Uso Aceptable y Abuso

Este documento se publica en varios idiomas. En caso de discrepancia entre las versiones lingüísticas, la versión polaca es vinculante.

Versión 1.0 · Última actualización: 16 de octubre de 2026

formexposed examina sitios web de terceros y, en dominios verificados, realiza envíos de prueba a formularios de contacto. Una herramienta como esta también puede utilizarse contra otros. Esta página establece para qué sirve formexposed, qué se prohíbe, cómo limitamos técnicamente el uso indebido y qué sucede si alguien incumple las reglas. Se aplica a todas las personas que utilizan formexposed: tanto a clientes con una cuenta como a visitantes que utilizan la verificación gratuita sin una cuenta.

El proveedor es LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland. Para los Clientes, esta página forma parte del contrato: las Condiciones del Servicio la incluyen entre los documentos contractuales. Para la verificación gratuita y las demás herramientas de libre acceso, se aplica como parte de las reglas que las Condiciones del Servicio establecen para estas herramientas. Si esta página entra en conflicto con las Condiciones del Servicio, prevalecen las Condiciones del Servicio. Los ejemplos (“como”, “por ejemplo”) ilustran una regla; no la amplían ni la restringen.

1. Para qué sirve formexposed

formexposed verifica si un formulario de contacto está protegido contra spam automatizado, si funciona de forma confiable y si maneja los datos con cuidado. En particular, está permitido:

• verificar y monitorear su propio sitio web o el de un cliente y utilizar los resultados para protegerlo;
• utilizar la verificación gratuita sin una cuenta para obtener una primera impresión, solo de lectura, de cualquier sitio web de acceso público, tal como lo ve un visitante;
• como agencia en el plan Business, solicitar una verificación pasiva del sitio web de un cliente potencial y poner los hallazgos a disposición del operador de manera lícita (véase la sección 3.5);
• compartir informes con las personas responsables del sitio web o que lo mantienen;
• utilizar la API, el plugin y las extensiones dentro de su documentación y sus límites;
• mostrar la insignia en el dominio para el que se emitió.

El criterio es sencillo: formexposed tiene por objeto ayudar a los operadores de sitios web a proteger sus propios formularios. Cualquier cosa que perjudique a un tercero que no la haya aceptado queda fuera de esa finalidad.

2. Lo que formexposed deliberadamente no puede hacer

Para que el servicio no resulte útil como herramienta de ataque, lo hemos limitado. Estos límites se aplican a todos los usuarios y no pueden ser desbloqueados por ellos:

• Sin prueba de control de un dominio, no se envía nada en él; las únicas excepciones son los propios dominios de prueba y demostración de formexposed, que verificamos internamente. La verificación gratuita, la verificación de clientes potenciales y nuestro estudio solo leen lo que ve un visitante.
• Incluso en dominios verificados, solo enviamos a un formulario de contacto general reconocido, como máximo cinco envíos de prueba identificados por verificación. Nunca enviamos formularios de pedidos, reservas, inicio de sesión, registro, boletines, soporte, pagos o carga de archivos, formularios con datos obligatorios como número de teléfono o dirección postal, ni formularios en sitios web que, por el dominio o el título de la página, reconozcamos como una autoridad pública, tribunal, universidad, escuela o institución sanitaria.
• La verificación de inyección de encabezados es pura detección: el valor de prueba nunca contiene un destinatario real. La verificación de validación de correo electrónico utiliza únicamente una dirección terminada en .invalid, que no puede existir.
• No resolvemos CAPTCHAs. En dominios verificados, solo comprobamos si un formulario acepta un envío sin token de CAPTCHA o con uno inventado. Si el formulario de inicio de sesión para el escaneo detrás del inicio de sesión contiene un CAPTCHA, la verificación se detiene.
• El rastreador solo solicita direcciones públicas a través de los puertos web habituales. Las redes internas, direcciones locales y otros puertos están bloqueados, también para las redirecciones y el contenido incrustado.
• La búsqueda de archivos expuestos (como un archivo de configuración olvidado) solo se ejecuta para dominios verificados, porque solicitar esas rutas en sitios web de terceros equivale a un ataque.

Estos límites describen cómo está construido el servicio. El escáner reconoce si un formulario es de contacto general y si un sitio web pertenece a alguna de las instituciones enumeradas a partir de características de la página como nombres de campos, etiquetas, dominio y título de la página; en casos concretos, este reconocimiento puede ser incorrecto. Por ello, la descripción no es una garantía para los Clientes ni para terceros de que un determinado formulario nunca quedará comprendido. Quien no desee que se verifique su sitio web puede excluirlo mediante la exclusión (sección 6.1).

3. Qué está prohibido

3.1 Sondear o atacar sitios web de terceros

• Utilizar formexposed para encontrar vulnerabilidades en sitios web de terceros y luego atacarlos, sobrecargarlos o explotarlas, por ejemplo inundando deliberadamente de spam un formulario sin protección.
• Entregar resultados, informes o capturas de pantalla de un sitio web de terceros a personas que quieran utilizarlos para un ataque.
• Utilizar el servicio contra sitios web cuyo operador lo ha excluido de forma evidente, por ejemplo cambiando a una forma distinta de escribir el dominio.

Quien espía o ataca sistemas de terceros sin autorización también puede cometer un delito (en Polonia, por ejemplo, conforme a los arts. 267 a 269b del Código Penal polaco (Kodeks karny), en Alemania, por ejemplo, conforme a los §§ 202a a 202d y § 303b del StGB, el Código Penal alemán). El hecho de que la información proceda de un informe de formexposed no cambia nada.

3.2 Eludir límites y salvaguardias

• Eludir los límites de la verificación gratuita, por ejemplo mediante muchas sesiones de navegador, direcciones IP cambiantes, proxies, cadenas de VPN o varias cuentas.
• Consultar de forma automatizada la verificación gratuita, la verificación de encabezados o el formulario de exclusión. Para la automatización existe la API.
• Eludir reCAPTCHA, la comprobación de tiempo y las demás medidas de protección de nuestros propios formularios.
• Eludir los límites del plan distribuyendo el uso entre varias cuentas gratuitas.

3.3 Obtener la verificación mediante engaño

• Verificar un dominio del que no sea operador ni haya recibido un encargo del operador, aunque técnicamente tenga acceso al DNS, al servidor o al CMS, por ejemplo como antiguo prestador de servicios, proveedor de alojamiento o empleado.
• Aportar una prueba mediante contenido de terceros, por ejemplo mediante una función de comentarios o un área de carga del sitio web de terceros en la que cualquiera pueda escribir.
• Dejar un dominio en la cuenta después de que haya terminado la autorización. Cuando termina el encargo, el Cliente elimina el dominio.

La verificación es la puerta de acceso a las verificaciones activas. Quien la obtiene mediante engaño hace que formexposed realice envíos a un formulario de terceros: es el uso indebido más grave que permite el servicio y lo tratamos como tal.

3.4 Uso indebido de los envíos de prueba

• Utilizar los envíos de prueba como canal de spam o notificaciones, por ejemplo verificando un dominio para sobrecargar a sus destinatarios con correos de prueba.
• Iniciar verificaciones de un dominio, en particular verificaciones manuales, con el objetivo de sobrecargar al destinatario de los correos del formulario en lugar de verificar el formulario.
• Configurar envíos de prueba en un dominio sin asegurarse de que las personas que reciben y gestionan allí los correos del formulario (por ejemplo un equipo de ventas) sepan que pueden llegar envíos de prueba identificados como tales.

3.5 Utilizar la verificación de clientes potenciales para publicidad no solicitada

La verificación de clientes potenciales permite a una agencia solicitar la verificación pasiva del sitio web de un cliente potencial. Nosotros no escribimos al operador; la agencia transmite el enlace por su cuenta. La forma en que lo haga es asunto suyo y responsabilidad suya. Está prohibido utilizar los hallazgos para publicidad que la ley no permita sin consentimiento previo. Esto incluye, en particular:

• correos electrónicos no solicitados con los hallazgos a empresas o personas que no hayan dado su consentimiento (en Polonia, art. 398 de la Ley polaca de comunicaciones electrónicas (Prawo komunikacji elektronicznej, PKE); en Alemania, § 7 de la UWG, la Ley alemana contra la competencia desleal; en ambos países, esto también se aplica a las empresas);
• llamadas publicitarias no solicitadas, en la medida en que la legislación aplicable exija consentimiento para ellas;
• mensajes que utilicen los hallazgos para ejercer presión, generar miedo o crear la impresión de que formexposed verificó el sitio web por encargo de una autoridad o del operador.

Sigue estando permitido mostrar los hallazgos al operador en una conversación que este haya solicitado y enviárselos si ha consentido recibirlos o si la legislación aplicable al contacto permite expresamente enviarlos sin consentimiento. La propia agencia comprueba si es así; el hecho de que trabaje con el operador en otro asunto no basta por sí solo.

3.6 Uso indebido de informes, API, plugin e insignia

• Recopilar informes sistemáticamente, adivinar o probar direcciones de informes, o recuperar informes en grandes cantidades para acumular datos sobre sitios web de terceros.
• Publicar informes sobre sitios web de terceros para exponer públicamente a sus operadores.
• Compartir claves de API, secretos del plugin o credenciales, eludir los límites de la API o utilizarla para dominios de terceros.
• Modificar o imitar la insignia, mostrarla en un dominio distinto de aquel para el que se emitió o utilizarla para afirmar una certificación que formexposed no otorga. La insignia muestra “protegido” solo mientras el dominio esté verificado, el monitoreo esté activo y la última verificación sea reciente y favorable; en los demás casos muestra el texto neutro “Verificación del formulario de contacto”. Un gráfico creado por uno mismo con la misma afirmación engaña a los visitantes.
• Almacenar credenciales para el escaneo detrás del inicio de sesión de una cuenta que no se haya creado específicamente como cuenta de prueba, o de un sitio web de terceros.

4. Cómo previene y detecta formexposed el uso indebido

Las siguientes medidas están implementadas en el código. No divulgamos los umbrales exactos porque cambian y porque facilitarían el uso indebido.

4.1 Verificación gratuita

• Interruptor de emergencia. Podemos pausar la verificación gratuita en cualquier momento. La exclusión no se ve afectada y también funciona durante una pausa.
• reCAPTCHA para la verificación, la verificación de encabezados y la exclusión, con umbrales separados por formulario, además de una trampa y una comprobación de tiempo en estos formularios.
• Límites por dirección IP, por sesión y por día. Se cuentan las verificaciones aceptadas. Un límite diario global protege frente a oleadas.
• Muchos dominios desde una dirección. Se bloquea a quien intente verificar muchos dominios distintos desde una dirección IP en poco tiempo. Aquí cuenta cada intento, incluido uno rechazado: este es el patrón típico con el que alguien utiliza formexposed para sondear sitios de terceros.
• Un dominio por semana. Quien introduce de nuevo un dominio dentro de una semana ve el informe existente; no se vuelve a verificar.
• Los dominios muy recientes y los dominios cuya antigüedad no se puede determinar no se verifican sin una cuenta. Con frecuencia se registran para cometer fraude.
• Solo destinos públicos. Un nombre que apunta a una dirección interna o reservada se rechaza antes del trabajo y de nuevo en cada solicitud individual del rastreador.

4.2 Monitoreo

Registramos como anomalías los patrones llamativos: muchos dominios desde una dirección, muchas solicitudes en pocos minutos, muchos intentos rechazados en una sesión, concentraciones de exclusiones desde un país, alcanzar el límite diario. Una nueva anomalía genera una notificación para nosotros, sin dominio ni dirección IP; solo vemos los detalles en el área de administración. Los datos que almacenamos para ello y durante cuánto tiempo se indican en la Política de Privacidad.

4.3 La verificación como puerta de acceso

Las verificaciones activas, el monitoreo, el escaneo detrás del inicio de sesión, los recorridos de navegador y la búsqueda de archivos expuestos se ejecutan, para los clientes, únicamente en dominios para los que se ha aportado una prueba de control: mediante registro DNS, metaetiqueta, archivo en el servidor o mediante el plugin. Antes de cada trabajo, el propio escáner vuelve a comprobar si el dominio está clasificado como verificado; si no lo está, una verificación activa pasa a ser de solo lectura y no se realiza un recorrido de navegador. Las verificaciones activas también pueden desactivarse para todo el servicio.

4.4 Envíos de prueba

Cada envío de prueba está identificado: en el nombre del remitente, “FormExposed Security Scanner”; en el asunto, “[formexposed.com] Automated security test — no action required”; y en el texto, con una referencia a la página sobre FormExposedBot, a la exclusión y con el ID del escaneo. El idioma depende de la página de destino (alemán, inglés o polaco). Por verificación se realizan como máximo cinco envíos a un solo formulario. El escáner se detiene después de ese número. Completa otros campos obligatorios con “FormExposed security test”; marca las casillas sin las cuales no puede enviarse el formulario, por ejemplo para el consentimiento. La identificación muestra que detrás no hay ninguna persona ni declaración de una persona.

4.5 El rastreador

FormExposedBot se identifica con su propio user-agent, lee robots.txt antes de cada verificación y no verifica si un Disallow para él o para todos los programas cubre la página de inicio; actualmente no respeta de forma individual las subrutas bloqueadas. Las solicitudes ligeras sin navegador, como el pulso del formulario o la verificación de encabezados, no leen robots.txt. No verifica los dominios de nuestra lista de exclusión ni su variante www, ni siquiera por cuenta de clientes de pago con un dominio verificado; el monitoreo en curso de estos termina con la siguiente verificación programada. Encontrará los detalles en la página sobre FormExposedBot.

5. Consecuencias de una infracción

Respondemos de forma proporcional: elegimos la medida menos severa que detenga la infracción y evite más daños a terceros y al servicio, la limitamos a la cuenta, dominio o función afectados y la levantamos en cuanto deja de existir su motivo. Las medidas posibles son:

• interrumpir verificaciones individuales y bloquear temporalmente direcciones IP o sesiones;
• eliminar un dominio de una cuenta, revocar su verificación o incluirlo en la lista de exclusión;
• bloquear funciones individuales, como las verificaciones activas, la verificación de clientes potenciales, la API o la insignia;
• bloquear la cuenta y terminar el contrato por causa justificada, conforme a las Condiciones del Servicio;
• reclamar una indemnización por daños conforme a las disposiciones legales y, en la medida legalmente permitida, notificar a los operadores de los sitios web afectados, las autoridades encargadas de la aplicación de la ley o CERT Polska si existen indicios concretos de un delito o de un ataque a terceros.

Los límites automáticos de la verificación gratuita y de nuestros propios formularios (sección 4.1) no son una medida contra una persona determinada. Se aplican a todos conforme a reglas fijas y terminan cuando vence el periodo correspondiente o en cuanto hemos resuelto una anomalía.

Audiencia previa. Antes de bloquear la cuenta, el dominio o una función de un Cliente, eliminar un dominio de su cuenta, revocar su verificación o terminar el contrato, informamos al Cliente en forma textual de qué conducta objetamos, en qué regla de esta página o de las Condiciones del Servicio nos basamos y qué medida estamos considerando. El Cliente puede presentar observaciones o subsanar la infracción en un plazo de siete días; solo entonces decidimos. Antes de la terminación por causa justificada, se aplica en su lugar el plazo de subsanación más largo que prevén las Condiciones del Servicio para ello; un bloqueo por falta de pago se rige únicamente por las Condiciones del Servicio.

Casos urgentes. Solo actuamos sin audiencia previa si esperar pondría en grave peligro a terceros o al servicio, en particular cuando existen indicios concretos de una verificación obtenida mediante engaño, en caso de verificaciones o envíos de prueba contra la voluntad declarada del operador del sitio web, en caso de un ataque a terceros mediante el servicio, en caso de un aviso que indique una infracción grave de la ley por contenido de un portal de clientes o un informe de marca blanca, o si una autoridad, un tribunal o la ley lo exige. En ese caso, inicialmente limitamos la medida al dominio, función o contenido afectados, informamos al Cliente con los motivos en forma textual sin dilación indebida y, a más tardar, el siguiente día laborable, en la medida en que esto no frustre su finalidad ni esté prohibido por la ley, y realizamos la audiencia después.

Objeciones. Cualquier persona que considere injustificada una medida, incluso sin una cuenta, puede objetarla en forma textual en contact@lukaswojcik.com. Examinamos la objeción y respondemos en un plazo de 14 días con los motivos; si está justificada, levantamos la medida inmediatamente. El procedimiento de Reclamaciones y el recurso a los tribunales siguen disponibles. Si restringimos contenido de un Cliente tras un aviso de contenido ilícito, también proporcionamos una exposición de motivos conforme al art. 17 del Reglamento (UE) 2022/2065 (Reglamento de Servicios Digitales, DSA) e indicamos estas vías de recurso. Las Condiciones del Servicio rigen si un bloqueo afecta a la obligación de pago y cuándo es posible la terminación por causa justificada.

6. Si usted se ve afectado

6.1 No quiere que formexposed verifique su sitio web

Introduzca su dominio en la página Excluir su dominio o bloquee FormExposedBot para la página de inicio en su robots.txt. Ambas medidas surten efecto, sin que tenga que comunicarse con nosotros, para cada verificación que comience después. El monitoreo en curso en una cuenta de cliente termina con la siguiente verificación programada; hasta entonces, pueden seguir llegando solicitudes ligeras, como el pulso del formulario, y estas solicitudes ligeras no leen el robots.txt. Si quiere que también terminen antes, escríbanos además. La página de exclusión describe qué se excluye exactamente.

6.2 Ha recibido un envío de prueba que no esperaba

Los envíos de prueba solo se realizan a dominios sobre los que un Cliente ha aportado una prueba de control y a los propios dominios de prueba y demostración de formexposed. Se realizan por iniciativa de ese Cliente. Si usted no lo dispuso, quizá su agencia, su proveedor de alojamiento o un colega agregó el dominio, o alguien obtuvo la verificación mediante engaño. La forma más rápida de detener más envíos de prueba es hacerlo por su cuenta mediante la exclusión: los envíos de prueba solo se realizan durante una verificación y, después de la entrada, no comienza ninguna verificación adicional del dominio. Escríbanos también a contact@lukaswojcik.com e indique el ID del escaneo que aparece en el mensaje. Comprobaremos quién verificó el dominio, lo incluiremos en la lista de exclusión hasta esclarecer el caso si usted aún no lo ha hecho y pediremos al Cliente que acredite su autorización. Solo le diremos quién lo verificó en la medida en que lo permita la legislación de protección de datos.

6.3 Sospecha que alguien está utilizando formexposed en su contra

Escriba a contact@lukaswojcik.com, idealmente con la hora, el dominio y, de los registros de su servidor, las solicitudes con el user-agent de FormExposedBot. También puede comunicarse con nosotros mediante la página de contacto. Confirmaremos la recepción y le diremos qué hemos hecho. Puede notificar contenido ilícito en un portal de clientes o un informe de marca blanca del mismo modo; el Aviso legal establece qué debería contener un aviso de este tipo conforme al art. 16 del DSA. Allí también se indica nuestro punto de contacto conforme a los arts. 11 y 12 del DSA.

6.4 Ha encontrado una vulnerabilidad de seguridad en el propio formexposed

Notifíquela mediante nuestra página de notificación de vulnerabilidades (también en /.well-known/security.txt). Explica cómo gestionamos las notificaciones y qué prometemos a los investigadores. No realice pruebas en sitios web de terceros durante este proceso, tampoco mediante formexposed.

7. Cooperación con las autoridades

Cooperamos con las autoridades encargadas de la aplicación de la ley, las autoridades de control y organismos como CERT Polska cuando se trata de un uso indebido del servicio o de ataques a terceros. Solo entregamos datos si existe una base jurídica, el organismo solicitante es competente y la solicitud tiene la forma prescrita. Examinamos cada solicitud individualmente y entregamos solo lo que realmente requiere. Informamos a los Clientes afectados salvo que la ley o la autoridad lo prohíba.

No almacenamos más datos de los necesarios para el funcionamiento y la prevención de abusos con el fin de poder facilitar información a las autoridades. Tampoco podemos entregar lo que se haya eliminado al vencer los plazos indicados en la Política de Privacidad.

8. Cambios

Actualizamos esta página cuando cambian el servicio o los patrones de uso indebido. Para los Clientes, se aplican las reglas sobre cambios de las Condiciones del Servicio; las nuevas prohibiciones y consecuencias más estrictas solo se les aplican después de ese procedimiento. Evaluamos la conducta conforme a la versión que estaba vigente en el momento de dicha conducta. Preguntas sobre esta página: contact@lukaswojcik.com.