formexposed
Začít

Přijatelné používání a zneužití

Tento dokument je zveřejněn v několika jazycích. V případě rozporu mezi jazykovými verzemi je závazná polská verze.

Verze 1.0 · Poslední aktualizace: 16. října 2026

formexposed prohlíží weby třetích stran a na ověřených doménách odesílá testovací odeslání do kontaktních formulářů. Takový nástroj lze obrátit i proti jiným. Tato stránka stanoví, k čemu formexposed slouží, co je zakázáno, jak technicky omezujeme zneužití a co se stane, když někdo pravidla poruší. Vztahuje se na každého, kdo formexposed používá: na zákazníky s účtem i na návštěvníky, kteří využívají bezplatnou kontrolu bez účtu.

Poskytovatelem je LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polsko. Pro zákazníky je tato stránka součástí smlouvy: Obchodní podmínky ji řadí mezi smluvní dokumenty. Pro bezplatnou kontrolu a další volně přístupné nástroje platí jako součást pravidel, která pro tyto nástroje stanoví Obchodní podmínky. Je-li tato stránka v rozporu s Obchodními podmínkami, mají přednost Obchodní podmínky. Příklady („jako“, „například“) pravidlo ilustrují; nerozšiřují ho ani nezužují.

1. K čemu formexposed slouží

formexposed kontroluje, zda je kontaktní formulář chráněn proti automatizovanému spamu, zda spolehlivě funguje a zda s daty zachází pečlivě. Dovoleno je zejména:

  • kontrolovat a monitorovat vlastní web nebo web klienta a používat výsledky k jeho zabezpečení;
  • používat bezplatnou kontrolu bez účtu k získání prvního dojmu o libovolném veřejně přístupném webu, a to pouze čtením – tak, jak ho vidí návštěvník;
  • jako agentura v tarifu Business nechat pasivně zkontrolovat web potenciálního klienta a zpřístupnit nálezy provozovateli zákonným způsobem (viz oddíl 3.5);
  • sdílet reporty s lidmi, kteří za web odpovídají nebo se o něj starají;
  • používat API, plugin a rozšíření v rámci jejich dokumentace a limitů;
  • zobrazovat odznak na doméně, pro kterou byl vydán.

Měřítko je jednoduché: formexposed má pomáhat provozovatelům webů chránit jejich vlastní formuláře. Nic, co poškozuje třetí stranu, která s tím nesouhlasila, k tomu nepatří.

2. Co formexposed záměrně neumí

Aby služba nebyla k užitku jako nástroj pro útoky, omezili jsme ji. Tato omezení platí pro všechny uživatele a uživatelé je nemohou odemknout:

  • Bez prokázání kontroly nad doménou se na ní nic neodesílá; jedinou výjimkou jsou vlastní testovací a demo domény formexposed, které kontrolujeme interně. Bezplatná kontrola, kontrola potenciálního klienta a naše studie čtou pouze to, co vidí návštěvník.
  • I na ověřených doménách odesíláme pouze do rozpoznaného obecného kontaktního formuláře, nejvýše pět označených testovacích odeslání na kontrolu. Nikdy neodesíláme objednávkové, rezervační, přihlašovací, registrační, newsletterové, podpůrné, platební ani nahrávací formuláře, formuláře s povinnými údaji, jako je telefonní číslo nebo poštovní adresa, ani formuláře na webech, které podle domény nebo názvu stránky rozpoznáme jako orgán veřejné moci, soud, vysokou školu, školu nebo zdravotnické zařízení.
  • Kontrola header injection je čistě detekční: testovací hodnota nikdy neobsahuje skutečného příjemce. Kontrola validace e-mailu používá pouze adresu končící na .invalid, která nemůže existovat.
  • CAPTCHA neřešíme. Na ověřených doménách pouze kontrolujeme, zda formulář přijme odeslání bez tokenu CAPTCHA nebo s vymyšleným tokenem. Pokud přihlašovací formulář pro kontrolu za přihlášením obsahuje CAPTCHA, kontrola se zastaví.
  • Crawler přistupuje pouze k veřejným adresám přes obvyklé webové porty. Interní sítě, místní adresy a jiné porty jsou blokovány, a to i u přesměrování a vloženého obsahu.
  • Vyhledávání odhalených souborů (například zapomenutého konfiguračního souboru) probíhá pouze u ověřených domén, protože dotazování na takové cesty na webech třetích stran se rovná útoku.

Tato omezení popisují, jak je služba postavena. Skener rozpoznává, zda je formulář obecným kontaktním formulářem a zda web patří některé z uvedených institucí, podle znaků stránky, jako jsou názvy polí, popisky, doména a název stránky; v jednotlivých případech může být toto rozpoznání chybné. Popis proto není zárukou vůči zákazníkům ani třetím stranám, že se konkrétní formulář nikdy nebude týkat kontroly. Kdo nechce, aby byl jeho web kontrolován, může jej vyloučit prostřednictvím opt-outu (oddíl 6.1).

3. Co je zakázáno

3.1 Zkoumání webů třetích stran nebo útoky na ně

  • Používat formexposed k hledání zranitelností na webech třetích stran a následně na ně útočit, přetěžovat je nebo je zneužívat – například úmyslně zahltit nechráněný formulář spamem.
  • Předávat výsledky, reporty nebo snímky obrazovky webu třetí strany lidem, kteří je chtějí použít k útoku.
  • Používat službu proti webům, jejichž provozovatel ji zjevně vyloučil, například přechodem na jiný zápis domény.

Kdo bez oprávnění vyzvídá v systémech třetích stran nebo na ně útočí, může se také dopustit trestného činu (v Polsku například podle čl. 267 až 269b polského trestního zákoníku (Kodeks karny), v Německu například podle §§ 202a až 202d a § 303b StGB, německého trestního zákoníku). Skutečnost, že informace pocházejí z reportu formexposed, na tom nic nemění.

3.2 Obcházení limitů a ochranných opatření

  • Obcházet limity bezplatné kontroly, například pomocí mnoha relací prohlížeče, měnících se IP adres, proxy serverů, řetězců VPN nebo více účtů.
  • Automatizovaně se dotazovat na bezplatnou kontrolu, kontrolu hlaviček nebo formulář opt-out. Pro automatizaci existuje API.
  • Obcházet reCAPTCHA, časovou kontrolu a další ochranná opatření našich vlastních formulářů.
  • Obcházet limity tarifů rozdělením používání mezi několik bezplatných účtů.

3.3 Získání ověření podvodem

  • Ověřit doménu, jejímž provozovatelem nejste ani vás provozovatel nepověřil – i když k DNS, serveru nebo CMS technicky máte přístup, například jako bývalý poskytovatel služeb, poskytovatel hostingu nebo zaměstnanec.
  • Poskytnout důkaz prostřednictvím obsahu třetích stran, například přes funkci komentářů nebo oblast pro nahrávání souborů na webu třetí strany, do které může zapisovat kdokoli.
  • Ponechat doménu v účtu po skončení oprávnění. Když spolupráce skončí, zákazník doménu odstraní.

Ověření je vstupní branou k aktivním kontrolám. Kdo je získá podvodem, nechá formexposed odesílat do formuláře třetí strany – to je nejzávažnější zneužití, které služba umožňuje, a podle toho s ním také zacházíme.

3.4 Zneužití testovacích odeslání

  • Používat testovací odeslání jako kanál pro spam nebo oznámení, například ověřením domény za účelem zahlcení jejích příjemců testovacími e-maily.
  • Spouštět kontroly domény, zejména ruční kontroly, s cílem zatěžovat příjemce e-mailů z formuláře, a nikoli kontrolovat formulář.
  • Nastavit testovací odeslání na doméně, aniž byste zajistili, že lidé, kteří tam e-maily z formuláře přijímají a zpracovávají (například obchodní tým), vědí, že mohou přicházet označená testovací odeslání.

3.5 Použití kontroly potenciálního klienta k nevyžádané reklamě

Kontrola potenciálního klienta umožňuje agentuře nechat pasivně zkontrolovat web potenciálního klienta. Provozovateli nepíšeme; odkaz předává agentura sama. Jak to dělá, je její věc a její odpovědnost. Je zakázáno používat nálezy k reklamě, kterou zákon bez předchozího souhlasu nedovoluje. Patří sem zejména:

  • nevyžádané e-maily s nálezy společnostem nebo osobám, které nedaly souhlas (v Polsku čl. 398 polského zákona o elektronických komunikacích (Prawo komunikacji elektronicznej, PKE); v Německu § 7 UWG, německého zákona proti nekalé soutěži – v obou zemích to platí i pro podnikatele);
  • nevyžádané reklamní hovory, pokud k nim rozhodné právo vyžaduje souhlas;
  • zprávy, které nálezy využívají k vyvíjení tlaku, vyvolávání strachu nebo vytváření dojmu, že formexposed web zkontroloval na pokyn úřadu nebo provozovatele.

Nadále je dovoleno ukázat nálezy provozovateli v rozhovoru, o který provozovatel požádal, a zaslat mu je, pokud s jejich přijetím souhlasil nebo pokud právo rozhodné pro oslovení výslovně dovoluje jejich zaslání bez souhlasu. Agentura sama ověří, zda tomu tak je; skutečnost, že s provozovatelem spolupracuje v jiné záležitosti, sama o sobě nestačí.

3.6 Zneužití reportů, API, pluginu a odznaku

  • Systematicky shromažďovat reporty, hádat nebo zkoušet adresy reportů nebo načítat reporty ve velkém množství za účelem hromadění dat o webech třetích stran.
  • Zveřejňovat reporty o webech třetích stran s cílem zostudit jejich provozovatele.
  • Předávat klíče API, tajné klíče pluginu nebo přihlašovací údaje, obcházet limity API nebo je používat pro domény třetích stran.
  • Upravovat nebo napodobovat odznak, zobrazovat jej na jiné doméně, než pro kterou byl vydán, nebo jím tvrdit certifikaci, kterou formexposed neuděluje. Odznak ukazuje „chráněno“ pouze tehdy, je-li doména ověřena, běží monitorování a poslední kontrola je aktuální a příznivá; jinak ukazuje neutrální „Kontrola kontaktního formuláře“. Vlastnoručně vytvořená grafika se stejným tvrzením klame návštěvníky.
  • Ukládat přihlašovací údaje pro kontrolu za přihlášením k účtu, který nebyl vytvořen speciálně jako testovací účet, nebo k webu třetí strany.

4. Jak formexposed zneužití předchází a odhaluje je

Následující opatření jsou implementována v kódu. Přesné hranice nezveřejňujeme, protože se mění a protože by zneužití usnadnily.

4.1 Bezplatná kontrola

  • Nouzový vypínač. Bezplatnou kontrolu můžeme kdykoli pozastavit. Opt-out tím není dotčen a funguje i během pozastavení.
  • reCAPTCHA pro kontrolu, kontrolu hlaviček a opt-out se samostatnými hranicemi pro každý formulář a k tomu past a časová kontrola v těchto formulářích.
  • Limity na IP adresu, na relaci a na den. Počítají se přijaté kontroly. Celkový denní limit chrání před vlnami požadavků.
  • Mnoho domén z jedné adresy. Kdo se pokusí během krátké doby zkontrolovat z jedné IP adresy mnoho různých domén, je zablokován. Zde se počítá každý pokus, i odmítnutý: to je typický vzorec, kterým někdo pomocí formexposed oťukává cizí weby.
  • Jedna doména za týden. Kdo zadá doménu znovu do týdne, uvidí existující report; znovu se nekontroluje.
  • Velmi mladé domény a domény, jejichž stáří nelze určit, se bez účtu nekontrolují. Často bývají registrovány za účelem podvodu.
  • Pouze veřejné cíle. Název, který ukazuje na interní nebo rezervovanou adresu, je odmítnut – před úlohou a znovu při každém jednotlivém požadavku crawleru.

4.2 Monitorování

Nápadné vzorce – mnoho domén z jedné adresy, mnoho požadavků během několika minut, mnoho odmítnutých pokusů v jedné relaci, nahromadění opt-outů z jedné země, dosažení denního limitu – zaznamenáváme jako anomálii. Nová anomálie nám spustí oznámení, bez domény a bez IP adresy; podrobnosti vidíme pouze v administraci. Jaká data k tomu ukládáme a jak dlouho, je uvedeno v Zásadách ochrany osobních údajů.

4.3 Ověření jako vstupní brána

Aktivní kontroly, monitorování, kontrola za přihlášením, průchody prohlížečem a vyhledávání odhalených souborů probíhají u zákazníků pouze pro domény, u nichž byla prokázána kontrola nad doménou: záznamem DNS, meta tagem, souborem na serveru nebo prostřednictvím pluginu. Před každou úlohou skener sám znovu ověří, zda je doména vedena jako ověřená; pokud není, aktivní kontrola se vrátí ke kontrole pouze pro čtení a průchod prohlížečem se neprovede. Aktivní kontroly lze také vypnout pro celou službu.

4.4 Testovací odeslání

Každé testovací odeslání je označeno: ve jménu odesílatele „FormExposed Security Scanner“, v předmětu „[formexposed.com] Automated security test — no action required“ a v textu odkazem na stránku o FormExposedBot, na opt-out a s ID kontroly. Jazyk závisí na cílové stránce (němčina, angličtina nebo polština). Na jednu kontrolu jde do jednoho formuláře nejvýše pět odeslání. Po tomto počtu se skener zastaví. Ostatní povinná pole vyplní textem „FormExposed security test“; zaškrtne zaškrtávací políčka, bez nichž formulář nelze odeslat, například pro souhlas. Označení ukazuje, že za tím nestojí žádná osoba ani žádné prohlášení osoby.

4.5 Crawler

FormExposedBot se identifikuje vlastním user-agentem, před každou kontrolou čte robots.txt a nekontroluje, pokud se na domovskou stránku vztahuje Disallow pro něj nebo pro všechny programy; zablokované podcesty zatím jednotlivě nerespektuje. Lehké požadavky bez prohlížeče, jako je puls formuláře nebo kontrola hlaviček, robots.txt nečtou. Nekontroluje domény na našem seznamu vyloučených (opt-out) ani jejich variantu s www, a to ani na žádost platících zákazníků s ověřenou doménou; jejich probíhající monitorování skončí další splatnou kontrolou. Podrobnosti jsou na stránce o FormExposedBot.

5. Důsledky porušení

Reagujeme přiměřeně: volíme nejmírnější opatření, které porušení zastaví a odvrátí další škodu třetím stranám a službě, omezíme je na dotčený účet, doménu nebo funkci a zrušíme je, jakmile pomine jeho důvod. Možná opatření jsou:

  • přerušit jednotlivé kontroly a dočasně zablokovat IP adresy nebo relace;
  • odstranit doménu z účtu, odebrat její ověření nebo ji zařadit na seznam vyloučených;
  • zablokovat jednotlivé funkce, jako jsou aktivní kontroly, kontrola potenciálního klienta, API nebo odznak;
  • zablokovat účet a vypovědět smlouvu z vážného důvodu, jak stanoví Obchodní podmínky;
  • požadovat náhradu škody podle zákonných ustanovení a v rozsahu, v jakém je to právně přípustné, informovat dotčené provozovatele webů, orgány činné v trestním řízení nebo CERT Polska, existují-li konkrétní náznaky trestného činu nebo útoku na třetí strany.

Automatické limity bezplatné kontroly a našich vlastních formulářů (oddíl 4.1) nejsou opatřením proti konkrétní osobě. Platí pro všechny podle pevných pravidel a končí uplynutím příslušného období nebo jakmile anomálii vyřešíme.

Předchozí vyjádření. Než zákazníkovi zablokujeme účet, doménu nebo funkci, odstraníme doménu z jeho účtu, odebereme její ověření nebo vypovíme smlouvu, sdělíme zákazníkovi v textové podobě, jaké jednání mu vytýkáme, o které pravidlo této stránky nebo Obchodních podmínek se opíráme a jaké opatření zvažujeme. Zákazník se může do sedmi dnů vyjádřit nebo porušení napravit; teprve poté rozhodneme. Před výpovědí z vážného důvodu platí místo toho delší lhůta k nápravě, kterou pro to stanoví Obchodní podmínky; blokace z důvodu neplacení se řídí výhradně Obchodními podmínkami.

Naléhavé případy. Bez předchozího vyjádření jednáme pouze tehdy, pokud by čekání vážně ohrozilo třetí strany nebo službu, zejména existují-li konkrétní náznaky ověření získaného podvodem, v případě kontrol nebo testovacích odeslání proti projevené vůli provozovatele webu, v případě útoku na třetí strany prostřednictvím služby, v případě oznámení poukazujícího na závažné porušení zákona obsahem v klientském portálu nebo reportu white-label, nebo pokud to vyžaduje úřad, soud nebo zákon. V takovém případě opatření nejprve omezíme na dotčenou doménu, funkci nebo obsah, informujeme o něm zákazníka s odůvodněním v textové podobě bez zbytečného odkladu, nejpozději následující pracovní den, pokud to nezmaří jeho účel a není to zákonem zakázáno, a vyjádření provedeme dodatečně.

Námitky. Kdo považuje opatření za neoprávněné, a to i bez účtu, může proti němu vznést námitku v textové podobě na contact@lukaswojcik.com. Námitku prověříme a do 14 dnů na ni s odůvodněním odpovíme; je-li oprávněná, opatření okamžitě zrušíme. Postup podle stránky Stížnosti i cesta k soudu zůstávají otevřeny. Pokud na základě oznámení o nezákonném obsahu omezíme obsah zákazníka, poskytneme navíc odůvodnění podle čl. 17 nařízení (EU) 2022/2065 (akt o digitálních službách, DSA) a uvedeme tyto prostředky nápravy. Zda má blokace vliv na povinnost platit a kdy je možná výpověď z vážného důvodu, se řídí Obchodními podmínkami.

6. Pokud se vás to týká

6.1 Nechcete, aby formexposed kontroloval váš web

Zadejte svou doménu na stránce Vyloučit doménu nebo ve svém robots.txt zablokujte FormExposedBot pro domovskou stránku. Obojí se bez nutnosti nás kontaktovat projeví u každé kontroly, která začne poté. Probíhající monitorování v zákaznickém účtu skončí další splatnou kontrolou; do té doby mohou ještě přicházet lehké požadavky, jako je puls formuláře, a tyto lehké požadavky robots.txt nečtou. Pokud chcete, aby i ty skončily dříve, napište nám také. Co přesně se vylučuje, je popsáno na stránce opt-out.

6.2 Obdrželi jste testovací odeslání, které jste nečekali

Testovací odeslání jdou pouze na domény, u nichž zákazník prokázal kontrolu nad doménou, a na vlastní testovací a demo domény formexposed. Probíhají z podnětu tohoto zákazníka. Pokud jste to nezařídili vy, možná doménu přidala vaše agentura, váš poskytovatel hostingu nebo kolega – nebo někdo získal ověření podvodem. Nejrychleji další testovací odeslání zastavíte sami prostřednictvím opt-outu: testovací odeslání probíhají pouze během kontroly a po zápisu už žádná další kontrola domény nezačne. Napište nám také na contact@lukaswojcik.com a uveďte ID kontroly ze zprávy. Ověříme, kdo doménu ověřil, do vyjasnění zařadíme doménu na seznam vyloučených, pokud jste tak již neučinili, a požádáme zákazníka, aby své oprávnění doložil. Kdo doménu ověřil, vám sdělíme pouze v rozsahu, v jakém to dovoluje právo na ochranu osobních údajů.

6.3 Máte podezření, že někdo používá formexposed proti vám

Napište na contact@lukaswojcik.com, ideálně s časem, doménou a – z protokolů vašeho serveru – požadavky s user-agentem FormExposedBot. Můžete nás kontaktovat také prostřednictvím kontaktní stránky. Přijetí potvrdíme a sdělíme vám, co jsme podnikli. Stejným způsobem můžete oznámit nezákonný obsah v klientském portálu nebo reportu white-label; co by takové oznámení podle čl. 16 DSA mělo obsahovat, je uvedeno v Údajích o provozovateli. Je tam uvedeno i naše kontaktní místo podle čl. 11 a 12 DSA.

6.4 Našli jste bezpečnostní zranitelnost v samotném formexposed

Nahlaste ji prosím prostřednictvím naší stránky pro hlášení zranitelností (také na /.well-known/security.txt). Vysvětluje, jak s hlášeními zacházíme a co slibujeme výzkumníkům. Netestujte přitom prosím na webech třetích stran, ani prostřednictvím formexposed.

7. Spolupráce s orgány

Spolupracujeme s orgány činnými v trestním řízení, dozorovými úřady a subjekty, jako je CERT Polska, jde-li o zneužití služby nebo útoky na třetí strany. Data předáváme pouze tehdy, existuje-li právní základ, je-li žádající subjekt příslušný a má-li žádost předepsanou formu. Každou žádost posuzujeme jednotlivě a předáváme pouze to, co skutečně vyžaduje. Dotčené zákazníky informujeme, pokud to zákon nebo orgán nezakazuje.

Abychom mohli orgánům poskytovat informace, neukládáme více, než je nezbytné pro provoz a ochranu proti zneužití. Co bylo po uplynutí lhůt uvedených v Zásadách ochrany osobních údajů smazáno, nemůžeme předat ani my.

8. Změny

Tuto stránku aktualizujeme, když se změní služba nebo vzorce zneužívání. Pro zákazníky platí pravidla o změnách uvedená v Obchodních podmínkách; nové zákazy a přísnější důsledky se na ně vztahují až po proběhnutí tohoto postupu. Jednání posuzujeme podle znění, které platilo v době jednání. Dotazy k této stránce: contact@lukaswojcik.com.