formexposed
Alusta

Lubatud kasutus ja kuritarvitamine

See dokument on avaldatud mitmes keeles. Keeleversioonide vahelise lahknevuse korral on siduv poolakeelne versioon.

Versioon 1.0 · Viimati uuendatud: 16. oktoober 2026

formexposed vaatab kolmandate osapoolte veebisaite ja saadab kinnitatud domeenidel kontaktivormidesse testsaatmisi. Sellist tööriista saab pöörata ka teiste vastu. Sellel lehel on kirjeldatud, milleks formexposed on mõeldud, mis on keelatud, kuidas me väärkasutust tehniliselt piirame ja mis juhtub, kui keegi reegleid rikub. See kehtib kõigi kohta, kes kasutavad teenust formexposed: nii kontoga klientide kui ka külastajate kohta, kes kasutavad tasuta kontrolli ilma kontota.

Pakkuja on LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poola. Klientide jaoks on see leht osa lepingust: kasutustingimused loevad selle lepingudokumentide hulka. Tasuta kontrolli ja muude vabalt kasutatavate tööriistade puhul kehtib see osana reeglitest, mille kasutustingimused nende tööriistade jaoks kehtestavad. Kui see leht on kasutustingimustega vastuolus, on ülimuslikud kasutustingimused. Näited („nagu“, „näiteks“) illustreerivad reeglit; need ei laienda ega piira seda.

1. Milleks formexposed on mõeldud

formexposed kontrollib, kas kontaktivorm on kaitstud automatiseeritud rämpsposti eest, kas see töötab usaldusväärselt ja kas see käsitleb andmeid hoolikalt. Eelkõige on lubatud:

  • kontrollida ja jälgida oma veebisaiti või kliendi veebisaiti ning kasutada tulemusi selle turvamiseks;
  • kasutada tasuta kontrolli ilma kontota, et saada mis tahes avalikult kättesaadavast veebisaidist esmane, ainult lugemisel põhinev mulje – nii, nagu külastaja seda näeb;
  • agentuurina Business-paketis lasta potentsiaalse kliendi veebisaiti passiivselt kontrollida ja teha leiud haldajale seaduslikul viisil kättesaadavaks (vt punkt 3.5);
  • jagada aruandeid inimestega, kes vastutavad veebisaidi eest või seda hooldavad;
  • kasutada API-t, pistikprogrammi ja laiendusi nende dokumentatsiooni ja piirangute raames;
  • kuvada märki domeenil, mille jaoks see väljastati.

Mõõdupuu on lihtne: formexposed on mõeldud aitama veebisaitide haldajatel kaitsta oma vorme. Kõik, mis kahjustab kolmandat isikut, kes ei ole sellega nõustunud, sinna ei kuulu.

2. Mida formexposed teadlikult teha ei saa

Selleks et teenusest ei oleks kasu ründetööriistana, oleme seda piiranud. Need piirangud kehtivad kõigile kasutajatele ja kasutajad ei saa neid avada:

  • Ilma domeeni üle kontrolli tõendamata ei saadeta sinna midagi; ainsad erandid on teenuse formexposed enda test- ja demodomeenid, mida kontrollime sisemiselt. Tasuta kontroll, potentsiaalse kliendi kontroll ja meie uuring loevad ainult seda, mida näeb külastaja.
  • Ka kinnitatud domeenidel saadame ainult tuvastatud üldisesse kontaktivormi, kuni viis märgistatud testsaatmist kontrolli kohta. Me ei saada kunagi tellimus-, broneerimis-, sisselogimis-, registreerimis-, uudiskirja-, toe-, makse- ega üleslaadimisvorme, kohustuslike andmetega (nt telefoninumber või postiaadress) vorme ega vorme veebisaitidel, mille tuvastame domeeni või lehe pealkirja järgi avaliku asutuse, kohtu, ülikooli, kooli või tervishoiuasutusena.
  • Päisesüstimise kontroll on puhas tuvastamine: testväärtus ei sisalda kunagi päris adressaati. E-posti valideerimise kontroll kasutab ainult aadressi, mis lõpeb osaga .invalid ja mida ei saa olemas olla.
  • Me ei lahenda CAPTCHA-sid. Kinnitatud domeenidel kontrollime ainult, kas vorm võtab saatmise vastu ilma CAPTCHA tokenita või väljamõeldud tokeniga. Kui sisselogimisjärgse skannimise sisselogimisvormil on CAPTCHA, kontroll peatub.
  • Roomaja pärib ainult avalikke aadresse tavapäraste veebiportide kaudu. Sisevõrgud, kohalikud aadressid ja muud pordid on blokeeritud, sealhulgas ümbersuunamiste ja manustatud sisu puhul.
  • Avatud failide (nt unustatud konfiguratsioonifaili) otsing toimub ainult kinnitatud domeenide puhul, sest selliste radade pärimine kolmandate osapoolte veebisaitidel on samaväärne rünnakuga.

Need piirangud kirjeldavad, kuidas teenus on üles ehitatud. Skanner tuvastab lehe tunnuste, nagu väljanimede, siltide, domeeni ja lehe pealkirja järgi, kas vorm on üldine kontaktivorm ja kas veebisait kuulub mõnele loetletud asutusele; üksikjuhtudel võib see tuvastus olla vale. Seetõttu ei ole see kirjeldus klientidele ega kolmandatele isikutele garantii, et teatud vorm ei satu kunagi kontrolli alla. Kes ei soovi, et tema veebisaiti kontrollitaks, saab selle välja jätta loobumise kaudu (punkt 6.1).

3. Mis on keelatud

3.1 Kolmandate osapoolte veebisaitide uurimine või ründamine

  • Teenuse formexposed kasutamine kolmandate osapoolte veebisaitide turvanõrkuste leidmiseks ning nende seejärel ründamiseks, ülekoormamiseks või ärakasutamiseks – näiteks kaitsmata vormi tahtlik rämpspostiga üleujutamine.
  • Kolmanda osapoole veebisaidi tulemuste, aruannete või ekraanipiltide edastamine inimestele, kes soovivad neid rünnakuks kasutada.
  • Teenuse kasutamine veebisaitide vastu, mille haldaja on selle ilmselgelt välja jätnud, näiteks domeeni teistsugusele kirjapildile üleminemise teel.

Kes kolmandate isikute süsteeme ilma loata nuhib või ründab, võib panna toime ka kuriteo (Poolas näiteks Kodeks karny (Poola karistusseadustik) art 267–269b alusel, Saksamaal näiteks StGB (Saksamaa karistusseadustik) §-de 202a–202d ja § 303b alusel). Asjaolu, et teave pärineb teenuse formexposed aruandest, ei muuda midagi.

3.2 Piirangutest ja kaitsemeetmetest möödahiilimine

  • Tasuta kontrolli piirangutest möödahiilimine, näiteks paljude brauseriseansside, vahetuvate IP-aadresside, puhverserverite, VPN-ahelate või mitme konto abil.
  • Tasuta kontrolli, päisekontrolli või loobumisvormi automatiseeritud pärimine. Automatiseerimiseks on olemas API.
  • Meie enda vormide reCAPTCHA, ajastuse kontrolli ja muude kaitsemeetmete eiramine.
  • Paketipiirangutest möödahiilimine kasutuse jagamisega mitme tasuta konto vahel.

3.3 Kinnituse pettusega hankimine

  • Domeeni kinnitamine, mille haldaja te ei ole ja mille haldaja ei ole teid kaasanud – isegi kui teil on tehniliselt juurdepääs DNS-ile, serverile või sisuhaldussüsteemile, näiteks endise teenuseosutaja, majutusteenuse pakkuja või töötajana.
  • Tõendi esitamine kolmanda osapoole sisu kaudu, näiteks kolmanda osapoole veebisaidi kommentaarifunktsiooni või üleslaadimisala kaudu, kuhu igaüks saab kirjutada.
  • Domeeni jätmine kontole pärast volituse lõppemist. Kui tööülesanne lõpeb, eemaldab klient domeeni.

Kinnitamine on värav aktiivsete kontrollide juurde. Kes selle pettusega hangib, laseb teenusel formexposed saata andmeid kolmanda osapoole vormi – see on raskeim väärkasutus, mida teenus võimaldab, ja me käsitleme seda vastavalt.

3.4 Testsaatmiste väärkasutamine

  • Testsaatmiste kasutamine rämpsposti- või teavituskanalina, näiteks domeeni kinnitamine selleks, et koormata selle adressaate test-e-kirjadega.
  • Domeeni kontrollide, eelkõige käsitsi kontrollide käivitamine eesmärgiga koormata vormikirjade adressaati, mitte kontrollida vormi.
  • Testsaatmiste seadistamine domeenil ilma tagamata, et inimesed, kes seal vormikirju vastu võtavad ja menetlevad (näiteks müügimeeskond), teavad, et võivad saabuda märgistatud testsaatmised.

3.5 Potentsiaalse kliendi kontrolli kasutamine soovimatuks reklaamiks

Potentsiaalse kliendi kontroll võimaldab agentuuril lasta võimaliku kliendi veebisaiti passiivselt kontrollida. Meie haldajale ei kirjuta; agentuur edastab lingi ise. See, kuidas ta seda teeb, on tema enda asi ja tema enda vastutus. Keelatud on kasutada leide reklaamiks, mida seadus ei luba ilma eelneva nõusolekuta. Sellesse kuuluvad eelkõige:

  • leidudega soovimatud e-kirjad ettevõtetele või isikutele, kes ei ole andnud nõusolekut (Poolas Prawo komunikacji elektronicznej (Poola elektroonilise side seadus), PKE art 398; Saksamaal UWG (Saksamaa kõlvatu konkurentsi vastane seadus) § 7 – mõlemas riigis kehtib see ka ettevõtjate suhtes);
  • soovimatud reklaamikõned, kui kohaldatav õigus nõuab nende jaoks nõusolekut;
  • sõnumid, mis kasutavad leide surve avaldamiseks, hirmu õhutamiseks või mulje loomiseks, et formexposed kontrollis veebisaiti ametiasutuse või haldaja nimel.

Endiselt on lubatud näidata leide haldajale vestluses, mida haldaja on ise soovinud, ja saata need haldajale, kui haldaja on nende saamisega nõustunud või pöördumisele kohaldatav õigus lubab sõnaselgelt neid ilma nõusolekuta saata. Agentuur kontrollib ise, kas see on nii; asjaolu, et ta teeb haldajaga koostööd muus küsimuses, ei ole iseenesest piisav.

3.6 Aruannete, API, pistikprogrammi ja märgi väärkasutamine

  • Aruannete süstemaatiline kogumine, aruannete aadresside äraarvamine või proovimine või aruannete suures koguses allalaadimine, et koguda andmeid kolmandate osapoolte veebisaitide kohta.
  • Kolmandate osapoolte veebisaitide aruannete avaldamine, et nende haldajaid häbistada.
  • API-võtmete, pistikprogrammi saladuste või sisselogimisandmete edasiandmine, API piirangutest möödahiilimine või selle kasutamine kolmandate osapoolte domeenide jaoks.
  • Märgi muutmine või jäljendamine, selle kuvamine muul domeenil kui see, mille jaoks see väljastati, või selle kasutamine sertifikaadi väitmiseks, mida formexposed ei anna. Märk näitab „kaitstud“ ainult seni, kuni domeen on kinnitatud, seire töötab ning viimane kontroll on värske ja soodne; muul juhul näitab see neutraalset teksti „Kontaktivormi kontroll“. Ise tehtud sama väitega graafika eksitab külastajaid.
  • Sisselogimisjärgse skannimise sisselogimisandmete salvestamine konto jaoks, mis ei ole loodud spetsiaalselt testkontoks, või kolmanda osapoole veebisaidi jaoks.

4. Kuidas formexposed väärkasutust ennetab ja tuvastab

Järgmised meetmed on rakendatud koodis. Me ei avalda täpseid lävesid, sest need muutuvad ja muudaksid väärkasutuse lihtsamaks.

4.1 Tasuta kontroll

  • Hädaseiskamislüliti. Saame tasuta kontrolli igal ajal peatada. Loobumist see ei mõjuta ja see toimib ka peatamise ajal.
  • reCAPTCHA kontrolli, päisekontrolli ja loobumise jaoks, iga vormi jaoks eraldi lävedega, lisaks nendes vormides lõks ja ajastuse kontroll.
  • Piirangud IP-aadressi, seansi ja päeva kohta. Vastu võetud kontrollid loendatakse. Üldine päevapiirang kaitseb lainete eest.
  • Palju domeene ühelt aadressilt. Kes püüab lühikese aja jooksul ühelt IP-aadressilt kontrollida palju erinevaid domeene, blokeeritakse. Siin loeb iga katse, ka tagasilükatud: see on tüüpiline muster, millega keegi kasutab teenust formexposed kolmandate osapoolte saitide sondeerimiseks.
  • Üks domeen nädalas. Kes sisestab domeeni nädala jooksul uuesti, näeb olemasolevat aruannet; seda ei kontrollita uuesti.
  • Väga noori domeene ja domeene, mille vanust ei saa kindlaks teha, ilma kontota ei kontrollita. Neid registreeritakse sageli pettuse eesmärgil.
  • Ainult avalikud sihtmärgid. Nimi, mis osutab sisemisele või reserveeritud aadressile, lükatakse tagasi – enne tööd ja uuesti roomaja iga üksiku päringu puhul.

4.2 Jälgimine

Registreerime silmatorkavad mustrid – palju domeene ühelt aadressilt, palju päringuid mõne minuti jooksul, palju tagasilükatud katseid ühes seansis, loobumiste kogumid ühest riigist, päevapiirangu saavutamine – kõrvalekaldena. Uus kõrvalekalle käivitab meile teavituse, ilma domeeni ja IP-aadressita; üksikasju näeme ainult haldusalas. Milliseid andmeid me selleks salvestame ja kui kaua, on kirjeldatud privaatsuspoliitikas.

4.3 Kinnitamine kui värav

Aktiivsed kontrollid, seire, sisselogimisjärgne skannimine, brauseriteekonnad ja avatud failide otsing toimuvad klientide puhul ainult domeenidel, mille üle kontroll on tõendatud: DNS-kirje, metasildi, serveris oleva faili või pistikprogrammi kaudu. Enne iga tööd kontrollib skanner ise uuesti, kas domeen on märgitud kinnitatuks; kui ei ole, langeb aktiivne kontroll tagasi ainult lugemisel põhinevale kontrollile ja brauseriteekonda ei tehta. Aktiivsed kontrollid saab välja lülitada ka kogu teenuse jaoks.

4.4 Testsaatmised

Iga testsaatmine on märgistatud: saatja nimes „FormExposed Security Scanner“, teemareal „[formexposed.com] Automated security test — no action required“ ning tekstis viitega FormExposedBoti lehele, loobumisele ja skannimise ID-ga. Keel sõltub sihtlehest (saksa, inglise või poola). Ühe kontrolli kohta läheb ühte vormi kõige rohkem viis saatmist. Skanner peatub pärast seda arvu. Muud kohustuslikud väljad täidab see tekstiga „FormExposed security test“; märkeruudud, ilma milleta vormi ei saa saata (näiteks nõusoleku jaoks), märgib see ära. Märgistus näitab, et selle taga ei ole inimest ega inimese tahteavaldust.

4.5 Roomaja

FormExposedBot tuvastab end oma kasutajaagendiga, loeb enne iga kontrolli faili robots.txt ega kontrolli, kui talle või kõigile programmidele suunatud Disallow hõlmab avalehte; blokeeritud alamradu ta praegu eraldi ei järgi. Kerged päringud ilma brauserita, nagu vormipulss või päisekontroll, faili robots.txt ei loe. Ta ei kontrolli meie väljajätmisloendis (loobumine) olevaid domeene ega nende www-varianti, isegi mitte kinnitatud domeeniga maksvate klientide nimel; nende käimasolev seire lõpeb järgmise ettenähtud kontrolliga. Üksikasjad on FormExposedBoti lehel.

5. Rikkumise tagajärjed

Reageerime proportsionaalselt: valime kõige leebema meetme, mis peatab rikkumise ja hoiab ära edasise kahju kolmandatele isikutele ja teenusele, piirame selle asjaomase konto, domeeni või funktsiooniga ning tühistame selle niipea, kui selle põhjus kaob. Võimalikud meetmed on:

  • üksikute kontrollide katkestamine ning IP-aadresside või seansside ajutine blokeerimine;
  • domeeni eemaldamine kontolt, selle kinnituse tühistamine või selle lisamine väljajätmisloendisse;
  • üksikute funktsioonide, nagu aktiivsete kontrollide, potentsiaalse kliendi kontrolli, API või märgi blokeerimine;
  • konto blokeerimine ja lepingu ülesütlemine mõjuval põhjusel, nagu on sätestatud kasutustingimustes;
  • kahju hüvitamise nõudmine vastavalt seadusesätetele ning, niivõrd kui see on õiguslikult lubatud, mõjutatud veebisaitide haldajate, õiguskaitseasutuste või CERT Polska teavitamine, kui on konkreetseid viiteid kuriteole või rünnakule kolmandate isikute vastu.

Tasuta kontrolli ja meie enda vormide automaatsed piirangud (punkt 4.1) ei ole meede konkreetse isiku vastu. Need kehtivad kõigile kindlate reeglite järgi ja lõpevad asjaomase ajavahemiku möödumisel või niipea, kui oleme kõrvalekalde lahendanud.

Eelnev ärakuulamine. Enne kui blokeerime kliendi konto, domeeni või funktsiooni, eemaldame tema kontolt domeeni, tühistame selle kinnituse või ütleme lepingu üles, teatame kliendile kirjalikku taasesitamist võimaldavas vormis, millist käitumist me ette heidame, millisele selle lehe või kasutustingimuste reeglile tugineme ja millist meedet kaalume. Klient saab seitsme päeva jooksul oma seisukoha esitada või rikkumise kõrvaldada; alles seejärel otsustame. Enne mõjuval põhjusel ülesütlemist kehtib selle asemel pikem kõrvaldamistähtaeg, mille kasutustingimused selleks ette näevad; maksmata jätmise tõttu blokeerimist reguleerivad üksnes kasutustingimused.

Kiireloomulised juhtumid. Tegutseme ilma eelneva ärakuulamiseta ainult siis, kui ootamine ohustaks tõsiselt kolmandaid isikuid või teenust, eelkõige kui on konkreetseid viiteid pettusega hangitud kinnitusele, veebisaidi haldaja väljendatud tahte vastaste kontrollide või testsaatmiste korral, teenuse kaudu kolmandate isikute vastu toime pandud rünnaku korral, teate korral, mis viitab kliendiportaalis või valgesildiaruandes oleva sisu raskele õigusrikkumisele, või kui ametiasutus, kohus või seadus seda nõuab. Sel juhul piirame meetme esialgu asjaomase domeeni, funktsiooni või sisuga, teatame sellest kliendile põhjendustega kirjalikku taasesitamist võimaldavas vormis põhjendamatu viivituseta ja hiljemalt järgmisel tööpäeval, kui see ei nurjaks meetme eesmärki ega ole seadusega keelatud, ning viime ärakuulamise läbi pärast seda.

Vastuväited. Igaüks, kes peab meedet põhjendamatuks, sealhulgas ilma kontota, võib esitada selle kohta vastuväite kirjalikku taasesitamist võimaldavas vormis aadressile contact@lukaswojcik.com. Vaatame vastuväite läbi ja vastame põhjendatult 14 päeva jooksul; kui see on põhjendatud, tühistame meetme viivitamata. Lehel Kaebused kirjeldatud kord ja kohtusse pöördumine jäävad avatuks. Kui piirame kliendi sisu ebaseadusliku sisu teate alusel, esitame lisaks määruse (EL) 2022/2065 (digiteenuste määrus, DSA) art 17 kohase põhjenduse ja nimetame need õiguskaitsevahendid. Kas blokeerimine mõjutab maksekohustust ja millal on võimalik mõjuval põhjusel ülesütlemine, reguleerivad kasutustingimused.

6. Kui see puudutab teid

6.1 Te ei soovi, et formexposed teie veebisaiti kontrolliks

Sisestage oma domeen lehel Jätke oma domeen välja või blokeerige FormExposedBot avalehe jaoks oma failis robots.txt. Mõlemad jõustuvad ilma, et peaksite meiega ühendust võtma, iga pärast seda algava kontrolli puhul. Kliendikontol käimasolev seire lõpeb järgmise ettenähtud kontrolliga; seni võivad veel tulla kerged päringud, nagu vormipulss, ja need kerged päringud faili robots.txt ei loe. Kui soovite, et ka need lõpeksid varem, kirjutage meile lisaks. Mida täpselt välja jäetakse, on kirjeldatud loobumislehel.

6.2 Saite testsaatmise, mida te ei oodanud

Testsaatmised lähevad ainult domeenidele, mille üle klient on kontrolli tõendanud, ning teenuse formexposed enda test- ja demodomeenidele. Need toimuvad selle kliendi algatusel. Kui teie seda ei korraldanud, lisas domeeni võib-olla teie agentuur, teie majutusteenuse pakkuja või kolleeg – või hankis keegi kinnituse pettusega. Kiireim viis edasised testsaatmised peatada on teha seda ise loobumise kaudu: testsaatmised toimuvad ainult kontrolli ajal ja pärast kannet domeeni uut kontrolli ei alustata. Kirjutage meile ka aadressile contact@lukaswojcik.com ja märkige sõnumist skannimise ID. Kontrollime, kes domeeni kinnitas, lisame domeeni asja selgitamiseni väljajätmisloendisse, kui te pole seda juba teinud, ja palume kliendil oma volitust põhjendada. Kes domeeni kinnitas, ütleme teile ainult andmekaitseõigusega lubatud ulatuses.

6.3 Kahtlustate, et keegi kasutab teenust formexposed teie vastu

Kirjutage aadressile contact@lukaswojcik.com, soovitatavalt koos kellaaja, domeeni ja – oma serveri logidest – FormExposedBoti kasutajaagendiga päringutega. Meiega saab ühendust võtta ka kontaktilehe kaudu. Kinnitame kättesaamist ja ütleme teile, mida oleme teinud. Samal viisil saate teatada kliendiportaalis või valgesildiaruandes olevast ebaseaduslikust sisust; mida selline DSA art 16 kohane teade peaks sisaldama, on kirjeldatud lehel Ettevõtte andmed. Seal on toodud ka meie DSA art 11 ja 12 kohane kontaktpunkt.

6.4 Leidsite turvanõrkuse teenuses formexposed endas

Palun teatage sellest meie turvanõrkustest teatamise lehe kaudu (ka aadressil /.well-known/security.txt). Seal on selgitatud, kuidas me teateid käsitleme ja mida uurijatele lubame. Palun ärge testige seejuures kolmandate osapoolte veebisaitidel, sealhulgas teenuse formexposed kaudu.

7. Koostöö ametiasutustega

Teeme koostööd õiguskaitseasutuste, järelevalveasutuste ja selliste organitega nagu CERT Polska, kui tegemist on teenuse väärkasutamise või rünnakutega kolmandate isikute vastu. Anname andmeid üle ainult siis, kui selleks on õiguslik alus, taotlev organ on pädev ja taotlus on ettenähtud vormis. Vaatame iga taotluse eraldi läbi ja anname üle ainult selle, mida see tegelikult nõuab. Teavitame asjaomaseid kliente, välja arvatud juhul, kui seadus või ametiasutus seda keelab.

Me ei salvesta selleks, et ametiasutustele teavet anda, rohkem, kui on vajalik teenuse toimimiseks ja kuritarvituste ennetamiseks. Mis on privaatsuspoliitikas nimetatud tähtaegade möödumisel kustutatud, seda ei saa me ka üle anda.

8. Muudatused

Uuendame seda lehte, kui teenus või väärkasutuse mustrid muutuvad. Klientide suhtes kehtivad kasutustingimuste muudatusi käsitlevad reeglid; uued keelud ja rangemad tagajärjed kehtivad nende suhtes alles pärast seda menetlust. Hindame käitumist versiooni järgi, mis kehtis käitumise ajal. Küsimused selle lehe kohta: contact@lukaswojcik.com.