau o captură de ecran, de exemplu un nume în informațiile legale sau lângă formular. Sursa este site-ul dumneavoastră. Nu căutăm astfel de date.
• Scop și temei juridic: verificări de securitate ale formularelor; pentru verificarea gratuită, verificarea clienților potențiali și studiu, în temeiul interesului nostru legitim și al interesului utilizatorilor noștri (art. 6(1)(f) RGPD).
• Destinatari: cel care a pornit raportul sau care deține linkul către acesta – linkul deschide raportul fără autentificare; pentru domeniile dintr-un cont de client, și destinațiile alertelor alese de client; din studiu, doar totaluri. Nu este implicat niciun serviciu extern de IA.
• Perioada de stocare: raportul fără cont 30 zile, verificarea clienților potențiali 90 de zile, verificările dintr-un cont de client până la 13 luni, cel mai recent rezultat pentru fiecare domeniu atât timp cât domeniul există, studiul până la publicare.
• Drepturile dumneavoastră: acces, rectificare, ștergere, restricționare și opoziție conform art. 21 RGPD – cel mai rapid prin opt-out – precum și dreptul de a depune o plângere la o autoritate de supraveghere, pentru noi Președintele Oficiului pentru Protecția Datelor cu Caracter Personal (Prezes Urzędu Ochrony Danych Osobowych) din Varșovia.

Toate celelalte informații se găsesc în Politica de confidențialitate. Modul în care tratăm abuzurile este descris în Utilizare acceptabilă și abuz.

Contact

Întrebări sau reclamații: contact@lukaswojcik.com sau prin pagina de contact. Vă rugăm să indicați domeniul și, dacă îl aveți, ID-ul scanării sau linkul raportului. Vă rugăm să raportați vulnerabilitățile de securitate din formexposed însuși prin pagina noastră de raportare a vulnerabilităților.