О FormExposedBot

Последнее обновление: 16 октября 2026 г.

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Токен в robots.txt: FormExposedBot

Что такое FormExposedBot

FormExposedBot — это краулер formexposed. formexposed проверяет, защищены ли контактные формы от автоматического спама и надёжно ли они работают. Если Вы обнаружили этот user-agent в логах своего сервера, значит, кто-то запустил проверку Вашего сайта:

• посетитель formexposed, который ввёл Ваш домен в бесплатной проверке — без учётной записи, только чтение;
• клиент, у которого Ваш домен есть в учётной записи и который заявляет, что управляет сайтом или обслуживает его, либо тот, кто установил наш плагин на Ваш сайт;
• агентство, которое проверяет Ваш сайт в режиме только чтения как потенциального клиента;
• мы сами — для исследования, из которого мы публикуем только агрегированные показатели без названий сайтов;
• тот, кто ввёл Вашу главную страницу в нашей бесплатной проверке заголовков (только заголовки, без браузера).

По запросу мы сообщим Вам, к какому из этих типов относилась проверка; кто её запустил — лишь в той мере, в какой это допускает законодательство о защите данных. При этом мы действуем по инициативе этого лица, а для доменов, по которым клиент подтвердил контроль, — по поручению этого клиента.

Что происходит во время проверки

• Перед проверкой бот читает Ваш robots.txt (см. ниже).
• Он загружает Вашу главную страницу и до семи других страниц на том же хосте (с www. или без, без других поддоменов) — всего не более восьми. В первую очередь — страницы со словами вроде «контакты», «выходные данные» или «поддержка». Страницы входа, учётной записи, корзины и оформления заказа, ленты, PDF-файлы и изображения он пропускает.
• Он использует настоящий headless-браузер с включённым JavaScript и загружает страницы одну за другой, а не параллельно. На одну страницу отводится не более 20 секунд; примерно через три минуты проверка прекращается.
• Он считывает формы: имена и типы полей, подписи, обязательные поля, встроенные CAPTCHA, скрытые ловушки, токены и заголовки. Во время этой проверки в режиме только чтения он ничего не вводит.
• Не более чем для трёх страниц с формой он загружает страницу повторно и нажимает «Отклонить» в баннере cookie — никогда «Принять». Так мы видим, работает ли форма после отказа.
• Не более чем для трёх страниц с формой он загружает страницу в мобильном виде, ничего не нажимая. User-agent остаётся прежним; мы не выдаём себя за смартфон.
• Тип формы он определяет по правилам, а там, где их недостаточно, — с помощью языковой модели, работающей на нашем собственном сервере. При этом ничего не покидает наши серверы.

Без подтверждения контроля над доменом (см. ниже) FormExposedBot загружает только страницы, общедоступные без входа, и ничего не отправляет. Он не обходит никакую защиту доступа, не подбирает учётные данные и не решает CAPTCHA. Всё, что выходит за эти рамки, — тестовые отправки, поиск открытых файлов и проверка за входом с тестовой учётной записью — выполняется только для доменов с таким подтверждением или для собственных тестовых и демонстрационных доменов formexposed.

Через бесплатную проверку на нашем сайте мы проверяем один и тот же домен не чаще одного раза в семь дней; кто введёт его повторно, увидит уже существующий отчёт. Клиенты могут вручную запускать проверку доменов в своей учётной записи, с периодом ожидания; домены с подтверждённым контролем также регулярно проверяются с периодичностью, предусмотренной их тарифом, — полная проверка не чаще одного раза в день. Лёгкие запросы без браузера (см. ниже) поступают чаще.

Тестовые отправки — только для подтверждённых доменов

Для клиентов что-либо отправляется только в том случае, если клиент подтвердил своё право управлять доменом (DNS-запись, метатег, файл или плагин); без такого подтверждения мы активно проверяем только собственные тестовые и демонстрационные домены. Но и тогда:

• только одна форма за проверку и только та, которая надёжно определена как обычная контактная форма; языковая модель никогда не может допустить форму к отправке;
• не более пяти отправок за проверку, например без ответа CAPTCHA, с заполненным полем-ловушкой или с изменённым токеном;
• никогда — формы заказа, бронирования, входа, регистрации, подписки на рассылку, поддержки, оплаты или загрузки файлов, никогда — формы с обязательными полями для телефона, почтового адреса или данных компании, никогда — сайты, которые мы по домену или заголовку страницы распознаём как сайт государственного органа, суда, университета, школы или медицинского учреждения.

Бот определяет тип формы и тип сайта по признакам страницы; в отдельных случаях такое определение может быть ошибочным. Этот список описывает, как устроен бот, и не является гарантией. Если Вы не хотите тестовых отправок, исключите домен (см. ниже): тогда не будет запускаться ни одна проверка, в ходе которой что-либо может быть отправлено.

Каждая отправка помечена. Имя отправителя «FormExposed Security Scanner», адрес отправителя dummy@formexposed.com, тема «[formexposed.com] Automated security test — no action required». Текст составлен на языке Вашей страницы (немецком, английском или польском); на английском он звучит так:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

Фраза «No data was stored» («Никакие данные не сохранены») сформулирована слишком широко. Верно следующее: при этом мы не сохраняем ничего от Ваших посетителей или из Вашего почтового ящика. Однако для оценки теста мы сохраняем ответ Вашего сервера на отправку, а именно код состояния, первые 300 символов страницы ответа и её снимок экрана (см. «Что сохраняется»).

Другие обязательные поля бот заполняет текстом «FormExposed security test». Он отмечает флажки, без которых форму невозможно отправить, например согласие. Маркировка показывает, что за отправкой не стоит ни человек, ни заявление человека.

Проверка на внедрение заголовков вставляет только безобидный заголовок X-FormExposed-Injection-Test и никогда — получателя. Проверка валидации адреса использует адрес в зоне .invalid, который не может существовать.

Дополнительные запросы для клиентов

Для подтверждённых доменов в учётной записи клиента по желанию клиента добавляются:

• Браузерные сценарии: браузер (Chromium или WebKit) открывает выбранную клиентом страницу с формой в размере экрана телефона и проверяет, отображается ли форма и можно ли ею пользоваться вплоть до кнопки отправки; для этого он заполняет обязательные поля тестовыми значениями, которые не покидают браузер. Он отправляет только запросы GET и HEAD; отправка формы технически заблокирована.
• Сканирование за входом: только с тестовой учётной записью, которую владелец сайта создал сам, не более пяти страниц, без отправки, без снимков экрана, никогда — адреса выхода, удаления или расторжения. Если вход защищён CAPTCHA, бот прекращает работу.
• Лёгкие запросы без браузера: пульс форм (до трёх страниц с формами, каждые 10, 15 или 30 минут в зависимости от тарифа), проверка подтверждения контроля, проверка заголовков и поиск открытых файлов. Они используют тот же user-agent с суффиксом, например pulse, ownership-verification, headers или exposed-files.

Кроме того, любой может запросить заголовки Вашей главной страницы с помощью нашей бесплатной проверки заголовков: по одному запросу через https и http к Вашей главной странице, плюс возможные перенаправления в пределах Вашего домена, без браузера и без формы.

Что сохраняется

Только то, что описывает результат проверки: адреса и заголовки проверенных страниц, структура форм (имена полей, типы, подписи и т. п., без значений полей; начала предзаполненных скрытых полей длиной до 24 символов и атрибутов data- длиной до 60 символов бот читает только во время проверки и не сохраняет), обнаруженные меры защиты, заголовки, хосты встроенных сервисов, контрольные суммы скриптов (не их содержимое; для встроенных скриптов также первые 80 символов, в которых идентификаторы сделаны неузнаваемыми), имена установленных cookie, снимки экрана видимой области главной страницы и форм, а после тестовой отправки — страницы ответа; из этого ответа также код состояния и первые 300 символов. Эти снимки экрана, сделанные при проверке, не редактируются; на них видно то, что можно увидеть на общедоступной странице. Только браузерные сценарии создают небольшое изображение формы, на котором поля ввода закрыты. Если форма содержит адрес получателя, мы сохраняем только его домен.

Откуда поступают запросы

FormExposedBot работает на наших собственных серверах в Польше. Мы не публикуем IP-адреса, так как они могут меняться. Если Вы хотите узнать, действительно ли запрос поступил от нас, напишите нам, указав время и IP-адрес из Вашего лога; мы сообщим Вам, был ли это наш запрос. Для перекрёстной проверки перед оповещением о сбое может добавляться второе местоположение у другого провайдера; оно тоже использует user-agent FormExposedBot.

Как исключить свой домен

robots.txt:

User-agent: FormExposedBot
Disallow: /

Сначала бот ищет в Вашем robots.txt группу для FormExposedBot, а если её нет — группу для всех (*). Если Disallow распространяется на главную страницу, проверка не проводится. Если Ваш сервер отвечает на запрос robots.txt ошибкой сервера или не отвечает вовсе, мы из предосторожности также не проводим проверку; если файл отсутствует (404), сайт считается разрешённым для проверки. Отдельно заблокированные подкаталоги мы в настоящее время отдельно не учитываем — если Вы вообще не хотите, чтобы Вас проверяли, заблокируйте главную страницу. Лёгкие запросы без браузера и проверка заголовков robots.txt не читают.

Opt-out: введите свой домен на странице Исключение домена. Исключение действует для домена и его варианта с www., но не для других поддоменов. Оно вступает в силу для каждой проверки, начинающейся после ввода, действует бессрочно, в том числе в отношении платящих клиентов с подтверждённым доменом, и распространяется также на проверку заголовков. Текущий мониторинг в учётной записи клиента завершается при следующей плановой проверке; до этого момента ещё могут поступать лёгкие запросы, например пульс форм. Если Вы хотите, чтобы и они прекратились раньше, напишите нам.

Защита данных

Контролёром является LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Польша, contact@lukaswojcik.com. Когда клиент проверяет собственный домен, мы действуем по его поручению.

• Данные и источник: мы собираем персональные данные лишь в той мере, в какой они присутствуют на проверяемых страницах Вашего сайта и становятся видны в адресе страницы, заголовке страницы, подписи формы или на снимке экрана, например имя в выходных данных или рядом с формой. Источником является Ваш сайт. Целенаправленно такие данные мы не ищем.
• Цель и правовое основание: проверка безопасности форм; для бесплатной проверки, проверки потенциального клиента и исследования — на основании нашего законного интереса и интереса наших пользователей (ст. 6(1)(f) GDPR).
• Получатели: тот, кто запустил отчёт или располагает ссылкой на него, — ссылка открывает отчёт без входа; для доменов в учётной записи клиента — также выбранные клиентом каналы оповещений; из исследования — только итоговые показатели. Внешние ИИ-сервисы не задействуются.
• Срок хранения: отчёт без учётной записи — 30 дн., проверка потенциального клиента — 90 дней, проверки в учётной записи клиента — до 13 мес., последний результат по каждому домену — пока существует домен, исследование — до публикации.
• Ваши права: доступ, исправление, удаление, ограничение обработки и возражение согласно ст. 21 GDPR — быстрее всего через opt-out, — а также право подать жалобу в надзорный орган, в нашем случае — Председателю Управления по защите персональных данных (Prezes Urzędu Ochrony Danych Osobowych) в Варшаве.

Всё остальное — в Политике конфиденциальности. Как мы поступаем со злоупотреблениями, описано в документе Допустимое использование и злоупотребления.

Контакты

Вопросы или жалобы: contact@lukaswojcik.com или через страницу контактов. Пожалуйста, укажите свой домен и, если есть, идентификатор сканирования (Scan ID) или ссылку на отчёт. Об уязвимостях в самом formexposed просим сообщать через нашу страницу сообщения об уязвимостях.