Om FormExposedBot

Senest opdateret: 16. oktober 2026

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Token i robots.txt: FormExposedBot

Hvad FormExposedBot er

FormExposedBot er crawleren fra formexposed. formexposed kontrollerer, om kontaktformularer er beskyttet mod automatiseret spam og fungerer pålideligt. Hvis du har fundet denne user-agent i dine serverlogs, har nogen startet en kontrol af dit website:

• en besøgende på formexposed, der har indtastet dit domæne i den gratis kontrol – uden konto, kun læsende;
• en kunde, der har dit domæne på sin konto og oplyser, at vedkommende driver eller passer websitet, eller en person, der har installeret vores plugin på dit website;
• et bureau, der får dit website kontrolleret, kun læsende, som potentiel kunde;
• os selv, til en undersøgelse, hvorfra vi kun offentliggør samlede tal uden navne på websites;
• en person, der har indtastet din forside i vores gratis header-kontrol (kun headers, uden browser).

Efter anmodning fortæller vi dig, hvilken af disse typer en kontrol var; hvem der startede den, kun i det omfang databeskyttelsesreglerne tillader det. Vi handler i den forbindelse på foranledning af denne person; for domæner, hvor en kunde har dokumenteret kontrol, på vegne af denne kunde.

Hvad der sker under en kontrol

• Før kontrollen læser botten din robots.txt (se nedenfor).
• Den indlæser din forside og op til syv yderligere sider på samme host (med eller uden www., ingen andre subdomæner), højst otte i alt. Sider med ord som kontakt, kolofon eller support kommer først. Den springer login-, konto-, kurv- og checkoutsider, feeds, PDF'er og billeder over.
• Den bruger en rigtig headless browser med JavaScript aktiveret og indlæser siderne én ad gangen, ikke parallelt. En side må højst tage 20 sekunder; efter omkring tre minutter stopper kontrollen.
• Den læser formularerne: feltnavne og -typer, etiketter, obligatoriske felter, indlejrede CAPTCHA'er, skjulte fælder, tokens og headers. Under denne rent læsende kontrol indtaster den ingenting.
• For højst tre sider med en formular indlæser den siden en gang til og klikker på »Afvis« i cookiebanneret – aldrig »Accepter«. Det viser os, om formularen stadig fungerer efter en afvisning.
• For højst tre sider med en formular indlæser den siden i mobilvisning uden at klikke. User-agenten forbliver den samme; vi udgiver os ikke for at være en smartphone.
• Den bestemmer en formulars type med regler og, hvor de ikke er tilstrækkelige, med en sprogmodel, der kører på vores egen server. Intet forlader vores servere i den forbindelse.

Uden dokumentation for kontrol over domænet (se nedenfor) henter FormExposedBot kun sider, der er offentligt tilgængelige uden login, og indsender ingenting. Den omgår ingen adgangsbeskyttelse, gætter ikke loginoplysninger og løser ikke CAPTCHA'er. Alt ud over dette – testindsendelser, søgningen efter eksponerede filer og kontrollen bag et login med en testkonto – sker kun for domæner med denne dokumentation eller for formexposeds egne test- og demodomæner.

Via den gratis kontrol på vores website kontrollerer vi det samme domæne højst én gang hver syvende dag; den, der indtaster det igen, ser den eksisterende rapport. Kunder kan få domænerne på deres konto kontrolleret manuelt med en ventetid; domæner med dokumenteret kontrol kontrolleres desuden regelmæssigt med den hyppighed, der hører til deres abonnement, en fuld kontrol højst én gang om dagen. De lette forespørgsler uden browser (se nedenfor) kommer oftere.

Testindsendelser kun for verificerede domæner

For kunder indsendes der kun noget, hvis en kunde har dokumenteret at have ret til at kontrollere domænet (DNS-post, metatag, fil eller plugin); uden denne dokumentation kontrollerer vi kun vores egne test- og demodomæner aktivt. Selv da gælder:

• kun én formular pr. kontrol, og kun en, der pålideligt er identificeret som en generel kontaktformular; sprogmodellen kan aldrig frigive en formular til indsendelse;
• højst fem indsendelser pr. kontrol, f.eks. uden CAPTCHA-svar, med udfyldt fældefelt eller med ændret token;
• aldrig bestillings-, booking-, login-, registrerings-, nyhedsbrevs-, support-, betalings- eller uploadformularer, aldrig formularer med obligatoriske felter til telefon, postadresse eller virksomhedsoplysninger, aldrig websites, som vi ud fra domænet eller sidetitlen genkender som en offentlig myndighed, domstol, et universitet, en skole eller en sundhedsinstitution.

Botten genkender formulartypen og typen af website ud fra sidens kendetegn; i enkelte tilfælde kan denne genkendelse være forkert. Listen beskriver, hvordan botten er bygget, og er ikke en garanti. Hvis du ikke ønsker testindsendelser, så udeluk domænet (se nedenfor): så starter der ingen kontrol, hvor noget kunne blive indsendt.

Hver indsendelse er mærket. Afsendernavn »FormExposed Security Scanner«, afsenderadresse dummy@formexposed.com, emne »[formexposed.com] Automated security test — no action required«. Teksten er på din sides sprog (tysk, engelsk eller polsk); på engelsk:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

Sætningen »No data was stored« er for bred. Det korrekte er: Vi gemmer intet fra dine besøgende eller fra din postkasse i den forbindelse. For at evaluere testen gemmer vi dog din servers svar på indsendelsen, nemlig statuskoden, de første 300 tegn af svarsiden og et skærmbillede af den (se »Hvad der gemmes«).

Botten udfylder andre obligatoriske felter med »FormExposed security test«. Den sætter flueben i afkrydsningsfelter, uden hvilke formularen ikke kan indsendes, f.eks. for samtykke. Mærkningen viser, at der ikke står en person og ingen erklæring fra en person bag.

Kontrollen af header-injektion indsætter kun en harmløs header X-FormExposed-Injection-Test, aldrig en modtager. Kontrollen af adressevalidering bruger en adresse under .invalid, som ikke kan eksistere.

Yderligere forespørgsler for kunder

For verificerede domæner på en kundekonto kommer følgende til på kundens anmodning:

• Browserforløb: En browser (Chromium eller WebKit) åbner en formularside, som kunden har valgt, i mobilstørrelse og kontrollerer, om formularen vises og kan betjenes frem til indsend-knappen; i den forbindelse udfylder den obligatoriske felter med testværdier, der ikke forlader browseren. Den sender kun GET- og HEAD-forespørgsler; indsendelse er teknisk blokeret.
• Scanning bag login: kun med en testkonto, som websiteoperatøren selv har oprettet, højst fem sider, uden indsendelse, uden skærmbilleder, aldrig adresser til logout, sletning eller opsigelse. Hvis login har en CAPTCHA, stopper botten.
• Lette forespørgsler uden browser: formularpuls (op til tre formularsider, hvert 10., 15. eller 30. minut afhængigt af abonnementet), kontrol af dokumentationen for kontrol, header-kontrol og søgning efter eksponerede filer. De bruger samme user-agent med et suffiks som pulse, ownership-verification, headers eller exposed-files.

Derudover kan enhver få hentet din forsides headers med vores gratis header-kontrol: én forespørgsel hver via https og http til din forside plus eventuelle omdirigeringer inden for dit domæne, uden browser og uden formular.

Hvad der gemmes

Kun det, der beskriver resultatet: adresser og titler på de kontrollerede sider, formularernes struktur (feltnavne, typer, etiketter og lignende, ingen feltværdier; begyndelsen af forudfyldte skjulte felter på op til 24 tegn og af data--attributter på op til 60 tegn læses kun af botten under kontrollen og gemmes ikke), registrerede beskyttelsesforanstaltninger, headers, hostene for indlejrede tjenester, kontrolsummer for scripts (ikke deres indhold; for indlejrede scripts også de første 80 tegn, med identifikatorer gjort ukendelige), navnene på de cookies, der sættes, skærmbilleder af det synlige område af forsiden og af formularerne og, efter en testindsendelse, af svarsiden; af dette svar også statuskoden og de første 300 tegn. Disse skærmbilleder fra kontrollen er ikke sløret; de viser, hvad der kan ses på den offentlige side. Kun browserforløb producerer et lille billede af formularen med inputfelterne tildækket. Hvis en formular indeholder en modtageradresse, gemmer vi kun dens domæne.

Hvor forespørgslerne kommer fra

FormExposedBot kører på vores egne servere i Polen. Vi offentliggør ikke IP-adresserne, fordi de kan ændre sig. Hvis du vil vide, om en forespørgsel virkelig kom fra os, så skriv til os med tidspunktet og IP-adressen fra din log; vi fortæller dig, om den kom fra os. Til krydstjekket før en nedbrudsalarm kan der komme en anden placering hos en anden udbyder til; også den bruger FormExposedBot som user-agent.

Sådan udelukker du dit domæne

robots.txt:

User-agent: FormExposedBot
Disallow: /

Botten leder først i din robots.txt efter en gruppe for FormExposedBot, ellers efter gruppen for alle (*). Hvis en Disallow omfatter forsiden, finder der ingen kontrol sted. Hvis din server besvarer forespørgslen efter robots.txt med en serverfejl eller slet ikke, kontrollerer vi heller ikke, af forsigtighedshensyn; hvis filen mangler (404), behandles websitet som tilladt. Vi evaluerer i øjeblikket ikke enkelte blokerede undermapper separat – hvis du slet ikke vil kontrolleres, så bloker forsiden. De lette forespørgsler uden browser og header-kontrollen læser ikke robots.txt.

Opt-out: Indtast dit domæne på siden Udeluk dit domæne. Det gælder for domænet og dets www.-variant, ikke for andre subdomæner. Det får virkning for enhver kontrol, der starter efter indtastningen, permanent, også over for betalende kunder med et verificeret domæne, og omfatter også header-kontrollen. Løbende overvågning på en kundekonto ophører ved den næste kontrol, der forfalder; indtil da kan lette forespørgsler som formularpulsen stadig komme. Hvis du ønsker, at også de ophører hurtigere, så skriv til os.

Databeskyttelse

Dataansvarlig er LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polen, contact@lukaswojcik.com. Når en kunde kontrollerer sit eget domæne, handler vi på dennes vegne.

• Oplysninger og kilde: Vi indsamler kun personoplysninger, i det omfang de fremgår af de kontrollerede sider på dit website og bliver synlige i en sideadresse, en sidetitel, en formularetiket eller et skærmbillede, f.eks. et navn i kolofonen eller ved siden af formularen. Kilden er dit website. Vi søger ikke efter sådanne oplysninger.
• Formål og retsgrundlag: sikkerhedskontrol af formularer; for den gratis kontrol, kontrollen af potentielle kunder og undersøgelsen på grundlag af vores legitime interesse og vores brugeres interesse (art. 6(1)(f) GDPR).
• Modtagere: den, der har startet rapporten eller har linket til den – linket åbner rapporten uden login; for domæner på en kundekonto også de alarmmodtagere, kunden har valgt; fra undersøgelsen kun samlede tal. Der er ingen ekstern AI-tjeneste involveret.
• Opbevaringsperiode: rapport uden konto 30 dage, kontrol af potentielle kunder 90 dage, kontroller på en kundekonto op til 13 måneder, det seneste resultat for hvert domæne, så længe domænet findes, undersøgelsen indtil offentliggørelse.
• Dine rettigheder: indsigt, berigtigelse, sletning, begrænsning og indsigelse efter art. 21 GDPR – hurtigst via opt-out – og retten til at indgive klage til en tilsynsmyndighed, for os formanden for det polske databeskyttelsesagentur (Prezes Urzędu Ochrony Danych Osobowych) i Warszawa.

Alt andet står i privatlivspolitikken. Hvordan vi håndterer misbrug, fremgår af Acceptabel brug og misbrug.

Kontakt

Spørgsmål eller klager: contact@lukaswojcik.com eller via kontaktsiden. Angiv venligst dit domæne og, hvis du har det, scan-ID'et eller linket til rapporten. Sikkerhedssårbarheder i selve formexposed bedes indberettet via vores side for indberetning af sårbarheder.