Ús acceptable i abusos

Aquest document es publica en diverses llengües. En cas de discrepància entre les versions lingüístiques, la versió polonesa és la vinculant.

Versió 1.0 · Última actualització: 16 d'octubre de 2026

formexposed examina llocs web de tercers i, en dominis verificats, fa enviaments de prova als formularis de contacte. Una eina així també es pot utilitzar contra altres persones. Aquesta pàgina estableix per a què serveix formexposed, què està prohibit, com limitem tècnicament l'ús indegut i què passa si algú incompleix les regles. S'aplica a tothom que utilitza formexposed: tant als clients amb compte com als visitants que utilitzen la comprovació gratuïta sense compte.

El prestador és LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland. Per als Clients, aquesta pàgina forma part del contracte: les Condicions del servei la inclouen entre els documents contractuals. Per a la comprovació gratuïta i les altres eines d'accés lliure, s'aplica com a part de les regles que les Condicions del servei estableixen per a aquestes eines. Si aquesta pàgina entra en conflicte amb les Condicions del servei, prevalen les Condicions del servei. Els exemples («com ara», «per exemple») il·lustren una regla; no l'amplien ni la restringeixen.

1. Per a què serveix formexposed

formexposed comprova si un formulari de contacte està protegit contra els missatges brossa automatitzats, si funciona de manera fiable i si tracta les dades amb cura. En particular, està permès:

comprovar i supervisar el seu propi lloc web o el d'un client i utilitzar els resultats per protegir-lo;
utilitzar la comprovació gratuïta sense compte per obtenir una primera impressió, de només lectura, de qualsevol lloc web accessible públicament, tal com el veu un visitant;
com a agència amb el pla Business, fer comprovar passivament el lloc web d'un client potencial i posar els resultats de comprovació a disposició de l'operador de manera lícita (vegi la secció 3.5);
compartir informes amb les persones responsables del lloc web o que se n'encarreguen;
utilitzar l'API, el connector i les extensions dins de la seva documentació i els seus límits;
mostrar el distintiu al domini per al qual s'ha emès.

El criteri és senzill: formexposed està pensat per ajudar els operadors de llocs web a protegir els seus propis formularis. Tot allò que perjudica un tercer que no hi ha consentit no forma part d'aquesta finalitat.

2. Limitacions deliberades de formexposed

Perquè el servei no sigui útil com a eina d'atac, l'hem limitat. Aquests límits s'apliquen a tots els usuaris i els usuaris no els poden desbloquejar:

Sense prova de control d'un domini, no s'hi envia res; les úniques excepcions són els dominis de prova i demostració propis de formexposed, que comprovem internament. La comprovació gratuïta, la comprovació de clients potencials i el nostre estudi només llegeixen el que veu un visitant.
Fins i tot en dominis verificats, només enviem a un formulari de contacte general reconegut, com a màxim cinc enviaments de prova identificats per comprovació. Mai no enviem formularis de comanda, reserva, inici de sessió, registre, butlletí, assistència, pagament o càrrega de fitxers, formularis amb dades obligatòries com ara un número de telèfon o una adreça postal, ni formularis de llocs web que reconeixem pel domini o el títol de pàgina com a autoritat pública, tribunal, universitat, escola o institució sanitària.
La comprovació d'injecció de capçaleres és només detecció: el valor de prova no conté mai un destinatari real. La comprovació de validació del correu electrònic només utilitza una adreça acabada en .invalid, que no pot existir.
No resolem CAPTCHA. En dominis verificats, només comprovem si un formulari accepta un enviament sense testimoni CAPTCHA o amb un d'inventat. Si el formulari d'inici de sessió per a l'escaneig que requereix iniciar sessió conté un CAPTCHA, la comprovació s'atura.
El rastrejador només sol·licita adreces públiques a través dels ports web habituals. Les xarxes internes, les adreces locals i altres ports estan bloquejats, també per a les redireccions i el contingut incrustat.
La cerca de fitxers exposats (com ara un fitxer de configuració oblidat) només s'executa per a dominis verificats, perquè sol·licitar aquestes rutes en llocs web de tercers constitueix un atac.

Aquests límits descriuen com està implementat el servei. L'escàner reconeix si un formulari és un formulari de contacte general i si un lloc web pertany a una de les institucions enumerades a partir de característiques de la pàgina com ara noms dels camps, etiquetes, domini i títol de pàgina; en casos concrets, aquest reconeixement pot ser incorrecte. Per tant, la descripció no és una garantia als Clients o tercers que un formulari determinat no quedarà mai inclòs. Qui no vulgui que es comprovi el seu lloc web el pot excloure mitjançant l'exclusió voluntària (secció 6.1).

3. Què està prohibit

3.1 Sondejar o atacar llocs web de tercers

Utilitzar formexposed per trobar vulnerabilitats en llocs web de tercers i després atacar-los, sobrecarregar-los o explotar-los, per exemple inundant deliberadament de missatges brossa un formulari desprotegit.
Facilitar resultats, informes o captures de pantalla d'un lloc web de tercers a persones que els vulguin utilitzar per a un atac.
Utilitzar el servei contra llocs web l'operador dels quals l'ha exclòs manifestament, per exemple canviant a una grafia diferent del domini.

Qui espia o ataca sistemes de tercers sense autorització també pot cometre una infracció penal (a Polònia, per exemple, d'acord amb els art. 267 a 269b del Codi penal polonès (Kodeks karny); a Alemanya, per exemple, d'acord amb els §§ 202a a 202d i el § 303b StGB, el Codi penal alemany). El fet que la informació provingui d'un informe de formexposed no canvia res.

3.2 Eludir límits i mesures de protecció

Eludir els límits de la comprovació gratuïta, per exemple mitjançant moltes sessions de navegador, adreces IP canviants, servidors intermediaris, cadenes de VPN o comptes múltiples.
Consultar de manera automatitzada la comprovació gratuïta, la comprovació de capçaleres o el formulari d'exclusió voluntària. Per a l'automatització existeix l'API.
Eludir reCAPTCHA, la comprovació temporal i les altres mesures de protecció dels nostres propis formularis.
Eludir els límits dels plans repartint l'ús entre diversos comptes gratuïts.

3.3 Obtenir la verificació amb engany

Verificar un domini del qual no és l'operador ni ha rebut un encàrrec de l'operador, encara que tècnicament tingui accés al DNS, al servidor o al CMS, per exemple com a antic prestador de serveis, proveïdor d'allotjament o empleat.
Aportar una prova mitjançant contingut de tercers, per exemple mitjançant una funció de comentaris o una àrea de càrrega de fitxers del lloc web de tercers on qualsevol persona pot escriure.
Deixar un domini al compte després que hagi finalitzat l'autorització. Quan finalitza l'encàrrec, el Client elimina el domini.

La verificació és la porta d'accés a les comprovacions actives. Qui l'obté amb engany fa que formexposed enviï dades a un formulari de tercers: és l'ús indegut més greu que permet el servei, i el tractem com a tal.

3.4 Fer un ús indegut dels enviaments de prova

Utilitzar els enviaments de prova com a canal de missatges brossa o notificacions, per exemple verificant un domini per molestar els seus destinataris amb correus electrònics de prova.
Iniciar comprovacions d'un domini, en particular comprovacions manuals, amb la finalitat de molestar el destinatari dels correus electrònics del formulari en lloc de comprovar el formulari.
Configurar enviaments de prova en un domini sense assegurar-se que les persones que hi reben i gestionen els correus electrònics dels formularis (per exemple, un equip comercial) saben que poden arribar enviaments de prova identificats.

3.5 Utilitzar la comprovació de clients potencials per a publicitat no sol·licitada

La comprovació de clients potencials permet a una agència fer comprovar passivament el lloc web d'un possible client. Nosaltres no escrivim a l'operador; l'agència facilita l'enllaç pel seu compte. Com ho fa és assumpte seu i responsabilitat seva. Està prohibit utilitzar els resultats de comprovació per a publicitat que la llei no permet sense consentiment previ. Això inclou en particular:

correus electrònics no sol·licitats amb els resultats de comprovació a empreses o persones que no hi han consentit (a Polònia, art. 398 de la Llei polonesa de comunicacions electròniques (Prawo komunikacji elektronicznej, PKE); a Alemanya, § 7 UWG, la Llei alemanya contra la competència deslleial; en tots dos països, això també s'aplica a les empreses);
trucades publicitàries no sol·licitades, en la mesura que el dret aplicable n'exigeixi el consentiment;
missatges que utilitzen els resultats de comprovació per pressionar, alimentar la por o donar la impressió que formexposed ha comprovat el lloc web per encàrrec d'una autoritat o de l'operador.

Continua estant permès mostrar els resultats de comprovació a l'operador en una conversa que aquest hagi sol·licitat, i enviar-los-hi si ha consentit a rebre'ls o si el dret aplicable al contacte permet expressament enviar-los sense consentiment. L'agència mateixa comprova si és així; el fet que treballi amb l'operador en un altre assumpte no és suficient per si sol.

3.6 Fer un ús indegut d'informes, API, connector i distintiu

Recopilar informes sistemàticament, endevinar o provar adreces d'informes o recuperar informes en grans quantitats per acumular dades sobre llocs web de tercers.
Publicar informes de llocs web de tercers per exposar públicament els seus operadors.
Facilitar claus API, secrets de connectors o credencials, eludir els límits de l'API o utilitzar-la per a dominis de tercers.
Modificar o imitar el distintiu, mostrar-lo en un domini diferent d'aquell per al qual s'ha emès o utilitzar-lo per afirmar una certificació que formexposed no atorga. El distintiu només mostra «protegit» mentre el domini està verificat, la supervisió està en funcionament i l'última comprovació és recent i favorable; altrament, mostra el text neutral «Comprovació del formulari de contacte». Un gràfic creat pel mateix usuari amb la mateixa afirmació enganya els visitants.
Desar credencials per a l'escaneig que requereix iniciar sessió d'un compte que no s'hagi creat específicament com a compte de prova, o d'un lloc web de tercers.

4. Com formexposed prevé i detecta l'ús indegut

Les mesures següents estan implementades al codi. No revelem els llindars exactes perquè canvien i perquè facilitarien l'ús indegut.

4.1 Comprovació gratuïta

Commutador d'aturada. Podem posar en pausa la comprovació gratuïta en qualsevol moment. L'exclusió voluntària no es veu afectada i també funciona durant una pausa.
reCAPTCHA per a la comprovació, la comprovació de capçaleres i l'exclusió voluntària, amb llindars separats per formulari, més un camp trampa i una comprovació temporal en aquests formularis.
Límits per adreça IP, per sessió i per dia. Es compten les comprovacions acceptades. Un límit diari global protegeix contra les onades.
Molts dominis des d'una adreça. Qui intenta comprovar molts dominis diferents des d'una adreça IP en poc temps queda bloquejat. Aquí compta cada intent, també els rebutjats: és el patró típic amb què algú utilitza formexposed per sondejar llocs de tercers.
Un domini per setmana. Qui torna a introduir un domini dins d'una setmana veu l'informe existent; no es torna a comprovar.
Els dominis molt recents i els dominis l'antiguitat dels quals no es pot determinar no es comproven sense compte. Sovint es registren per cometre frau.
Només destinacions públiques. Es rebutja un nom que apunta a una adreça interna o reservada, abans de la tasca i novament en cadascuna de les sol·licituds del rastrejador.

4.2 Supervisió

Registrem com a anomalia els patrons sospitosos: molts dominis des d'una adreça, moltes sol·licituds en pocs minuts, molts intents rebutjats en una sessió, concentracions d'exclusions voluntàries d'un país o assolir el límit diari. Una anomalia nova genera una notificació a nosaltres, sense domini ni adreça IP; només veiem els detalls a l'àrea d'administració. La Política de privacitat exposa quines dades emmagatzemem amb aquesta finalitat i durant quant de temps.

4.3 La verificació com a porta d'accés

Les comprovacions actives, la supervisió, l'escaneig que requereix iniciar sessió, els recorreguts amb navegador i la cerca de fitxers exposats només s'executen, per als clients, en dominis dels quals s'ha aportat una prova de control: mitjançant un registre DNS, una metaetiqueta, un fitxer al servidor o el connector. Abans de cada tasca, l'escàner mateix torna a comprovar si el domini està classificat com a verificat; si no ho està, una comprovació activa passa a ser de només lectura i no es duu a terme cap recorregut amb navegador. Les comprovacions actives també es poden desactivar per a tot el servei.

4.4 Enviaments de prova

Tots els enviaments de prova estan identificats: al nom de l'emissor, «FormExposed Security Scanner»; a l'assumpte, «[formexposed.com] Automated security test — no action required»; i al text, amb una referència a la pàgina sobre FormExposedBot, a l'exclusió voluntària i amb l'identificador de l'escaneig. L'idioma depèn de la pàgina de destinació (alemany, anglès o polonès). En cada comprovació s'envien com a màxim cinc enviaments a un únic formulari. L'escàner s'atura després d'aquest nombre. Emplena els altres camps obligatoris amb «FormExposed security test»; marca les caselles sense les quals no es pot enviar el formulari, per exemple les de consentiment. La identificació mostra que no hi ha cap persona ni cap declaració d'una persona al darrere.

4.5 El rastrejador

FormExposedBot s'identifica amb un user-agent propi, llegeix robots.txt abans de cada comprovació i no fa la comprovació quan un Disallow per a ell o per a tots els programes inclou la pàgina d'inici; actualment no té en compte individualment les subrutes bloquejades. Les sol·licituds lleugeres sense navegador, com ara la comprovació periòdica del formulari o la comprovació de capçaleres, no llegeixen robots.txt. No comprova els dominis de la nostra llista d'exclusió voluntària ni la seva variant www, tampoc per compte de clients de pagament amb un domini verificat; la seva supervisió en curs finalitza amb la comprovació següent que correspongui. Els detalls són a la pàgina sobre FormExposedBot.

5. Conseqüències d'un incompliment

Responem de manera proporcional: escollim la mesura menys restrictiva que atura l'incompliment i evita més perjudicis a tercers i al servei, la limitem al compte, domini o funció afectats i l'aixequem tan bon punt deixa d'existir el motiu. Les mesures possibles són:

interrompre comprovacions individuals i bloquejar temporalment adreces IP o sessions;
eliminar un domini d'un compte, revocar-ne la verificació o posar-lo a la llista d'exclusió;
bloquejar funcions individuals, com ara les comprovacions actives, la comprovació de clients potencials, l'API o el distintiu;
bloquejar el compte i resoldre el contracte per causa justificada, tal com preveuen les Condicions del servei;
reclamar una indemnització pels danys d'acord amb les disposicions legals i, en la mesura legalment permesa, notificar-ho als operadors dels llocs web afectats, a les autoritats encarregades de fer complir la llei o a CERT Polska si hi ha indicis concrets d'una infracció penal o d'un atac contra tercers.

Els límits automàtics de la comprovació gratuïta i dels nostres propis formularis (secció 4.1) no són una mesura contra una persona concreta. S'apliquen a tothom segons regles fixes i finalitzen quan venç el període corresponent o tan bon punt hem resolt una anomalia.

Audiència prèvia. Abans de bloquejar un compte, domini o funció d'un Client, eliminar un domini del seu compte, revocar-ne la verificació o extingir el contracte, informem el Client en forma textual de quina conducta qüestionem, en quina regla d'aquesta pàgina o de les Condicions del servei ens basem i quina mesura estem considerant. El Client pot presentar observacions o esmenar l'incompliment en set dies; només després decidim. Abans d'una resolució per causa justificada, s'aplica en lloc seu el termini d'esmena més llarg que les Condicions del servei preveuen per a això; un bloqueig per impagament es regeix exclusivament per les Condicions del servei.

Casos urgents. Només actuem sense audiència prèvia si esperar posaria greument en perill tercers o el servei, en particular quan hi ha indicis concrets d'una verificació obtinguda amb engany, en cas de comprovacions o enviaments de prova contra la voluntat declarada de l'operador del lloc web, en cas d'un atac a tercers a través del servei, en cas d'una notificació que indiqui una infracció greu de la llei per contingut d'un portal de clients o d'un informe de marca pròpia, o si ho exigeix una autoritat, un tribunal o la llei. En aquest cas, inicialment limitem la mesura al domini, funció o contingut afectats, n'informem el Client amb els motius en forma textual sense dilació indeguda i, com a màxim, el dia hàbil següent, en la mesura que això no frustri la seva finalitat ni estigui prohibit per la llei, i fem l'audiència després.

Objeccions. Qui consideri injustificada una mesura, també sense compte, s'hi pot oposar en forma textual a contact@lukaswojcik.com. Examinem l'objecció i responem en 14 dies amb els motius; si és justificada, aixequem la mesura immediatament. Continuen oberts el procediment de Reclamacions i la via judicial. Si restringim contingut d'un Client arran d'una notificació de contingut il·lícit, a més proporcionem una exposició de motius d'acord amb l'art. 17 del Reglament (UE) 2022/2065 (Reglament de serveis digitals, DSA) i indiquem aquestes vies de recurs. Si un bloqueig afecta l'obligació de pagament i quan és possible resoldre per causa justificada es regeix per les Condicions del servei.

6. Si es veu afectat

6.1 No vol que formexposed comprovi el seu lloc web

Introdueixi el seu domini a la pàgina Excloure el seu domini o bloquegi FormExposedBot per a la pàgina d'inici al seu robots.txt. Totes dues opcions tenen efecte, sense haver de contactar amb nosaltres, per a qualsevol comprovació que s'iniciï després. La supervisió en curs en un compte de client finalitza amb la comprovació següent que correspongui; fins aleshores encara poden arribar sol·licituds lleugeres, com ara la comprovació periòdica del formulari, i aquestes sol·licituds lleugeres no llegeixen robots.txt. Si vol que també acabin abans, escrigui'ns a més. La pàgina d'exclusió voluntària descriu què queda exclòs exactament.

6.2 Ha rebut un enviament de prova que no esperava

Els enviaments de prova només arriben a dominis dels quals un Client ha aportat una prova de control i als dominis de prova i demostració propis de formexposed. Es fan a iniciativa d'aquell Client. Si no ho ha disposat, potser la seva agència, el seu proveïdor d'allotjament o un company ha afegit el domini, o algú ha obtingut la verificació amb engany. La via més ràpida per aturar nous enviaments de prova és fer-ho personalment mitjançant l'exclusió voluntària: els enviaments de prova només es produeixen durant una comprovació, i després d'afegir el domini a la llista no s'inicia cap altra comprovació d'aquest domini. Escrigui'ns també a contact@lukaswojcik.com i indiqui l'identificador de l'escaneig del missatge. Comprovarem qui ha verificat el domini, el posarem a la llista d'exclusió fins a aclarir-ho si vostè encara no ho ha fet i demanarem al Client que acrediti la seva autorització. Només li direm qui l'ha verificat en la mesura que ho permeti el dret de protecció de dades.

6.3 Sospita que algú utilitza formexposed contra vostè

Escrigui a contact@lukaswojcik.com, idealment amb el moment, el domini i les sol·licituds amb el user-agent FormExposedBot extretes dels registres del seu servidor. També ens pot contactar a través de la pàgina de contacte. Confirmarem la recepció i li comunicarem què hem fet. Pot comunicar de la mateixa manera contingut il·lícit d'un portal de clients o d'un informe de marca pròpia; les Dades del prestador exposen què hauria de contenir una notificació així de l'art. 16 DSA. El nostre punt de contacte dels art. 11 i 12 DSA també hi figura.

6.4 Ha trobat una vulnerabilitat de seguretat en formexposed mateix

Comuniqui-la a través de la nostra pàgina de comunicació de vulnerabilitats (també a /.well-known/security.txt). Explica com tramitem les comunicacions i què prometem als investigadors. No faci proves en llocs web de tercers durant aquest procés, tampoc a través de formexposed.

7. Cooperació amb les autoritats

Cooperem amb les autoritats encarregades de fer complir la llei, les autoritats de control i organismes com CERT Polska quan es tracta d'ús indegut del servei o d'atacs contra tercers. Només lliurem dades si hi ha una base jurídica, l'organisme sol·licitant és competent i la sol·licitud té la forma exigida. Examinem cada sol·licitud individualment i només lliurem el que realment exigeix. Informem els Clients afectats, llevat que la llei o l'autoritat ho prohibeixin.

No emmagatzemem més del que és necessari per al funcionament i la prevenció d'abusos amb la finalitat de poder proporcionar informació a les autoritats. Tampoc no podem lliurar allò que s'ha suprimit després de vèncer els terminis indicats a la Política de privacitat.

8. Canvis

Actualitzem aquesta pàgina quan canvien el servei o els patrons d'ús indegut. Per als Clients s'apliquen les regles de modificació de les Condicions del servei; les prohibicions noves i les conseqüències més estrictes només se'ls apliquen després d'aquest procediment. Avaluem la conducta segons la versió aplicable en el moment de la conducta. Preguntes sobre aquesta pàgina: contact@lukaswojcik.com.

Com el podem ajudar?