O botu FormExposedBot

Zadnja posodobitev: 16. oktober 2026

Uporabniški agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Žeton v robots.txt: FormExposedBot

Kaj je FormExposedBot

FormExposedBot je pajek storitve formexposed. formexposed preverja, ali so kontaktni obrazci zaščiteni pred avtomatizirano neželeno pošto in ali delujejo zanesljivo. Če ste ta uporabniški agent našli v dnevnikih svojega strežnika, je nekdo zagnal preverjanje Vaše spletne strani:

• obiskovalec storitve formexposed, ki je Vašo domeno vnesel v brezplačno preverjanje – brez računa, samo za branje;
• stranka, ki ima Vašo domeno v svojem računu in navaja, da spletno stran upravlja ali skrbi zanjo, ali nekdo, ki je na Vašo spletno stran namestil naš vtičnik;
• agencija, ki Vašo spletno stran kot potencialne stranke preveri samo za branje;
• mi sami za študijo, iz katere objavimo le zbirne številke brez imen spletnih mest;
• nekdo, ki je Vašo domačo stran vnesel v naše brezplačno preverjanje glav (samo glave, brez brskalnika).

Na zahtevo Vam povemo, za katero od teh vrst preverjanja je šlo; kdo ga je zagnal, pa le, kolikor to dopušča zakonodaja o varstvu podatkov. Pri tem ravnamo na pobudo te osebe; pri domenah, za katere je stranka predložila dokazilo o nadzoru, v imenu te stranke.

Kaj se zgodi med preverjanjem

• Pred preverjanjem bot prebere Vašo datoteko robots.txt (glejte spodaj).
• Naloži Vašo domačo stran in do sedem nadaljnjih strani na istem gostitelju (z www. ali brez, brez drugih poddomen), skupaj največ osem. Prednost imajo strani z besedami, kot so kontakt, impresum ali podpora. Preskoči strani za prijavo, uporabniški račun, košarico in zaključek nakupa, vire (feede), datoteke PDF in slike.
• Uporablja pravi brskalnik brez grafičnega vmesnika (headless) z omogočenim JavaScriptom in strani nalaga eno za drugo, ne vzporedno. Posamezna stran se lahko nalaga največ 20 sekund; po približno treh minutah se preverjanje ustavi.
• Prebere obrazce: imena in vrste polj, oznake, obvezna polja, vdelane CAPTCHE, skrite pasti, žetone in glave. Med tem preverjanjem samo za branje ničesar ne vnese.
• Pri največ treh straneh z obrazcem stran naloži še enkrat in v pasici za piškotke klikne »Zavrni« – nikoli »Sprejmi«. Tako vidimo, ali obrazec po zavrnitvi še deluje.
• Pri največ treh straneh z obrazcem stran naloži v pogledu za telefon, brez klikanja. Uporabniški agent ostane enak; ne pretvarjamo se, da smo pametni telefon.
• Vrsto obrazca določi s pravili in, kjer ta ne zadostujejo, z jezikovnim modelom, ki teče na našem lastnem strežniku. Pri tem nič ne zapusti naših strežnikov.

Brez dokazila o nadzoru nad domeno (spodaj) FormExposedBot pridobiva le strani, ki so javno dostopne brez prijave, in ničesar ne odda. Ne zaobide nobene zaščite dostopa, ne ugiba prijavnih podatkov in ne rešuje CAPTCH. Vse, kar presega to – testne oddaje, iskanje izpostavljenih datotek in preverjanje po prijavi s testnim računom –, poteka le za domene s tem dokazilom ali za lastne testne in predstavitvene domene storitve formexposed.

Prek brezplačnega preverjanja na naši spletni strani isto domeno preverimo največ enkrat na sedem dni; kdor jo vnese znova, vidi obstoječe poročilo. Stranke lahko domene v svojem računu dajo preveriti ročno, s čakalnim časom; domene z dokazilom o nadzoru se poleg tega preverjajo redno s pogostostjo, ki jo določa njihov paket, celovito preverjanje največ enkrat na dan. Lahke zahteve brez brskalnika (spodaj) prihajajo pogosteje.

Testne oddaje samo za preverjene domene

Za stranke se kaj odda le, če je stranka dokazala, da je upravičena do nadzora nad domeno (zapis DNS, metaoznaka, datoteka ali vtičnik); brez tega dokazila aktivno preverjamo le svoje testne in predstavitvene domene. Tudi takrat velja:

• le en obrazec na preverjanje in le takšen, ki je bil zanesljivo prepoznan kot splošni kontaktni obrazec; jezikovni model obrazca nikoli ne more sprostiti za oddajo;
• največ pet oddaj na preverjanje, na primer brez odgovora CAPTCHA, z izpolnjenim poljem-pastjo ali s spremenjenim žetonom;
• nikoli obrazci za naročilo, rezervacijo, prijavo, registracijo, e-novice, podporo, plačilo ali nalaganje datotek, nikoli obrazci z obveznimi polji za telefon, poštni naslov ali podatke o podjetju, nikoli spletna mesta, ki jih po domeni ali naslovu strani prepoznamo kot javni organ, sodišče, univerzo, šolo ali zdravstveno ustanovo.

Bot vrsto obrazca in vrsto spletnega mesta prepozna po značilnostih strani; v posameznih primerih je ta prepoznava lahko napačna. Seznam opisuje, kako je bot zgrajen, in ni jamstvo. Če testnih oddaj ne želite, domeno izključite (spodaj): potem se ne bo začelo nobeno preverjanje, pri katerem bi se lahko kaj oddalo.

Vsaka oddaja je označena. Ime pošiljatelja »FormExposed Security Scanner«, naslov pošiljatelja dummy@formexposed.com, zadeva »[formexposed.com] Automated security test — no action required«. Besedilo je v jeziku Vaše strani (nemščina, angleščina ali poljščina); v angleščini:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

Stavek »No data was stored« je preširok. Pravilno je: pri tem ne shranimo ničesar od Vaših obiskovalcev ali iz Vašega poštnega predala. Za vrednotenje testa pa shranimo odziv Vašega strežnika na oddajo, in sicer statusno kodo, prvih 300 znakov strani z odzivom in njen posnetek zaslona (glejte »Kaj se shrani«).

Druga obvezna polja bot izpolni z besedilom »FormExposed security test«. Označi potrditvena polja, brez katerih obrazca ni mogoče oddati, na primer za privolitev. Oznaka kaže, da za tem ne stoji nobena oseba in nobena izjava osebe.

Preverjanje vrivanja glav vstavi le neškodljivo glavo X-FormExposed-Injection-Test, nikoli prejemnika. Preverjanje veljavnosti naslova uporablja naslov pod .invalid, ki ne more obstajati.

Nadaljnje zahteve za stranke

Pri preverjenih domenah v računu stranke se na željo stranke dodajo:

• Poti v brskalniku: Brskalnik (Chromium ali WebKit) odpre stran z obrazcem, ki jo izbere stranka, v velikosti telefona in preveri, ali se obrazec prikaže in ali ga je mogoče upravljati do gumba za oddajo; v ta namen obvezna polja izpolni s testnimi vrednostmi, ki ne zapustijo brskalnika. Pošilja le zahteve GET in HEAD; oddaja je tehnično blokirana.
• Pregled po prijavi: le s testnim računom, ki ga je ustvaril operater spletnega mesta sam, največ pet strani, brez oddaje, brez posnetkov zaslona, nikoli naslovi za odjavo, izbris ali preklic. Če je pri prijavi CAPTCHA, se bot ustavi.
• Lahke zahteve brez brskalnika: utrip obrazca (do tri strani z obrazcem, vsakih 10, 15 ali 30 minut, odvisno od paketa), preverjanje dokazila o nadzoru, preverjanje glav in iskanje izpostavljenih datotek. Uporabljajo isti uporabniški agent s pripono, kot je pulse, ownership-verification, headers ali exposed-files.

Poleg tega lahko kdor koli z našim brezplačnim preverjanjem glav pridobi glave Vaše domače strani: po ena zahteva prek https in http na Vašo domačo stran, skupaj z morebitnimi preusmeritvami znotraj Vaše domene, brez brskalnika in brez obrazca.

Kaj se shrani

Le to, kar opisuje ugotovitev: naslovi URL in naslovi preverjenih strani, struktura obrazcev (imena polj, vrste, oznake in podobno, brez vrednosti polj; začetke vnaprej izpolnjenih skritih polj do 24 znakov in atributov data- do 60 znakov bot prebere le med preverjanjem in se ne shranijo), zaznani zaščitni ukrepi, glave, gostitelji vdelanih storitev, kontrolne vsote skriptov (ne njihova vsebina; pri vdelanih skriptih tudi prvih 80 znakov, pri čemer so identifikatorji neprepoznavni), imena nastavljenih piškotkov, posnetki zaslona vidnega dela domače strani in obrazcev ter po testni oddaji tudi strani z odzivom; od tega odziva tudi statusna koda in prvih 300 znakov. Ti posnetki zaslona iz preverjanja niso zakriti; prikazujejo, kar je vidno na javni strani. Le poti v brskalniku ustvarijo majhno sliko obrazca s prekritimi vnosnimi polji. Če obrazec vsebuje naslov prejemnika, shranimo le njegovo domeno.

Od kod prihajajo zahteve

FormExposedBot teče na naših lastnih strežnikih na Poljskem. Naslovov IP ne objavljamo, ker se lahko spremenijo. Če želite vedeti, ali je zahteva res prišla od nas, nam pišite ter navedite čas in naslov IP iz svojega dnevnika; povedali Vam bomo, ali je prišla od nas. Za navzkrižno preverjanje pred opozorilom o izpadu se lahko doda druga lokacija pri drugem ponudniku; tudi ta uporablja uporabniški agent FormExposedBot.

Kako izključite svojo domeno

robots.txt:

User-agent: FormExposedBot
Disallow: /

Bot v Vaši datoteki robots.txt najprej išče skupino za FormExposedBot, sicer skupino za vse (*). Če Disallow zajema domačo stran, preverjanje ne poteka. Če Vaš strežnik na zahtevo za robots.txt odgovori s strežniško napako ali sploh ne odgovori, iz previdnosti prav tako ne preverjamo; če datoteka manjka (404), se šteje, da je preverjanje spletnega mesta dovoljeno. Posameznih blokiranih podimenikov trenutno ne vrednotimo ločeno – če ne želite, da Vas sploh preverjamo, blokirajte domačo stran. Lahke zahteve brez brskalnika in preverjanje glav ne berejo datoteke robots.txt.

Opt-out: Vnesite svojo domeno na strani Izključite svojo domeno. Velja za domeno in njeno različico z www., ne pa za druge poddomene. Učinkuje za vsako preverjanje, ki se začne po vnosu, trajno, tudi proti plačljivim strankam s preverjeno domeno, in zajema tudi preverjanje glav. Tekoče spremljanje v računu stranke se konča z naslednjim predvidenim preverjanjem; do takrat lahko še prihajajo lahke zahteve, kot je utrip obrazca. Če želite, da se tudi te končajo prej, nam pišite.

Varstvo podatkov

Upravljavec je LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poljska, contact@lukaswojcik.com. Kadar stranka preverja svojo lastno domeno, delujemo v njenem imenu.

• Podatki in vir: Osebne podatke zbiramo le, kolikor se pojavijo na preverjenih straneh Vaše spletne strani in postanejo vidni v naslovu URL strani, naslovu strani, oznaki obrazca ali posnetku zaslona, na primer ime v impresumu ali poleg obrazca. Vir je Vaša spletna stran. Takih podatkov ne iščemo.
• Namen in pravna podlaga: varnostna preverjanja obrazcev; pri brezplačnem preverjanju, preverjanju potencialnih strank in študiji na podlagi našega zakonitega interesa in interesa naših uporabnikov (člen 6(1)(f) GDPR).
• Uporabniki: kdor je zagnal poročilo ali ima povezavo do njega – povezava odpre poročilo brez prijave; pri domenah v računu stranke tudi cilji opozoril, ki jih je izbrala stranka; iz študije le skupni seštevki. Nobena zunanja storitev UI ni vključena.
• Obdobje hrambe: poročilo brez računa 30 dni, preverjanje potencialne stranke 90 dni, preverjanja v računu stranke do 13 mesecev, najnovejši rezultat za vsako domeno, dokler domena obstaja, študija do objave.
• Vaše pravice: dostop, popravek, izbris, omejitev in ugovor v skladu s členom 21 GDPR – najhitreje prek opt-outa – ter pravica do vložitve pritožbe pri nadzornem organu, za nas je to predsednik Urada za varstvo osebnih podatkov (Prezes Urzędu Ochrony Danych Osobowych) v Varšavi.

Vse drugo je v Politiki zasebnosti. Kako ravnamo z zlorabami, je opisano v dokumentu Sprejemljiva uporaba in zloraba.

Kontakt

Vprašanja ali pritožbe: contact@lukaswojcik.com ali prek kontaktne strani. Navedite svojo domeno in, če je na voljo, ID pregleda ali povezavo do poročila. Varnostne ranljivosti v sami storitvi formexposed prijavite prek naše strani za prijavo ranljivosti.