Σχετικά με το FormExposedBot

Τελευταία ενημέρωση: 16 Οκτωβρίου 2026

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Token στο robots.txt: FormExposedBot

Τι είναι το FormExposedBot

Το FormExposedBot είναι ο crawler του formexposed. Το formexposed ελέγχει αν οι φόρμες επικοινωνίας προστατεύονται από το αυτοματοποιημένο spam και αν λειτουργούν αξιόπιστα. Αν βρήκατε αυτόν τον user-agent στα αρχεία καταγραφής του διακομιστή σας, κάποιος ξεκίνησε έναν έλεγχο του ιστότοπού σας:

• ένας επισκέπτης του formexposed που εισήγαγε το domain σας στον δωρεάν έλεγχο – χωρίς λογαριασμό, μόνο ανάγνωση·
• ένας πελάτης που έχει το domain σας στον λογαριασμό του και δηλώνει ότι λειτουργεί ή διαχειρίζεται τον ιστότοπο, ή κάποιος που έχει εγκαταστήσει το πρόσθετό μας στον ιστότοπό σας·
• μια agency που ελέγχει τον ιστότοπό σας, μόνο σε ανάγνωση, ως δυνητικού πελάτη·
• εμείς οι ίδιοι, για μια μελέτη από την οποία δημοσιεύουμε μόνο συγκεντρωτικά στοιχεία χωρίς τα ονόματα ιστότοπων·
• κάποιος που εισήγαγε την αρχική σας σελίδα στον δωρεάν έλεγχο κεφαλίδων μας (μόνο κεφαλίδες, χωρίς πρόγραμμα περιήγησης).

Κατόπιν αιτήματος, θα σας πούμε σε ποιον από αυτούς τους τύπους ανήκε ένας έλεγχος· το ποιος τον ξεκίνησε, μόνο στον βαθμό που το επιτρέπει η νομοθεσία για την προστασία δεδομένων. Κατά τον έλεγχο ενεργούμε με πρωτοβουλία του προσώπου αυτού· για domains για τα οποία ένας πελάτης έχει προσκομίσει απόδειξη κατοχής, για λογαριασμό του πελάτη αυτού.

Τι συμβαίνει κατά τη διάρκεια ενός ελέγχου

• Πριν από τον έλεγχο, το bot διαβάζει το robots.txt σας (βλ. παρακάτω).
• Φορτώνει την αρχική σας σελίδα και έως επτά ακόμη σελίδες στον ίδιο host (με ή χωρίς www., χωρίς άλλα subdomains), το πολύ οκτώ συνολικά. Προηγούνται σελίδες με λέξεις όπως επικοινωνία, στοιχεία παρόχου ή υποστήριξη. Παραλείπει σελίδες σύνδεσης, λογαριασμού, καλαθιού και ολοκλήρωσης αγοράς, feeds, PDF και εικόνες.
• Χρησιμοποιεί πραγματικό headless πρόγραμμα περιήγησης με ενεργοποιημένη JavaScript και φορτώνει τις σελίδες τη μία μετά την άλλη, όχι παράλληλα. Μια σελίδα μπορεί να διαρκέσει το πολύ 20 δευτερόλεπτα· μετά από περίπου τρία λεπτά ο έλεγχος σταματά.
• Διαβάζει τις φόρμες: ονόματα και τύπους πεδίων, ετικέτες, υποχρεωτικά πεδία, ενσωματωμένα CAPTCHA, κρυφές παγίδες, tokens και κεφαλίδες. Κατά τη διάρκεια αυτού του ελέγχου μόνο ανάγνωσης δεν εισάγει τίποτα.
• Για το πολύ τρεις σελίδες με φόρμα, φορτώνει τη σελίδα δεύτερη φορά και κάνει κλικ στο «Απόρριψη» στο banner cookies – ποτέ στο «Αποδοχή». Έτσι βλέπουμε αν η φόρμα εξακολουθεί να λειτουργεί μετά από απόρριψη.
• Για το πολύ τρεις σελίδες με φόρμα, φορτώνει τη σελίδα σε προβολή κινητού, χωρίς κλικ. Ο user-agent παραμένει ο ίδιος· δεν προσποιούμαστε ότι είμαστε smartphone.
• Προσδιορίζει τον τύπο μιας φόρμας με κανόνες και, όπου αυτοί δεν επαρκούν, με ένα γλωσσικό μοντέλο που εκτελείται στον δικό μας διακομιστή. Κατά τη διαδικασία αυτή τίποτα δεν φεύγει από τους διακομιστές μας.

Χωρίς απόδειξη κατοχής του domain (βλ. παρακάτω), το FormExposedBot ανακτά μόνο σελίδες που είναι δημόσια προσβάσιμες χωρίς σύνδεση και δεν υποβάλλει τίποτα. Δεν παρακάμπτει καμία προστασία πρόσβασης, δεν μαντεύει στοιχεία σύνδεσης και δεν λύνει CAPTCHA. Οτιδήποτε πέραν αυτού – δοκιμαστικές υποβολές, αναζήτηση εκτεθειμένων αρχείων και έλεγχος πίσω από τη σύνδεση με δοκιμαστικό λογαριασμό – πραγματοποιείται μόνο για domains με αυτή την απόδειξη ή για τα δικά δοκιμαστικά και demo domains του formexposed.

Μέσω του δωρεάν ελέγχου στον ιστότοπό μας, ελέγχουμε το ίδιο domain το πολύ μία φορά κάθε επτά ημέρες· όποιος το εισαγάγει ξανά βλέπει την υπάρχουσα αναφορά. Οι πελάτες μπορούν να ζητήσουν χειροκίνητα έλεγχο των domains του λογαριασμού τους, με χρόνο αναμονής· τα domains με απόδειξη κατοχής ελέγχονται επιπλέον τακτικά με τη συχνότητα του πακέτου τους, με πλήρη έλεγχο το πολύ μία φορά την ημέρα. Τα ελαφριά αιτήματα που γίνονται χωρίς πρόγραμμα περιήγησης (βλ. παρακάτω) έρχονται συχνότερα.

Δοκιμαστικές υποβολές μόνο για επαληθευμένα domains

Για πελάτες, κάτι υποβάλλεται μόνο αν ένας πελάτης έχει αποδείξει ότι δικαιούται να διαχειρίζεται το domain (εγγραφή DNS, meta tag, αρχείο ή πρόσθετο)· χωρίς αυτή την απόδειξη, ελέγχουμε ενεργά μόνο τα δικά μας δοκιμαστικά και demo domains. Ακόμη και τότε:

• μόνο μία φόρμα ανά έλεγχο, και μόνο μία που έχει αναγνωριστεί αξιόπιστα ως γενική φόρμα επικοινωνίας· το γλωσσικό μοντέλο δεν μπορεί ποτέ να εγκρίνει μια φόρμα για υποβολή·
• το πολύ πέντε υποβολές ανά έλεγχο, για παράδειγμα χωρίς απάντηση CAPTCHA, με συμπληρωμένο το πεδίο-παγίδα ή με τροποποιημένο token·
• ποτέ φόρμες παραγγελίας, κράτησης, σύνδεσης, εγγραφής, newsletter, υποστήριξης, πληρωμής ή μεταφόρτωσης, ποτέ φόρμες με υποχρεωτικά πεδία για τηλέφωνο, ταχυδρομική διεύθυνση ή στοιχεία εταιρείας, ποτέ ιστότοπους που αναγνωρίζουμε από το domain ή τον τίτλο της σελίδας ως δημόσια αρχή, δικαστήριο, πανεπιστήμιο, σχολείο ή φορέα υγείας.

Το bot αναγνωρίζει τον τύπο της φόρμας και τον τύπο του ιστότοπου από χαρακτηριστικά της σελίδας· σε μεμονωμένες περιπτώσεις, η αναγνώριση αυτή μπορεί να είναι λανθασμένη. Η λίστα περιγράφει πώς είναι κατασκευασμένο το bot και δεν αποτελεί εγγύηση. Αν δεν θέλετε δοκιμαστικές υποβολές, εξαιρέστε το domain (βλ. παρακάτω): τότε δεν θα ξεκινήσει κανένας έλεγχος κατά τον οποίο θα μπορούσε να υποβληθεί οτιδήποτε.

Κάθε υποβολή φέρει σήμανση. Όνομα αποστολέα «FormExposed Security Scanner», διεύθυνση αποστολέα dummy@formexposed.com, θέμα «[formexposed.com] Automated security test — no action required». Το κείμενο είναι στη γλώσσα της σελίδας σας (γερμανικά, αγγλικά ή πολωνικά)· στα αγγλικά:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

Η πρόταση «No data was stored» είναι υπερβολικά γενική. Το ακριβές είναι: κατά τη διαδικασία αυτή δεν αποθηκεύουμε τίποτα από τους επισκέπτες σας ή από το γραμματοκιβώτιό σας. Για την αξιολόγηση της δοκιμής, ωστόσο, αποθηκεύουμε την απάντηση του διακομιστή σας στην υποβολή, δηλαδή τον κωδικό κατάστασης, τους πρώτους 300 χαρακτήρες της σελίδας απάντησης και ένα στιγμιότυπο οθόνης της (βλ. «Τι αποθηκεύεται»).

Το bot συμπληρώνει τα λοιπά υποχρεωτικά πεδία με «FormExposed security test». Επιλέγει τα πλαίσια ελέγχου χωρίς τα οποία η φόρμα δεν μπορεί να υποβληθεί, για παράδειγμα για συγκατάθεση. Η σήμανση δείχνει ότι πίσω από αυτό δεν βρίσκεται κανένα πρόσωπο ούτε δήλωση προσώπου.

Ο έλεγχος header injection εισάγει μόνο μια αβλαβή κεφαλίδα X-FormExposed-Injection-Test, ποτέ παραλήπτη. Ο έλεγχος επικύρωσης διευθύνσεων χρησιμοποιεί μια διεύθυνση κάτω από το .invalid, η οποία δεν μπορεί να υπάρξει.

Πρόσθετα αιτήματα για πελάτες

Για επαληθευμένα domains σε λογαριασμό πελάτη, προστίθενται τα εξής κατόπιν αιτήματος του πελάτη:

• Διαδρομές προγράμματος περιήγησης: Ένα πρόγραμμα περιήγησης (Chromium ή WebKit) ανοίγει μια σελίδα φόρμας που έχει επιλέξει ο πελάτης σε μέγεθος κινητού και ελέγχει αν η φόρμα εμφανίζεται και αν μπορεί να χρησιμοποιηθεί μέχρι το κουμπί υποβολής· για τον σκοπό αυτό συμπληρώνει τα υποχρεωτικά πεδία με δοκιμαστικές τιμές που δεν φεύγουν από το πρόγραμμα περιήγησης. Στέλνει μόνο αιτήματα GET και HEAD· η υποβολή είναι τεχνικά αποκλεισμένη.
• Σάρωση πίσω από τη σύνδεση: μόνο με δοκιμαστικό λογαριασμό που έχει δημιουργήσει ο ίδιος ο διαχειριστής του ιστότοπου, το πολύ πέντε σελίδες, χωρίς υποβολή, χωρίς στιγμιότυπα οθόνης, ποτέ διευθύνσεις αποσύνδεσης, διαγραφής ή ακύρωσης. Αν η σύνδεση διαθέτει CAPTCHA, το bot σταματά.
• Ελαφριά αιτήματα χωρίς πρόγραμμα περιήγησης: παλμός φόρμας (έως τρεις σελίδες φόρμας, κάθε 10, 15 ή 30 λεπτά ανάλογα με το πακέτο), έλεγχος της απόδειξης κατοχής, έλεγχος κεφαλίδων και αναζήτηση εκτεθειμένων αρχείων. Χρησιμοποιούν τον ίδιο user-agent με ένα επίθημα όπως pulse, ownership-verification, headers ή exposed-files.

Επιπλέον, οποιοσδήποτε μπορεί να ζητήσει την ανάκτηση των κεφαλίδων της αρχικής σας σελίδας με τον δωρεάν έλεγχο κεφαλίδων μας: ένα αίτημα μέσω https και ένα μέσω http προς την αρχική σας σελίδα, καθώς και τυχόν ανακατευθύνσεις εντός του domain σας, χωρίς πρόγραμμα περιήγησης και χωρίς φόρμα.

Τι αποθηκεύεται

Μόνο ό,τι περιγράφει το εύρημα: διευθύνσεις και τίτλοι των σελίδων που ελέγχθηκαν, η δομή των φορμών (ονόματα πεδίων, τύποι, ετικέτες και παρόμοια, όχι τιμές πεδίων· τα αρχικά τμήματα προσυμπληρωμένων κρυφών πεδίων έως 24 χαρακτήρες και των χαρακτηριστικών data- έως 60 χαρακτήρες διαβάζονται από το bot μόνο κατά τον έλεγχο και δεν αποθηκεύονται), τα μέτρα προστασίας που εντοπίστηκαν, οι κεφαλίδες, οι hosts των ενσωματωμένων υπηρεσιών, αθροίσματα ελέγχου των scripts (όχι το περιεχόμενό τους· για ενσωματωμένα scripts, επίσης οι πρώτοι 80 χαρακτήρες, με τα αναγνωριστικά να έχουν καταστεί μη αναγνωρίσιμα), τα ονόματα των cookies που ορίζονται, στιγμιότυπα οθόνης της ορατής περιοχής της αρχικής σελίδας και των φορμών και, μετά από δοκιμαστική υποβολή, της σελίδας απάντησης· από την απάντηση αυτή, επίσης ο κωδικός κατάστασης και οι πρώτοι 300 χαρακτήρες. Αυτά τα στιγμιότυπα οθόνης από τον έλεγχο δεν αποκρύπτονται· δείχνουν ό,τι είναι ορατό στη δημόσια σελίδα. Μόνο οι διαδρομές προγράμματος περιήγησης παράγουν μια μικρή εικόνα της φόρμας με καλυμμένα τα πεδία εισαγωγής. Αν μια φόρμα περιέχει διεύθυνση παραλήπτη, αποθηκεύουμε μόνο το domain της.

Από πού προέρχονται τα αιτήματα

Το FormExposedBot εκτελείται στους δικούς μας διακομιστές στην Πολωνία. Δεν δημοσιεύουμε τις διευθύνσεις IP, επειδή μπορεί να αλλάξουν. Αν θέλετε να μάθετε αν ένα αίτημα προήλθε πράγματι από εμάς, γράψτε μας αναφέροντας την ώρα και τη διεύθυνση IP από το αρχείο καταγραφής σας· θα σας πούμε αν προήλθε από εμάς. Για τη διασταύρωση πριν από μια ειδοποίηση διακοπής λειτουργίας, μπορεί να προστεθεί μια δεύτερη τοποθεσία σε άλλον πάροχο· χρησιμοποιεί επίσης τον user-agent FormExposedBot.

Πώς να εξαιρέσετε το domain σας

robots.txt:

User-agent: FormExposedBot
Disallow: /

Το bot αναζητά πρώτα στο robots.txt σας μια ομάδα για το FormExposedBot, διαφορετικά την ομάδα για όλους (*). Αν ένα Disallow καλύπτει την αρχική σελίδα, δεν πραγματοποιείται έλεγχος. Αν ο διακομιστής σας απαντά στο αίτημα για το robots.txt με σφάλμα διακομιστή ή δεν απαντά καθόλου, προληπτικά επίσης δεν ελέγχουμε· αν το αρχείο λείπει (404), ο ιστότοπος θεωρείται ότι επιτρέπει τον έλεγχο. Προς το παρόν δεν αξιολογούμε χωριστά μεμονωμένους αποκλεισμένους υποκαταλόγους – αν δεν θέλετε να ελέγχεστε καθόλου, αποκλείστε την αρχική σελίδα. Τα ελαφριά αιτήματα χωρίς πρόγραμμα περιήγησης και ο έλεγχος κεφαλίδων δεν διαβάζουν το robots.txt.

Opt-out: Εισαγάγετε το domain σας στη σελίδα Εξαίρεση του domain σας. Η εξαίρεση ισχύει για το domain και την παραλλαγή του με www., όχι για άλλα subdomains. Τίθεται σε ισχύ για κάθε έλεγχο που ξεκινά μετά την καταχώριση, μόνιμα, ακόμη και έναντι πελατών με πληρωμένο πακέτο και επαληθευμένο domain, και καλύπτει επίσης τον έλεγχο κεφαλίδων. Η τρέχουσα παρακολούθηση σε λογαριασμό πελάτη τερματίζεται με τον επόμενο προγραμματισμένο έλεγχο· μέχρι τότε, ενδέχεται να εξακολουθούν να γίνονται ελαφριά αιτήματα, όπως ο παλμός φόρμας. Αν θέλετε να σταματήσουν νωρίτερα και αυτά, γράψτε μας.

Προστασία δεδομένων

Υπεύθυνος επεξεργασίας είναι η LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, contact@lukaswojcik.com. Όταν ένας πελάτης ελέγχει το δικό του domain, ενεργούμε για λογαριασμό του.

• Δεδομένα και πηγή: Συλλέγουμε δεδομένα προσωπικού χαρακτήρα μόνο στον βαθμό που εμφανίζονται στις ελεγχόμενες σελίδες του ιστότοπού σας και γίνονται ορατά σε μια διεύθυνση σελίδας, έναν τίτλο σελίδας, μια ετικέτα φόρμας ή ένα στιγμιότυπο οθόνης, όπως ένα όνομα στα στοιχεία παρόχου ή δίπλα στη φόρμα. Πηγή είναι ο ιστότοπός σας. Δεν αναζητούμε τέτοια δεδομένα.
• Σκοπός και νομική βάση: έλεγχοι ασφάλειας φορμών· για τον δωρεάν έλεγχο, τον έλεγχο δυνητικών πελατών και τη μελέτη, με βάση το έννομο συμφέρον μας και το συμφέρον των χρηστών μας (άρθρο 6(1)(f) ΓΚΠΔ).
• Αποδέκτες: όποιος ξεκίνησε την αναφορά ή διαθέτει τον σύνδεσμο προς αυτήν – ο σύνδεσμος ανοίγει την αναφορά χωρίς σύνδεση· για domains σε λογαριασμό πελάτη, επίσης οι προορισμοί ειδοποιήσεων που έχει επιλέξει ο πελάτης· από τη μελέτη, μόνο σύνολα. Δεν εμπλέκεται καμία εξωτερική υπηρεσία ΤΝ.
• Διάρκεια αποθήκευσης: αναφορά χωρίς λογαριασμό 30 ημέρες, έλεγχος δυνητικών πελατών 90 ημέρες, έλεγχοι σε λογαριασμό πελάτη έως 13 μήνες, το πιο πρόσφατο αποτέλεσμα για κάθε domain για όσο υπάρχει το domain, μελέτη έως τη δημοσίευση.
• Τα δικαιώματά σας: πρόσβαση, διόρθωση, διαγραφή, περιορισμός και εναντίωση σύμφωνα με το άρθρο 21 ΓΚΠΔ – ταχύτερα μέσω του opt-out – καθώς και το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή, για εμάς στον Πρόεδρο της Υπηρεσίας Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Prezes Urzędu Ochrony Danych Osobowych) στη Βαρσοβία.

Όλα τα υπόλοιπα θα βρείτε στην Πολιτική Απορρήτου. Ο τρόπος με τον οποίο αντιμετωπίζουμε την κατάχρηση περιγράφεται στο έγγραφο Αποδεκτή χρήση και κατάχρηση.

Επικοινωνία

Ερωτήσεις ή παράπονα: contact@lukaswojcik.com ή μέσω της σελίδας επικοινωνίας. Παρακαλούμε να αναφέρετε το domain σας και, αν είναι διαθέσιμο, το scan ID ή τον σύνδεσμο της αναφοράς. Παρακαλούμε να αναφέρετε ευπάθειες ασφαλείας του ίδιου του formexposed μέσω της σελίδας αναφοράς ευπαθειών μας.