Acceptabel brug og misbrug

Dette dokument er offentliggjort på flere sprog. I tilfælde af uoverensstemmelser mellem sprogversionerne er den polske version bindende.

Version 1.0 · Senest opdateret: 16. oktober 2026

formexposed ser på tredjeparts websites og sender på verificerede domæner testindsendelser til kontaktformularer. Et værktøj som dette kan også vendes mod andre. Denne side fastlægger, hvad formexposed er til, hvad der er forbudt, hvordan vi teknisk begrænser misbrug, og hvad der sker, hvis nogen bryder reglerne. Den gælder for alle, der bruger formexposed: for kunder med en konto såvel som for besøgende, der bruger den gratis kontrol uden konto.

Udbyderen er LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polen. For Kunder er denne side en del af aftalen: Servicevilkårene regner den blandt kontraktdokumenterne. For den gratis kontrol og de øvrige frit tilgængelige værktøjer gælder den som en del af de regler, som Servicevilkårene fastsætter for disse værktøjer. Hvis denne side er i strid med Servicevilkårene, har Servicevilkårene forrang. Eksempler (“såsom”, “f.eks.”) illustrerer en regel; de hverken udvider eller indskrænker den.

1. Hvad formexposed er til

formexposed kontrollerer, om en kontaktformular er beskyttet mod automatiseret spam, om den fungerer pålideligt, og om den håndterer data omhyggeligt. Det er navnlig tilladt:

• at kontrollere og overvåge dit eget website eller en kundes website og bruge resultaterne til at sikre det;
• at bruge den gratis kontrol uden konto til at få et første, rent læsende indtryk af ethvert offentligt tilgængeligt website – sådan som en besøgende ser det;
• som bureau på Business-abonnementet at få et prospekts website kontrolleret passivt og gøre fundene tilgængelige for den driftsansvarlige på lovlig vis (se afsnit 3.5);
• at dele rapporter med de personer, der er ansvarlige for websitet eller passer det;
• at bruge API'et, pluginet og udvidelserne inden for deres dokumentation og grænser;
• at vise badget på det domæne, det er udstedt til.

Målestokken er enkel: formexposed skal hjælpe websiteejere med at beskytte deres egne formularer. Alt, der skader en tredjepart, som ikke har givet sit samtykke, hører ikke til det.

2. Hvad formexposed bevidst ikke kan

For at tjenesten ikke skal kunne bruges som angrebsværktøj, har vi begrænset den. Disse begrænsninger gælder for alle brugere og kan ikke låses op af brugerne:

• Uden dokumenteret kontrol over et domæne indsendes der intet dér; de eneste undtagelser er formexposeds egne test- og demodomæner, som vi kontrollerer internt. Den gratis kontrol, prospektkontrollen og vores undersøgelse læser kun det, en besøgende ser.
• Selv på verificerede domæner indsender vi kun til en genkendt generel kontaktformular, højst fem mærkede testindsendelser pr. kontrol. Vi indsender aldrig til bestillings-, booking-, login-, registrerings-, nyhedsbrevs-, support-, betalings- eller uploadformularer, formularer med obligatoriske oplysninger som telefonnummer eller postadresse eller formularer på websites, som vi ud fra domænet eller sidetitlen genkender som en offentlig myndighed, domstol, universitet, skole eller sundhedsinstitution.
• Kontrollen for header-injektion er ren detektion: Testværdien indeholder aldrig en rigtig modtager. Kontrollen af e-mailvalidering bruger kun en adresse, der ender på .invalid, som ikke kan eksistere.
• Vi løser ikke CAPTCHA'er. På verificerede domæner kontrollerer vi kun, om en formular accepterer en indsendelse uden CAPTCHA-token eller med et opdigtet token. Hvis loginformularen til scanningen bag login har en CAPTCHA, stopper kontrollen.
• Crawleren henter kun offentlige adresser over de sædvanlige webporte. Interne netværk, lokale adresser og andre porte er blokeret, også ved omdirigeringer og indlejret indhold.
• Søgningen efter eksponerede filer (f.eks. en glemt konfigurationsfil) kører kun for verificerede domæner, fordi det at hente sådanne stier på tredjeparts websites svarer til et angreb.

Disse begrænsninger beskriver, hvordan tjenesten er bygget. Scanneren genkender ud fra kendetegn ved siden såsom feltnavne, etiketter, domæne og sidetitel, om en formular er en generel kontaktformular, og om et website tilhører en af de nævnte institutioner; i enkelte tilfælde kan denne genkendelse tage fejl. Beskrivelsen er derfor ikke en garanti over for Kunder eller tredjeparter for, at en bestemt formular aldrig bliver omfattet. Den, der ikke ønsker sit website kontrolleret, kan udelukke det via opt-out (afsnit 6.1).

3. Hvad der er forbudt

3.1 Udspionering af eller angreb på tredjeparts websites

• At bruge formexposed til at finde sårbarheder i tredjeparts websites og derefter angribe, overbelaste eller udnytte dem – f.eks. bevidst at oversvømme en ubeskyttet formular med spam.
• At videregive resultater, rapporter eller skærmbilleder af et tredjeparts website til personer, der vil bruge dem til et angreb.
• At bruge tjenesten mod websites, hvis driftsansvarlige åbenlyst har udelukket den, f.eks. ved at skifte til en anden stavemåde af domænet.

Den, der uden tilladelse udspionerer eller angriber tredjeparts systemer, kan også begå en strafbar handling (i Polen f.eks. efter Art. 267 til 269b i den polske straffelov (Kodeks karny), i Tyskland f.eks. efter §§ 202a til 202d og § 303b StGB, den tyske straffelov). At oplysningerne stammer fra en rapport fra formexposed, ændrer intet.

3.2 Omgåelse af grænser og sikkerhedsforanstaltninger

• At omgå grænserne for den gratis kontrol, f.eks. gennem mange browsersessioner, skiftende IP-adresser, proxyer, VPN-kæder eller flere konti.
• At forespørge den gratis kontrol, header-kontrollen eller opt-out-formularen automatiseret. Til automatisering findes API'et.
• At omgå reCAPTCHA, tidskontrollen og de øvrige beskyttelsesforanstaltninger i vores egne formularer.
• At omgå abonnementsgrænser ved at fordele brugen på flere gratiskonti.

3.3 Verifikation opnået ved vildledning

• At verificere et domæne, som du hverken driver eller er engageret af den driftsansvarlige til – også selv om du teknisk har adgang til DNS, server eller CMS, f.eks. som tidligere tjenesteudbyder, hostingudbyder eller medarbejder.
• At føre bevis via tredjepartsindhold, f.eks. via en kommentarfunktion eller et uploadområde på tredjeparts websitet, som alle kan skrive til.
• At lade et domæne blive i kontoen, efter at autorisationen er ophørt. Når opdraget slutter, fjerner Kunden domænet.

Verifikationen er porten til de aktive kontroller. Den, der opnår den ved vildledning, får formexposed til at indsende til en tredjeparts formular – det er det alvorligste misbrug, tjenesten muliggør, og vi behandler det som sådan.

3.4 Misbrug af testindsendelser

• At bruge testindsendelser som spam- eller meddelelseskanal, f.eks. ved at verificere et domæne for at belaste dets modtagere med test-e-mails.
• At udløse kontroller af et domæne, navnlig manuelle kontroller, med det formål at belaste modtageren af formular-e-mailene frem for at kontrollere formularen.
• At sætte testindsendelser op på et domæne uden at sikre, at de personer, der modtager og behandler formular-e-mailene dér (f.eks. et salgsteam), ved, at der kan komme mærkede testindsendelser.

3.5 Brug af prospektkontrollen til uopfordret reklame

Prospektkontrollen gør det muligt for et bureau at få en potentiel kundes website kontrolleret passivt. Vi skriver ikke til den driftsansvarlige; bureauet videregiver selv linket. Hvordan det gør det, er dets egen sag og dets eget ansvar. Det er forbudt at bruge fundene til reklame, som loven ikke tillader uden forudgående samtykke. Det omfatter navnlig:

• uopfordrede e-mails med fundene til virksomheder eller personer, der ikke har givet samtykke (i Polen Art. 398 i den polske lov om elektronisk kommunikation (Prawo komunikacji elektronicznej, PKE); i Tyskland § 7 UWG, den tyske lov mod illoyal konkurrence – i begge lande gælder det også over for virksomheder);
• uopfordrede salgsopkald, i det omfang gældende ret kræver samtykke til dem;
• beskeder, der bruger fundene til at lægge pres, skabe frygt eller give indtryk af, at formexposed har kontrolleret websitet på vegne af en myndighed eller den driftsansvarlige.

Det er fortsat tilladt at vise fundene til den driftsansvarlige i en samtale, som den driftsansvarlige har bedt om, og at sende dem til den driftsansvarlige, hvis vedkommende har givet samtykke til at modtage dem, eller den ret, der gælder for henvendelsen, udtrykkeligt tillader afsendelse uden samtykke. Bureauet kontrollerer selv, om det er tilfældet; at det samarbejder med den driftsansvarlige om en anden sag, er ikke i sig selv tilstrækkeligt.

3.6 Misbrug af rapporter, API, plugin og badge

• Systematisk at indsamle rapporter, gætte eller afprøve rapportadresser eller hente rapporter i stort antal for at opbygge data om tredjeparts websites.
• At offentliggøre rapporter om tredjeparts websites for at udstille deres driftsansvarlige.
• At videregive API-nøgler, plugin-hemmeligheder eller adgangsoplysninger, omgå API'ets grænser eller bruge det til tredjeparts domæner.
• At ændre eller efterligne badget, vise det på et andet domæne end det, det er udstedt til, eller bruge det til at påstå en certificering, som formexposed ikke giver. Badget viser kun “beskyttet”, så længe domænet er verificeret, overvågningen kører, og den seneste kontrol er ny og positiv; ellers viser det det neutrale “Kontrol af kontaktformular”. En hjemmelavet grafik med samme udsagn vildleder de besøgende.
• At gemme adgangsoplysninger til scanningen bag login for en konto, der ikke specifikt er oprettet som testkonto, eller for et tredjeparts website.

4. Hvordan formexposed forebygger og opdager misbrug

Følgende foranstaltninger er implementeret i koden. Vi oplyser ikke de præcise tærskler, fordi de ændrer sig, og fordi de ville gøre misbrug lettere.

4.1 Gratis kontrol

• Nødstop. Vi kan til enhver tid sætte den gratis kontrol på pause. Opt-out påvirkes ikke og fungerer også under en pause.
• reCAPTCHA for kontrollen, header-kontrollen og opt-out, med separate tærskler pr. formular, samt en fælde og en tidskontrol i disse formularer.
• Grænser pr. IP-adresse, pr. session og pr. dag. Accepterede kontroller tælles. En samlet daglig grænse beskytter mod bølger.
• Mange domæner fra én adresse. Den, der forsøger at kontrollere mange forskellige domæner fra én IP-adresse inden for kort tid, blokeres. Her tæller ethvert forsøg, også et afvist: Det er det typiske mønster, når nogen bruger formexposed til at afsøge fremmede sites.
• Ét domæne pr. uge. Den, der indtaster et domæne igen inden for en uge, ser den eksisterende rapport; det kontrolleres ikke igen.
• Meget nye domæner og domæner, hvis alder ikke kan fastslås, kontrolleres ikke uden konto. De registreres ofte med henblik på svindel.
• Kun offentlige mål. Et navn, der peger på en intern eller reserveret adresse, afvises – før jobbet og igen ved hver enkelt forespørgsel fra crawleren.

4.2 Overvågning

Vi registrerer iøjnefaldende mønstre – mange domæner fra én adresse, mange forespørgsler inden for få minutter, mange afviste forsøg i én session, ophobninger af opt-outs fra ét land, nået daglig grænse – som en uregelmæssighed. En ny uregelmæssighed udløser en meddelelse til os, uden domæne og uden IP-adresse; detaljerne ser vi kun i administrationsområdet. Hvilke data vi gemmer til dette formål, og hvor længe, fremgår af Privatlivspolitikken.

4.3 Verifikation som porten

Aktive kontroller, overvågning, scanningen bag login, browserforløb og søgningen efter eksponerede filer kører for kunder kun for domæner, for hvilke der er ført bevis for kontrol: via DNS-post, metatag, fil på serveren eller via pluginet. Før hvert job kontrollerer scanneren selv igen, om domænet er klassificeret som verificeret; hvis ikke, falder en aktiv kontrol tilbage til den rent læsende, og et browserforløb gennemføres ikke. Aktive kontroller kan også slås fra for hele tjenesten.

4.4 Testindsendelser

Hver testindsendelse er mærket: i afsendernavnet “FormExposed Security Scanner”, i emnet “[formexposed.com] Automated security test — no action required” og i teksten med en henvisning til siden om FormExposedBot, til opt-out og med scan-ID'et. Sproget afhænger af målsiden (tysk, engelsk eller polsk). Pr. kontrol går der højst fem indsendelser til en enkelt formular. Scanneren stopper efter dette antal. Andre obligatoriske felter udfylder den med “FormExposed security test”; den markerer afkrydsningsfelter, uden hvilke formularen ikke kan indsendes, f.eks. for samtykke. Mærkningen viser, at der ikke står en person og ingen erklæring fra en person bag.

4.5 Crawleren

FormExposedBot identificerer sig med sin egen user-agent, læser robots.txt før hver kontrol og kontrollerer ikke, hvis et Disallow for den eller for alle programmer omfatter forsiden; blokerede understier respekterer den i øjeblikket ikke enkeltvis. Lette forespørgsler uden browser, såsom formularpulsen eller header-kontrollen, læser ikke robots.txt. Den kontrollerer ikke domæner på vores udelukkelsesliste (opt-out) eller deres www-variant, heller ikke på vegne af betalende kunder med verificeret domæne; deres løbende overvågning ophører med den næste kontrol, der forfalder. Detaljer findes på siden om FormExposedBot.

5. Konsekvenser af en overtrædelse

Vi reagerer forholdsmæssigt: Vi vælger den mildeste foranstaltning, der stopper overtrædelsen og afværger yderligere skade for tredjeparter og for tjenesten, begrænser den til den berørte konto, det berørte domæne eller den berørte funktion og ophæver den, så snart grunden til den bortfalder. Mulige foranstaltninger er at:

• afbryde enkelte kontroller og midlertidigt blokere IP-adresser eller sessioner;
• fjerne et domæne fra en konto, tilbagekalde dets verifikation eller sætte det på udelukkelseslisten;
• spærre enkelte funktioner, såsom aktive kontroller, prospektkontrollen, API'et eller badget;
• spærre kontoen og ophæve aftalen af vigtig grund som fastsat i Servicevilkårene;
• kræve erstatning i overensstemmelse med lovens bestemmelser og, i det omfang det er retligt tilladt, underrette de berørte websiteejere, retshåndhævende myndigheder eller CERT Polska, hvis der er konkrete tegn på en strafbar handling eller et angreb på tredjeparter.

Automatiske grænser for den gratis kontrol og vores egne formularer (afsnit 4.1) er ikke en foranstaltning mod en bestemt person. De gælder for alle efter faste regler og ophører, når den pågældende periode udløber, eller så snart vi har afklaret en uregelmæssighed.

Forudgående høring. Før vi spærrer en Kundes konto, domæne eller funktion, fjerner et domæne fra kontoen, tilbagekalder dets verifikation eller ophæver aftalen, underretter vi Kunden i tekstform om, hvilken adfærd vi påtaler, hvilken regel på denne side eller i Servicevilkårene vi støtter os på, og hvilken foranstaltning vi overvejer. Kunden kan udtale sig eller afhjælpe overtrædelsen inden for syv dage; først derefter træffer vi afgørelse. Før ophævelse af vigtig grund gælder i stedet den længere afhjælpningsfrist, som Servicevilkårene fastsætter for dette; en spærring på grund af manglende betaling er udelukkende reguleret af Servicevilkårene.

Hastesager. Vi handler kun uden forudgående høring, hvis det at vente alvorligt ville bringe tredjeparter eller tjenesten i fare, navnlig ved konkrete tegn på verifikation opnået ved vildledning, ved kontroller eller testindsendelser mod websiteejerens erklærede vilje, ved et angreb på tredjeparter via tjenesten, ved en anmeldelse, der tyder på en alvorlig lovovertrædelse ved indhold i en kundeportal eller white label-rapport, eller hvis en myndighed, en domstol eller loven kræver det. I så fald begrænser vi i første omgang foranstaltningen til det berørte domæne, den berørte funktion eller det berørte indhold, underretter Kunden herom med begrundelse i tekstform uden unødig forsinkelse og senest den følgende arbejdsdag, i det omfang det ikke forspilder formålet og ikke er forbudt ved lov, og gennemfører høringen bagefter.

Indsigelser. Den, der anser en foranstaltning for uberettiget, også uden konto, kan gøre indsigelse mod den i tekstform på contact@lukaswojcik.com. Vi behandler indsigelsen og svarer med begrundelse inden for 14 dage; hvis den er berettiget, ophæver vi straks foranstaltningen. Proceduren under Klager og adgangen til domstolene står fortsat åben. Hvis vi begrænser en Kundes indhold efter en anmeldelse af ulovligt indhold, giver vi derudover en begrundelse i henhold til Art. 17 i forordning (EU) 2022/2065 (forordningen om digitale tjenester, DSA) og angiver disse klagemuligheder. Om en spærring påvirker betalingsforpligtelsen, og hvornår ophævelse af vigtig grund er mulig, er reguleret af Servicevilkårene.

6. Hvis du er berørt

6.1 Du ønsker ikke, at formexposed kontrollerer dit website

Indtast dit domæne på siden Udeluk dit domæne, eller bloker FormExposedBot for forsiden i din robots.txt. Begge dele har virkning, uden at du behøver at kontakte os, for enhver kontrol, der starter derefter. Løbende overvågning i en kundekonto ophører med den næste kontrol, der forfalder; indtil da kan der stadig komme lette forespørgsler som formularpulsen, og disse lette forespørgsler læser ikke robots.txt. Hvis du også ønsker, at de ophører tidligere, så skriv også til os. Hvad der præcist udelukkes, er beskrevet på opt-out-siden.

6.2 Du har modtaget en testindsendelse, som du ikke forventede

Testindsendelser går kun til domæner, for hvilke en Kunde har ført bevis for kontrol, og til formexposeds egne test- og demodomæner. De sker på foranledning af denne Kunde. Hvis du ikke har sat det i værk, har måske dit bureau, din hostingudbyder eller en kollega tilføjet domænet – eller nogen har opnået verifikationen ved vildledning. Den hurtigste måde at stoppe yderligere testindsendelser på er at gøre det selv via opt-out: Testindsendelser sker kun under en kontrol, og efter registreringen starter der ikke flere kontroller af domænet. Skriv også til os på contact@lukaswojcik.com, og angiv scan-ID'et fra beskeden. Vi undersøger, hvem der har verificeret domænet, sætter domænet på udelukkelseslisten, indtil sagen er afklaret, hvis du ikke allerede har gjort det, og beder Kunden om at dokumentere sin autorisation. Hvem der har verificeret det, oplyser vi dig kun om i det omfang, databeskyttelsesretten tillader det.

6.3 Du har mistanke om, at nogen bruger formexposed mod dig

Skriv til contact@lukaswojcik.com, helst med tidspunktet, domænet og – fra dine serverlogfiler – forespørgslerne med FormExposedBot-user-agenten. Du kan også kontakte os via kontaktsiden. Vi bekræfter modtagelsen og fortæller dig, hvad vi har gjort. Ulovligt indhold i en kundeportal eller white label-rapport kan du anmelde på samme måde; hvad en sådan anmeldelse i henhold til Art. 16 DSA bør indeholde, fremgår af Kolofonen. Dér er også vores kontaktpunkt i henhold til Art. 11 og 12 DSA angivet.

6.4 Du har fundet en sikkerhedssårbarhed i selve formexposed

Indberet den venligst via vores side til indberetning af sårbarheder (også under /.well-known/security.txt). Den forklarer, hvordan vi håndterer indberetninger, og hvad vi lover forskere. Test venligst ikke på tredjeparts websites i den forbindelse, heller ikke via formexposed.

7. Samarbejde med myndigheder

Vi samarbejder med retshåndhævende myndigheder, tilsynsmyndigheder og organer som CERT Polska, når det drejer sig om misbrug af tjenesten eller angreb på tredjeparter. Vi udleverer kun data, hvis der er et retsgrundlag, den anmodende instans er kompetent, og anmodningen har den foreskrevne form. Vi behandler hver anmodning individuelt og udleverer kun det, den faktisk kræver. Vi underretter berørte Kunder, medmindre loven eller myndigheden forbyder det.

Vi gemmer ikke mere for at kunne give myndigheder oplysninger, end hvad der er nødvendigt for driften og misbrugsforebyggelsen. Det, der er slettet efter udløbet af de perioder, der er angivet i Privatlivspolitikken, kan vi heller ikke udlevere.

8. Ændringer

Vi opdaterer denne side, når tjenesten eller mønstrene for misbrug ændrer sig. For Kunder gælder reglerne om ændringer i Servicevilkårene; nye forbud og strengere konsekvenser gælder først for dem efter denne procedure. Vi vurderer adfærd efter den version, der gjaldt på tidspunktet for adfærden. Spørgsmål om denne side: contact@lukaswojcik.com.