Uso aceptable y abusos

Este documento se publica en varios idiomas. En caso de discrepancia entre las versiones lingüísticas, prevalecerá la versión polaca.

Versión 1.0 · Última actualización: 16 de octubre de 2026

formexposed examina sitios web de terceros y, en dominios verificados, realiza envíos de prueba a formularios de contacto. Una herramienta así también puede volverse contra otros. Esta página establece para qué sirve formexposed, qué está prohibido, cómo limitamos técnicamente el uso indebido y qué ocurre si alguien incumple las normas. Se aplica a todas las personas que utilizan formexposed: tanto a los clientes con cuenta como a los visitantes que utilizan la comprobación gratuita sin cuenta.

El proveedor es LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polonia. Para los Clientes, esta página forma parte del contrato: las Condiciones del servicio la incluyen entre los documentos contractuales. Para la comprobación gratuita y las demás herramientas de libre acceso, se aplica como parte de las normas que las Condiciones del servicio establecen para estas herramientas. Si esta página contradice las Condiciones del servicio, prevalecen las Condiciones del servicio. Los ejemplos («como», «por ejemplo») ilustran una norma; no la amplían ni la restringen.

1. Para qué sirve formexposed

formexposed comprueba si un formulario de contacto está protegido frente al spam automatizado, si funciona de forma fiable y si trata los datos con cuidado. En particular, está permitido:

• comprobar y monitorizar su propio sitio web o el de un cliente y utilizar los resultados para protegerlo;
• utilizar la comprobación gratuita sin cuenta para obtener una primera impresión, de solo lectura, de cualquier sitio web de acceso público, tal como lo ve un visitante;
• como agencia con el plan Business, hacer comprobar de forma pasiva el sitio web de un cliente potencial y poner los hallazgos a disposición del operador de forma lícita (véase el apartado 3.5);
• compartir informes con las personas responsables del sitio web o que se ocupan de él;
• utilizar la API, el plugin y las extensiones dentro de su documentación y sus límites;
• mostrar el distintivo en el dominio para el que se emitió.

El criterio es sencillo: formexposed está pensado para ayudar a los operadores de sitios web a proteger sus propios formularios. Todo lo que perjudique a un tercero que no lo haya consentido queda fuera de ello.

2. Lo que formexposed deliberadamente no puede hacer

Para que el servicio no sirva como herramienta de ataque, lo hemos limitado. Estos límites se aplican a todos los usuarios y los usuarios no pueden desbloquearlos:

• Sin prueba de control sobre un dominio, no se envía nada en él; las únicas excepciones son los dominios de prueba y de demostración propios de formexposed, que comprobamos internamente. La comprobación gratuita, la comprobación de clientes potenciales y nuestro estudio solo leen lo que ve un visitante.
• Incluso en dominios verificados, solo enviamos a un formulario de contacto general reconocido, como máximo cinco envíos de prueba identificados por comprobación. Nunca enviamos formularios de pedido, reserva, inicio de sesión, registro, boletín, soporte, pago o carga de archivos, formularios con datos obligatorios como el número de teléfono o la dirección postal, ni formularios de sitios web que, por el dominio o el título de la página, reconocemos como de una autoridad pública, un tribunal, una universidad, un centro escolar o una institución sanitaria.
• La comprobación de inyección de cabeceras es pura detección: el valor de prueba nunca contiene un destinatario real. La comprobación de validación del correo electrónico solo utiliza una dirección terminada en .invalid, que no puede existir.
• No resolvemos CAPTCHAs. En dominios verificados, solo comprobamos si un formulario acepta un envío sin token CAPTCHA o con uno inventado. Si el formulario de inicio de sesión para el escaneo tras el inicio de sesión tiene un CAPTCHA, la comprobación se detiene.
• El rastreador solo solicita direcciones públicas a través de los puertos web habituales. Las redes internas, las direcciones locales y otros puertos están bloqueados, también para redirecciones y contenido incrustado.
• La búsqueda de archivos expuestos (como un archivo de configuración olvidado) solo se ejecuta para dominios verificados, porque solicitar tales rutas en sitios web de terceros equivale a un ataque.

Estos límites describen cómo está construido el servicio. El escáner reconoce si un formulario es un formulario de contacto general y si un sitio web pertenece a una de las instituciones mencionadas a partir de características de la página como nombres de campo, etiquetas, dominio y título de la página; en casos concretos, este reconocimiento puede ser erróneo. Por tanto, la descripción no constituye una garantía para los Clientes ni para terceros de que un formulario determinado nunca se vea afectado. Quien no desee que se compruebe su sitio web puede excluirlo mediante el opt-out (apartado 6.1).

3. Qué está prohibido

3.1 Sondear o atacar sitios web de terceros

• Utilizar formexposed para encontrar vulnerabilidades en sitios web de terceros y después atacarlos, sobrecargarlos o explotarlos, por ejemplo inundando deliberadamente de spam un formulario sin protección.
• Transmitir resultados, informes o capturas de pantalla de un sitio web de terceros a personas que quieran utilizarlos para un ataque.
• Utilizar el servicio contra sitios web cuyo operador lo ha excluido de forma manifiesta, por ejemplo cambiando a otra grafía del dominio.

Quien espía o ataca sistemas de terceros sin autorización también puede cometer un delito (en Polonia, por ejemplo, con arreglo a los Art. 267 a 269b del Código Penal polaco (Kodeks karny); en Alemania, por ejemplo, con arreglo a los §§ 202a a 202d y § 303b StGB, el Código Penal alemán). El hecho de que la información proceda de un informe de formexposed no cambia nada.

3.2 Eludir límites y medidas de seguridad

• Eludir los límites de la comprobación gratuita, por ejemplo mediante numerosas sesiones de navegador, cambios de dirección IP, proxies, cadenas de VPN o múltiples cuentas.
• Consultar de forma automatizada la comprobación gratuita, la comprobación de cabeceras o el formulario de opt-out. Para la automatización existe la API.
• Eludir reCAPTCHA, la comprobación de tiempo y las demás medidas de protección de nuestros propios formularios.
• Eludir los límites de los planes repartiendo el uso entre varias cuentas gratuitas.

3.3 Obtener la verificación mediante engaño

• Verificar un dominio del que no es usted el operador ni ha sido encargado por el operador, aunque técnicamente tenga acceso al DNS, al servidor o al CMS, por ejemplo como antiguo proveedor de servicios, proveedor de alojamiento o empleado.
• Aportar la prueba mediante contenido de terceros, por ejemplo a través de una función de comentarios o de un área de carga del sitio web de terceros en la que cualquiera puede escribir.
• Mantener un dominio en la cuenta una vez finalizada la autorización. Cuando termina el encargo, el Cliente elimina el dominio.

La verificación es la puerta de acceso a las comprobaciones activas. Quien la obtiene mediante engaño hace que formexposed envíe datos a un formulario de terceros: es el uso indebido más grave que permite el servicio, y así lo tratamos.

3.4 Uso indebido de los envíos de prueba

• Utilizar los envíos de prueba como canal de spam o de notificación, por ejemplo verificando un dominio para sobrecargar a sus destinatarios con correos electrónicos de prueba.
• Desencadenar comprobaciones de un dominio, en particular comprobaciones manuales, con el objetivo de sobrecargar al destinatario de los correos electrónicos del formulario en lugar de comprobar el formulario.
• Configurar envíos de prueba en un dominio sin asegurarse de que las personas que allí reciben y tramitan los correos electrónicos del formulario (por ejemplo, un equipo de ventas) saben que pueden llegar envíos de prueba identificados.

3.5 Utilizar la comprobación de clientes potenciales para publicidad no solicitada

La comprobación de clientes potenciales permite a una agencia hacer comprobar de forma pasiva el sitio web de un posible cliente. Nosotros no escribimos al operador; la agencia transmite el enlace ella misma. Cómo lo haga es asunto suyo y responsabilidad suya. Está prohibido utilizar los hallazgos para publicidad que la ley no permite sin consentimiento previo. Esto incluye en particular:

• correos electrónicos no solicitados con los hallazgos a empresas o personas que no han dado su consentimiento (en Polonia, Art. 398 de la Ley polaca de comunicaciones electrónicas (Prawo komunikacji elektronicznej, PKE); en Alemania, § 7 UWG, la Ley alemana contra la competencia desleal; en ambos países, esto se aplica también a las empresas);
• llamadas publicitarias no solicitadas, en la medida en que el Derecho aplicable exija consentimiento para ellas;
• mensajes que utilizan los hallazgos para ejercer presión, infundir miedo o dar la impresión de que formexposed ha comprobado el sitio web por encargo de una autoridad o del operador.

Sigue estando permitido mostrar los hallazgos al operador en una conversación que este haya solicitado, y enviárselos si ha consentido en recibirlos o si el Derecho aplicable al contacto permite expresamente enviarlos sin consentimiento. La propia agencia comprueba si es así; el hecho de que colabore con el operador en otro asunto no es suficiente por sí solo.

3.6 Uso indebido de informes, API, plugin y distintivo

• Recopilar sistemáticamente informes, adivinar o probar direcciones de informes, u obtener informes en gran número para acumular datos sobre sitios web de terceros.
• Publicar informes sobre sitios web de terceros para dejar en evidencia a sus operadores.
• Transmitir claves de API, secretos del plugin o credenciales, eludir los límites de la API o utilizarla para dominios de terceros.
• Modificar o imitar el distintivo, mostrarlo en un dominio distinto de aquel para el que se emitió o utilizarlo para afirmar una certificación que formexposed no concede. El distintivo muestra «protegido» solo mientras el dominio esté verificado, la monitorización esté en marcha y la última comprobación sea reciente y favorable; de lo contrario, muestra el neutro «Comprobación del formulario de contacto». Un gráfico de elaboración propia con la misma afirmación engaña a los visitantes.
• Almacenar credenciales para el escaneo tras el inicio de sesión de una cuenta que no se haya creado específicamente como cuenta de prueba, o de un sitio web de terceros.

4. Cómo previene y detecta formexposed el uso indebido

Las siguientes medidas están implementadas en el código. No revelamos los umbrales exactos, porque cambian y porque facilitarían el uso indebido.

4.1 Comprobación gratuita

• Interruptor de emergencia. Podemos pausar la comprobación gratuita en cualquier momento. El opt-out no se ve afectado y funciona también durante una pausa.
• reCAPTCHA para la comprobación, la comprobación de cabeceras y el opt-out, con umbrales distintos por formulario, además de una trampa y una comprobación de tiempo en estos formularios.
• Límites por dirección IP, por sesión y por día. Se cuentan las comprobaciones aceptadas. Un límite diario global protege frente a oleadas.
• Muchos dominios desde una misma dirección. Quien intenta comprobar muchos dominios distintos desde una misma dirección IP en poco tiempo es bloqueado. Aquí cuenta cada intento, también uno rechazado: es el patrón típico con el que alguien utiliza formexposed para sondear sitios de terceros.
• Un dominio por semana. Quien vuelve a introducir un dominio en el plazo de una semana ve el informe existente; no se comprueba de nuevo.
• Los dominios muy recientes y los dominios cuya antigüedad no puede determinarse no se comprueban sin cuenta. Con frecuencia se registran con fines fraudulentos.
• Solo destinos públicos. Un nombre que apunta a una dirección interna o reservada se rechaza, antes del trabajo y de nuevo en cada solicitud individual del rastreador.

4.2 Supervisión

Registramos como anomalía los patrones llamativos: muchos dominios desde una misma dirección, muchas solicitudes en pocos minutos, muchos intentos rechazados en una sesión, acumulaciones de opt-outs desde un mismo país o el alcance del límite diario. Una nueva anomalía nos envía una notificación, sin dominio y sin dirección IP; los detalles solo los vemos en el área de administración. Qué datos almacenamos para ello y durante cuánto tiempo se expone en la Política de privacidad.

4.3 La verificación como puerta de acceso

Las comprobaciones activas, la monitorización, el escaneo tras el inicio de sesión, los recorridos de navegador y la búsqueda de archivos expuestos solo se ejecutan, en el caso de los clientes, para dominios respecto de los cuales se ha aportado prueba de control: mediante registro DNS, metaetiqueta, archivo en el servidor o a través del plugin. Antes de cada trabajo, el propio escáner vuelve a comprobar si el dominio figura como verificado; si no es así, una comprobación activa pasa a ser de solo lectura y no se realiza ningún recorrido de navegador. Las comprobaciones activas también pueden desactivarse para todo el servicio.

4.4 Envíos de prueba

Cada envío de prueba está identificado: en el nombre del remitente «FormExposed Security Scanner», en el asunto «[formexposed.com] Automated security test — no action required» y en el texto con una referencia a la página sobre FormExposedBot y al opt-out, y con el ID del escaneo. El idioma depende de la página de destino (alemán, inglés o polaco). Por comprobación, se envían como máximo cinco envíos a un mismo formulario. El escáner se detiene tras ese número. Rellena los demás campos obligatorios con «FormExposed security test»; marca las casillas sin las cuales no puede enviarse el formulario, por ejemplo la del consentimiento. La identificación muestra que detrás no hay ninguna persona ni ninguna declaración de una persona.

4.5 El rastreador

FormExposedBot se identifica con su propio agente de usuario, lee robots.txt antes de cada comprobación y no realiza la comprobación si un Disallow dirigido a él o a todos los programas abarca la página de inicio; actualmente no respeta individualmente las subrutas bloqueadas. Las solicitudes ligeras sin navegador, como el pulso del formulario o la comprobación de cabeceras, no leen robots.txt. No comprueba los dominios de nuestra lista de exclusión (opt-out) ni su variante www, ni siquiera por encargo de clientes de pago con un dominio verificado; su monitorización en curso termina con la siguiente comprobación prevista. Encontrará más detalles en la página sobre FormExposedBot.

5. Consecuencias de una infracción

Reaccionamos de forma proporcionada: elegimos la medida más leve que ponga fin a la infracción y evite más daños a terceros y al servicio, la limitamos a la cuenta, el dominio o la función afectados y la levantamos en cuanto desaparece su motivo. Las medidas posibles son:

• interrumpir comprobaciones concretas y bloquear temporalmente direcciones IP o sesiones;
• eliminar un dominio de una cuenta, revocar su verificación o incluirlo en la lista de exclusión;
• bloquear funciones concretas, como las comprobaciones activas, la comprobación de clientes potenciales, la API o el distintivo;
• bloquear la cuenta y resolver el contrato por causa justificada, según lo previsto en las Condiciones del servicio;
• reclamar una indemnización por daños y perjuicios conforme a las disposiciones legales y, en la medida en que la ley lo permita, informar a los operadores de los sitios web afectados, a las autoridades encargadas de la persecución penal o a CERT Polska si existen indicios concretos de un delito o de un ataque a terceros.

Los límites automáticos de la comprobación gratuita y de nuestros propios formularios (apartado 4.1) no son una medida contra una persona concreta. Se aplican a todos según reglas fijas y terminan cuando expira el periodo correspondiente o en cuanto hemos resuelto una anomalía.

Audiencia previa. Antes de bloquear la cuenta, un dominio o una función de un Cliente, eliminar un dominio de su cuenta, revocar su verificación o resolver el contrato, informamos al Cliente en forma de texto de qué conducta le reprochamos, en qué norma de esta página o de las Condiciones del servicio nos basamos y qué medida estamos considerando. El Cliente puede formular alegaciones o subsanar la infracción en un plazo de siete días; solo entonces decidimos. Antes de una resolución por causa justificada, se aplica en su lugar el plazo de subsanación más largo que prevén para ello las Condiciones del servicio; un bloqueo por impago se rige exclusivamente por las Condiciones del servicio.

Casos urgentes. Solo actuamos sin audiencia previa si la espera pusiera gravemente en peligro a terceros o al servicio, en particular cuando existan indicios concretos de una verificación obtenida mediante engaño, en caso de comprobaciones o envíos de prueba en contra de la voluntad declarada del operador del sitio web, en caso de un ataque a terceros a través del servicio, en caso de una notificación que indique una infracción grave de la ley por contenidos de un portal de clientes o de un informe de marca blanca, o si una autoridad, un tribunal o la ley lo exigen. En ese caso, limitamos inicialmente la medida al dominio, la función o el contenido afectados, informamos de ella al Cliente, de forma motivada y en forma de texto, sin demora indebida y a más tardar el siguiente día hábil, en la medida en que ello no frustre su finalidad y no esté prohibido por la ley, y realizamos la audiencia después.

Objeciones. Quien considere injustificada una medida, también sin cuenta, puede oponerse a ella en forma de texto en contact@lukaswojcik.com. Examinamos la objeción y respondemos de forma motivada en un plazo de 14 días; si está justificada, levantamos la medida de inmediato. Siguen abiertos el procedimiento descrito en Reclamaciones y la vía judicial. Si restringimos contenidos de un Cliente a raíz de una notificación de contenido ilícito, facilitamos además una declaración de motivos con arreglo al Art. 17 del Reglamento (UE) 2022/2065 (Reglamento de Servicios Digitales, DSA) e indicamos estas vías de recurso. Si un bloqueo afecta a la obligación de pago y cuándo es posible la resolución por causa justificada se rige por las Condiciones del servicio.

6. Si usted se ve afectado

6.1 No desea que formexposed compruebe su sitio web

Introduzca su dominio en la página Excluir su dominio o bloquee FormExposedBot para la página de inicio en su robots.txt. Ambas opciones surten efecto, sin necesidad de contactarnos, para cada comprobación que se inicie después. Una monitorización en curso en una cuenta de cliente termina con la siguiente comprobación prevista; hasta entonces, todavía pueden llegar solicitudes ligeras como el pulso del formulario, y estas solicitudes ligeras no leen el robots.txt. Si desea que también estas terminen antes, escríbanos además. Qué se excluye exactamente se describe en la página de opt-out.

6.2 Ha recibido un envío de prueba que no esperaba

Los envíos de prueba solo se dirigen a dominios para los que un Cliente ha aportado prueba de control y a los dominios de prueba y de demostración propios de formexposed. Se realizan a instancias de ese Cliente. Si usted no lo ha encargado, quizá su agencia, su proveedor de alojamiento o un compañero haya añadido el dominio, o alguien haya obtenido la verificación mediante engaño. La forma más rápida de detener nuevos envíos de prueba es hacerlo usted mismo a través del opt-out: los envíos de prueba solo se producen durante una comprobación y, tras la inscripción, no se inicia ninguna nueva comprobación del dominio. Escríbanos además a contact@lukaswojcik.com e indique el ID del escaneo que figura en el mensaje. Comprobaremos quién verificó el dominio, incluiremos el dominio en la lista de exclusión hasta que se aclare el asunto si usted no lo ha hecho ya, y pediremos al Cliente que acredite su autorización. Le diremos quién lo verificó solo en la medida en que lo permita la normativa de protección de datos.

6.3 Sospecha que alguien está utilizando formexposed contra usted

Escriba a contact@lukaswojcik.com, idealmente con la hora, el dominio y, de los registros de su servidor, las solicitudes con el agente de usuario FormExposedBot. También puede contactarnos a través de la página de contacto. Le confirmaremos la recepción y le diremos qué hemos hecho. Del mismo modo puede notificar contenidos ilícitos en un portal de clientes o en un informe de marca blanca; lo que debe contener una notificación de este tipo con arreglo al Art. 16 DSA se expone en el Aviso legal. Allí figura también nuestro punto de contacto con arreglo a los Art. 11 y 12 DSA.

6.4 Ha encontrado una vulnerabilidad de seguridad en el propio formexposed

Comuníquela a través de nuestra página de notificación de vulnerabilidades (también en /.well-known/security.txt). En ella se explica cómo tratamos las notificaciones y qué prometemos a los investigadores. Le rogamos que no realice pruebas en sitios web de terceros, tampoco a través de formexposed.

7. Cooperación con las autoridades

Cooperamos con las autoridades encargadas de la persecución penal, las autoridades de control y organismos como CERT Polska cuando se trata de un uso indebido del servicio o de ataques a terceros. Solo entregamos datos si existe una base jurídica, el organismo solicitante es competente y la solicitud tiene la forma prescrita. Examinamos cada solicitud individualmente y entregamos solo lo que realmente requiere. Informamos a los Clientes afectados salvo que la ley o la autoridad lo prohíban.

No almacenamos más de lo necesario para el funcionamiento y la prevención de abusos con el fin de poder informar a las autoridades. Lo que se ha suprimido una vez expirados los plazos indicados en la Política de privacidad tampoco podemos entregarlo.

8. Cambios

Actualizamos esta página cuando cambian el servicio o los patrones de uso indebido. Para los Clientes, se aplican las normas sobre cambios de las Condiciones del servicio; las nuevas prohibiciones y las consecuencias más estrictas solo se les aplican tras dicho procedimiento. Valoramos una conducta conforme a la versión vigente en el momento de la conducta. Preguntas sobre esta página: contact@lukaswojcik.com.