Про FormExposedBot

Останнє оновлення: 16 жовтня 2026 року

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Токен у robots.txt: FormExposedBot

Що таке FormExposedBot

FormExposedBot — сканер formexposed. formexposed перевіряє, чи захищені контактні форми від автоматизованого спаму та чи надійно працюють. Якщо Ви знайшли цей user-agent у журналах свого сервера, хтось запустив перевірку Вашого сайту:

• відвідувач formexposed, який ввів Ваш домен у безкоштовній перевірці — без облікового запису, лише для читання;
• клієнт, який має Ваш домен у своєму обліковому записі й заявляє, що керує сайтом або доглядає за ним, чи хтось, хто встановив наш плагін на Вашому сайті;
• агентство, яке замовляє перевірку Вашого сайту як потенційного клієнта, лише для читання;
• ми самі для дослідження, за яким публікуємо лише агреговані показники без назв сайтів;
• хтось, хто ввів Вашу головну сторінку в нашій безкоштовній перевірці заголовків (лише заголовки, без браузера).

На запит ми повідомимо Вам, до якого з цих типів належала перевірка; хто її запустив — лише тією мірою, якою це дозволяє законодавство про захист даних. При цьому ми діємо за ініціативою цієї особи; для доменів, щодо яких клієнт надав підтвердження контролю, — від імені цього клієнта.

Що відбувається під час перевірки

• Перед перевіркою бот читає Ваш robots.txt (див. нижче).
• Він завантажує Вашу головну сторінку й до семи додаткових сторінок на тому самому хості (з www. або без нього, без інших піддоменів), загалом щонайбільше вісім. Сторінки зі словами на кшталт contact, imprint або support мають пріоритет. Він пропускає сторінки входу, облікового запису, кошика й оформлення замовлення, стрічки, PDF і зображення.
• Він використовує справжній браузер без графічного інтерфейсу з увімкненим JavaScript і завантажує сторінки послідовно, а не паралельно. На сторінку відводиться щонайбільше 20 секунд; приблизно через три хвилини перевірка зупиняється.
• Він читає форми: назви й типи полів, підписи, обов’язкові поля, вбудовані CAPTCHA, приховані пастки, токени й заголовки. Під час цієї перевірки лише для читання він нічого не вводить.
• Для щонайбільше трьох сторінок із формою він завантажує сторінку вдруге й натискає «Відхилити» в банері cookie — ніколи «Прийняти». Це показує нам, чи працює форма після відмови.
• Для щонайбільше трьох сторінок із формою він завантажує сторінку у вигляді для телефона, без натискань. User-agent залишається тим самим; ми не видаємо себе за смартфон.
• Він визначає тип форми за правилами, а коли їх недостатньо — за допомогою мовної моделі на нашому власному сервері. При цьому ніщо не залишає наших серверів.

Без підтвердження контролю над доменом (нижче) FormExposedBot отримує лише сторінки, публічно доступні без входу, й нічого не надсилає. Він не обходить жодного захисту доступу, не вгадує облікові дані й не розв’язує CAPTCHA. Усе, що виходить за ці межі, — тестові надсилання, пошук відкритих для доступу файлів і перевірка захищеної входом частини сайту з тестовим обліковим записом — відбувається лише для доменів із цим підтвердженням або власних тестових і демонстраційних доменів formexposed.

Через безкоштовну перевірку на нашому сайті ми перевіряємо той самий домен щонайбільше один раз на сім днів; той, хто вводить його знову, бачить наявний звіт. Клієнти можуть вручну замовляти перевірки доменів у своєму обліковому записі з часом очікування; домени з підтвердженням контролю також регулярно перевіряються з частотою свого тарифу, повна перевірка — щонайбільше раз на день. Легкі запити без браузера (нижче) надходять частіше.

Тестові надсилання лише для підтверджених доменів

Для клієнтів надсилання здійснюються лише якщо клієнт довів своє право контролювати домен (запис DNS, метатег, файл або плагін); без цього підтвердження ми активно перевіряємо лише власні тестові й демонстраційні домени. Навіть тоді:

• лише одна форма за перевірку й лише та, яку надійно визначено як загальну контактну форму; мовна модель ніколи не може дозволити надсилання форми;
• щонайбільше п’ять надсилань за перевірку, наприклад без відповіді CAPTCHA, із заповненим полем-пасткою або зі зміненим токеном;
• ніколи не форми замовлення, бронювання, входу, реєстрації, розсилки, підтримки, оплати чи завантаження файлів; ніколи не форми з обов’язковими полями для телефона, поштової адреси чи реквізитів компанії; ніколи не сайти, які за доменом чи заголовком сторінки ми визначаємо як орган влади, суд, університет, школу або заклад охорони здоров’я.

Бот визначає тип форми й тип сайту за ознаками сторінки; в окремих випадках це визначення може бути помилковим. Перелік описує реалізацію бота й не є гарантією. Якщо Ви не бажаєте тестових надсилань, виключіть домен (нижче): тоді не запуститься жодна перевірка, під час якої можливе надсилання.

Кожне надсилання позначається. Ім’я відправника «FormExposed Security Scanner», адреса відправника dummy@formexposed.com, тема «[formexposed.com] Automated security test — no action required». Текст мовою Вашої сторінки (німецькою, англійською чи польською); англійською:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

Речення «No data was stored» є надто широким. Правильно так: при цьому ми не зберігаємо нічого від Ваших відвідувачів або з Вашої поштової скриньки. Однак для оцінки тесту ми зберігаємо відповідь Вашого сервера на надсилання, а саме код стану, перші 300 символів сторінки відповіді та її знімок екрана (див. «Що зберігається»).

Інші обов’язкові поля бот заповнює текстом «FormExposed security test». Він установлює прапорці, без яких неможливо надіслати форму, наприклад щодо згоди. Позначення показує, що за ним не стоїть жодна особа й жодне волевиявлення особи.

Перевірка ін’єкції заголовків вставляє лише нешкідливий заголовок X-FormExposed-Injection-Test, ніколи не одержувача. Перевірка валідації адреси використовує адресу в домені .invalid, яка не може існувати.

Додаткові запити для клієнтів

Для підтверджених доменів в обліковому записі клієнта на його запит додаються:

• Браузерні сценарії: браузер (Chromium або WebKit) відкриває вибрану клієнтом сторінку форми з розміром екрана телефона й перевіряє, чи з’являється форма та чи можна нею користуватися до кнопки надсилання; для цього він заповнює обов’язкові поля тестовими значеннями, які не залишають браузера. Він надсилає лише запити GET і HEAD; надсилання форми технічно заблоковане.
• Сканування захищеної входом частини сайту: лише з тестовим обліковим записом, який оператор сайту створив самостійно, щонайбільше п’ять сторінок, без надсилання, без знімків екрана, ніколи не адреси виходу, видалення чи скасування. Якщо вхід містить CAPTCHA, бот зупиняється.
• Легкі запити без браузера: пульс форми (до трьох сторінок форм кожні 10, 15 або 30 хвилин залежно від тарифу), перевірка підтвердження контролю, перевірка заголовків і пошук відкритих для доступу файлів. Вони використовують той самий user-agent із суфіксом на кшталт pulse, ownership-verification, headers або exposed-files.

Крім того, будь-хто може замовити отримання заголовків Вашої головної сторінки нашою безкоштовною перевіркою заголовків: по одному запиту через https і http до головної сторінки, а також усі перенаправлення в межах Вашого домену, без браузера й без форми.

Що зберігається

Лише те, що описує результат перевірки: адреси й заголовки перевірених сторінок, структура форм (назви полів, типи, підписи тощо, без значень полів; початки попередньо заповнених прихованих полів до 24 символів та атрибутів data- до 60 символів бот читає лише під час перевірки й не зберігає), виявлені заходи захисту, заголовки, хости вбудованих сервісів, контрольні суми скриптів (не їхній вміст; для вбудованих скриптів — також перші 80 символів із замаскованими ідентифікаторами), назви встановлених cookie, знімки екрана видимої області головної сторінки й форм, а після тестового надсилання — сторінки відповіді; з цієї відповіді — також код стану й перші 300 символів. Ці знімки екрана з перевірки не редагуються для приховування даних; вони показують те, що видно на публічній сторінці. Лише браузерні сценарії створюють невелике зображення форми із закритими полями введення. Якщо форма містить адресу одержувача, ми зберігаємо лише її домен.

Звідки надходять запити

FormExposedBot працює на наших власних серверах у Польщі. Ми не публікуємо IP-адреси, оскільки вони можуть змінюватися. Якщо Ви хочете дізнатися, чи справді запит надійшов від нас, напишіть нам із зазначенням часу й IP-адреси з Вашого журналу; ми повідомимо, чи надійшов він від нас. Для перехресної перевірки перед сповіщенням про відмову може додаватися друга локація в іншого постачальника; вона також використовує user-agent FormExposedBot.

Як виключити Ваш домен

robots.txt:

User-agent: FormExposedBot
Disallow: /

Бот спочатку шукає у Вашому robots.txt групу для FormExposedBot, а якщо її немає — групу для всіх (*). Якщо Disallow охоплює головну сторінку, перевірка не відбувається. Якщо Ваш сервер відповідає на запит robots.txt серверною помилкою або не відповідає зовсім, ми також із запобіжних міркувань не перевіряємо; якщо файл відсутній (404), сайт вважається дозволеним. Наразі ми не оцінюємо окремо окремі заблоковані підкаталоги — якщо Ви взагалі не хочете перевірок, заблокуйте головну сторінку. Легкі запити без браузера та перевірка заголовків не читають robots.txt.

Відмова від перевірок: введіть Ваш домен на сторінці Виключити Ваш домен. Це застосовується до домену та його варіанта з www., але не до інших піддоменів. Відмова постійно діє для кожної перевірки, що починається після внесення запису, зокрема й для платних клієнтів із підтвердженим доменом, та охоплює перевірку заголовків. Поточний моніторинг в обліковому записі клієнта завершується з наступною запланованою перевіркою; до того часу легкі запити, як-от пульс форми, ще можуть надходити. Якщо Ви хочете припинити їх раніше, напишіть нам.

Захист даних

Контролером є LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, contact@lukaswojcik.com. Коли клієнт перевіряє власний домен, ми діємо від його імені.

• Дані й джерело: ми збираємо персональні дані лише тією мірою, якою вони з’являються на перевірених сторінках Вашого сайту й стають видимими в адресі сторінки, її заголовку, підписі форми чи знімку екрана, як-от ім’я у відомостях про постачальника або біля форми. Джерелом є Ваш сайт. Ми не шукаємо таких даних.
• Мета й правова підстава: перевірки безпеки форм; для безкоштовної перевірки, перевірки потенційного клієнта й дослідження — на підставі нашого законного інтересу та інтересу наших користувачів (ст. 6(1)(f) GDPR).
• Одержувачі: той, хто запустив звіт або має посилання на нього, — посилання відкриває звіт без входу; для доменів в обліковому записі клієнта — також вибрані клієнтом адресати сповіщень; із дослідження — лише сукупні показники. Жоден зовнішній сервіс ШІ не залучається.
• Строк зберігання: звіт без облікового запису — 30 днів, перевірка потенційного клієнта — 90 днів, перевірки в обліковому записі клієнта — до 13 місяців, найновіший результат кожного домену — доки домен існує, дослідження — до публікації.
• Ваші права: доступ, виправлення, видалення, обмеження й заперечення за ст. 21 GDPR — найшвидше через відмову від перевірок — та право подати скаргу до наглядового органу, для нас це Голова Управління захисту персональних даних (Prezes Urzędu Ochrony Danych Osobowych) у Варшаві.

Усе інше наведено в Політиці конфіденційності. Як ми реагуємо на неналежне використання, визначено на сторінці Допустиме використання та зловживання.

Контакт

Запитання чи скарги: contact@lukaswojcik.com або через сторінку контактів. Будь ласка, зазначте Ваш домен і, за наявності, ідентифікатор сканування або посилання на звіт. Про вразливості безпеки в самому formexposed просимо повідомляти через нашу сторінку повідомлення про вразливості.