Utilisation acceptable et abus

Ce document est publié en plusieurs langues. En cas de divergence entre les versions linguistiques, la version polonaise fait foi.

Version 1.0 · Dernière mise à jour : 16 octobre 2026

formexposed examine des sites web de tiers et, sur les domaines vérifiés, envoie des soumissions de test aux formulaires de contact. Un tel outil peut aussi être retourné contre autrui. Cette page indique à quoi sert formexposed, ce qui est interdit, comment nous limitons techniquement les abus et ce qui se passe si quelqu’un enfreint les règles. Elle s’applique à toute personne qui utilise formexposed : aux clients disposant d’un compte comme aux visiteurs qui utilisent la vérification gratuite sans compte.

Le fournisseur est LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Pologne. Pour les Clients, cette page fait partie du contrat : les Conditions d’utilisation la comptent parmi les documents contractuels. Pour la vérification gratuite et les autres outils librement accessibles, elle s’applique dans le cadre des règles que les Conditions d’utilisation fixent pour ces outils. En cas de contradiction entre cette page et les Conditions d’utilisation, les Conditions d’utilisation prévalent. Les exemples (« tel que », « par exemple ») illustrent une règle ; ils ne l’étendent ni ne la restreignent.

1. À quoi sert formexposed

formexposed vérifie si un formulaire de contact est protégé contre le spam automatisé, s’il fonctionne de manière fiable et s’il traite les données avec soin. Il est notamment permis :

• de vérifier et de surveiller votre propre site web ou le site web d’un client et d’utiliser les résultats pour le sécuriser ;
• d’utiliser la vérification gratuite sans compte pour se faire une première impression, en lecture seule, de tout site web accessible au public – tel qu’un visiteur le voit ;
• en tant qu’agence disposant de la formule Business, de faire vérifier de manière passive le site web d’un prospect et de mettre les constats à la disposition de l’exploitant de manière licite (voir section 3.5) ;
• de partager des rapports avec les personnes responsables du site web ou qui en assurent la gestion ;
• d’utiliser l’API, le plugin et les extensions dans le respect de leur documentation et de leurs limites ;
• d’afficher le badge sur le domaine pour lequel il a été délivré.

Le critère est simple : formexposed est destiné à aider les exploitants de sites web à protéger leurs propres formulaires. Tout ce qui nuit à un tiers qui n’y a pas consenti n’en fait pas partie.

2. Ce que formexposed ne peut délibérément pas faire

Afin que le service ne puisse pas servir d’outil d’attaque, nous l’avons limité. Ces limites s’appliquent à tous les utilisateurs et ne peuvent pas être levées par eux :

• Sans preuve de contrôle d’un domaine, rien n’y est soumis ; les seules exceptions sont les domaines de test et de démonstration propres à formexposed, que nous vérifions en interne. La vérification gratuite, la vérification de prospects et notre étude ne lisent que ce qu’un visiteur voit.
• Même sur les domaines vérifiés, nous ne soumettons qu’à un formulaire de contact général reconnu, au maximum cinq soumissions de test identifiées comme telles par vérification. Nous ne soumettons jamais de formulaires de commande, de réservation, de connexion, d’inscription, de newsletter, de support, de paiement ou de téléversement, de formulaires comportant des champs obligatoires tels que le numéro de téléphone ou l’adresse postale, ni de formulaires sur des sites web que nous identifions, d’après le domaine ou le titre de la page, comme ceux d’une autorité publique, d’un tribunal, d’une université, d’une école ou d’un établissement de santé.
• Le contrôle d’injection d’en-têtes est une pure détection : la valeur de test ne contient jamais de véritable destinataire. Le contrôle de validation des e-mails n’utilise qu’une adresse se terminant par .invalid, qui ne peut pas exister.
• Nous ne résolvons pas de CAPTCHA. Sur les domaines vérifiés, nous vérifions uniquement si un formulaire accepte une soumission sans jeton CAPTCHA ou avec un jeton inventé. Si le formulaire de connexion utilisé pour l’analyse derrière la connexion comporte un CAPTCHA, la vérification s’arrête.
• Le robot d’exploration ne sollicite que des adresses publiques via les ports web habituels. Les réseaux internes, les adresses locales et les autres ports sont bloqués, y compris pour les redirections et les contenus intégrés.
• La recherche de fichiers exposés (comme un fichier de configuration oublié) n’est effectuée que pour les domaines vérifiés, car solliciter de tels chemins sur des sites web de tiers équivaut à une attaque.

Ces limites décrivent la manière dont le service est conçu. Le scanner identifie si un formulaire est un formulaire de contact général et si un site web appartient à l’une des institutions énumérées à partir de caractéristiques de la page telles que les noms de champs, les libellés, le domaine et le titre de la page ; dans certains cas, cette identification peut être erronée. La description ne constitue donc pas une garantie, envers les Clients ou les tiers, qu’un formulaire donné ne sera jamais concerné. Toute personne qui ne souhaite pas que son site web soit vérifié peut l’exclure via l’opposition (opt-out) (section 6.1).

3. Ce qui est interdit

3.1 Sonder ou attaquer des sites web de tiers

• Utiliser formexposed pour trouver des vulnérabilités dans des sites web de tiers afin de les attaquer, de les surcharger ou de les exploiter ensuite – par exemple en inondant délibérément de spam un formulaire non protégé.
• Transmettre des résultats, des rapports ou des captures d’écran d’un site web de tiers à des personnes qui veulent les utiliser pour une attaque.
• Utiliser le service contre des sites web dont l’exploitant l’a manifestement exclu, par exemple en passant à une autre graphie du domaine.

Toute personne qui espionne ou attaque des systèmes tiers sans autorisation peut en outre commettre une infraction pénale (en Pologne, par exemple, au titre des Art. 267 à 269b du Code pénal polonais (Kodeks karny), en Allemagne, par exemple, au titre des §§ 202a à 202d et du § 303b StGB, le Code pénal allemand). Le fait que les informations proviennent d’un rapport formexposed n’y change rien.

3.2 Contourner les limites et les mesures de protection

• Contourner les limites de la vérification gratuite, par exemple au moyen de nombreuses sessions de navigateur, d’adresses IP changeantes, de proxys, de chaînes de VPN ou de comptes multiples.
• Interroger de manière automatisée la vérification gratuite, le contrôle des en-têtes ou le formulaire d’opposition. L’API existe pour l’automatisation.
• Contourner reCAPTCHA, le contrôle de durée et les autres mesures de protection de nos propres formulaires.
• Contourner les limites des formules en répartissant l’utilisation sur plusieurs comptes gratuits.

3.3 Obtenir une vérification par la tromperie

• Vérifier un domaine dont vous n’êtes ni l’exploitant ni mandaté par l’exploitant – même si vous disposez techniquement d’un accès au DNS, au serveur ou au CMS, par exemple en tant qu’ancien prestataire, hébergeur ou salarié.
• Apporter la preuve au moyen de contenus de tiers, par exemple via une fonction de commentaires ou une zone de téléversement du site web tiers sur laquelle tout le monde peut écrire.
• Laisser un domaine dans le compte après la fin de l’autorisation. Lorsque la mission prend fin, le Client supprime le domaine.

La vérification est la porte d’entrée vers les vérifications actives. Quiconque l’obtient par la tromperie fait soumettre par formexposed des données à un formulaire tiers – c’est l’abus le plus grave que le service permette, et nous le traitons comme tel.

3.4 Utiliser abusivement les soumissions de test

• Utiliser les soumissions de test comme canal de spam ou de notification, par exemple en vérifiant un domaine afin d’accabler ses destinataires d’e-mails de test.
• Déclencher des vérifications d’un domaine, en particulier des vérifications manuelles, dans le but d’accabler le destinataire des e-mails du formulaire plutôt que de vérifier le formulaire.
• Mettre en place des soumissions de test sur un domaine sans s’assurer que les personnes qui y reçoivent et traitent les e-mails du formulaire (par exemple une équipe commerciale) savent que des soumissions de test identifiées comme telles peuvent arriver.

3.5 Utiliser la vérification de prospects pour de la publicité non sollicitée

La vérification de prospects permet à une agence de faire vérifier de manière passive le site web d’un client potentiel. Nous n’écrivons pas à l’exploitant ; l’agence transmet elle-même le lien. La manière dont elle le fait relève de sa propre affaire et de sa propre responsabilité. Il est interdit d’utiliser les constats pour de la publicité que la loi n’autorise pas sans consentement préalable. Cela comprend notamment :

• les e-mails non sollicités contenant les constats envoyés à des entreprises ou à des personnes qui n’y ont pas consenti (en Pologne, Art. 398 de la loi polonaise sur les communications électroniques (Prawo komunikacji elektronicznej, PKE) ; en Allemagne, § 7 UWG, la loi allemande contre la concurrence déloyale – dans les deux pays, cela s’applique également aux entreprises) ;
• les appels publicitaires non sollicités, dans la mesure où le droit applicable exige un consentement pour ceux-ci ;
• les messages qui utilisent les constats pour exercer une pression, attiser la peur ou donner l’impression que formexposed a vérifié le site web pour le compte d’une autorité ou de l’exploitant.

Il reste permis de présenter les constats à l’exploitant lors d’un entretien que celui-ci a sollicité, et de les lui envoyer s’il a consenti à les recevoir ou si le droit applicable à la démarche autorise expressément leur envoi sans consentement. L’agence vérifie elle-même si tel est le cas ; le fait qu’elle travaille avec l’exploitant sur une autre affaire ne suffit pas en soi.

3.6 Utiliser abusivement les rapports, l’API, le plugin et le badge

• Collecter systématiquement des rapports, deviner ou essayer des adresses de rapports, ou récupérer des rapports en grand nombre afin d’accumuler des données sur des sites web de tiers.
• Publier des rapports sur des sites web de tiers afin d’exposer leurs exploitants.
• Transmettre des clés API, des secrets de plugin ou des identifiants, contourner les limites de l’API ou l’utiliser pour des domaines de tiers.
• Modifier ou imiter le badge, l’afficher sur un autre domaine que celui pour lequel il a été délivré, ou l’utiliser pour revendiquer une certification que formexposed ne délivre pas. Le badge n’affiche « protégé » que tant que le domaine est vérifié, que la surveillance est active et que la dernière vérification est récente et favorable ; sinon, il affiche la mention neutre « Vérification du formulaire de contact ». Un visuel fait maison portant la même affirmation trompe les visiteurs.
• Enregistrer des identifiants pour l’analyse derrière la connexion pour un compte qui n’a pas été spécialement créé en tant que compte de test, ou pour un site web tiers.

4. Comment formexposed prévient et détecte les abus

Les mesures suivantes sont mises en œuvre dans le code. Nous ne divulguons pas les seuils exacts, car ils évoluent et parce qu’ils faciliteraient les abus.

4.1 Vérification gratuite

• Interrupteur d’arrêt d’urgence. Nous pouvons suspendre la vérification gratuite à tout moment. L’opposition (opt-out) n’est pas concernée et fonctionne également pendant une suspension.
• reCAPTCHA pour la vérification, le contrôle des en-têtes et l’opposition, avec des seuils distincts par formulaire, ainsi qu’un piège et un contrôle de durée dans ces formulaires.
• Limites par adresse IP, par session et par jour. Les vérifications acceptées sont comptées. Une limite journalière globale protège contre les vagues.
• Nombreux domaines depuis une même adresse. Quiconque tente de vérifier de nombreux domaines différents depuis une même adresse IP en peu de temps est bloqué. Ici, chaque tentative compte, y compris une tentative rejetée : c’est le schéma typique par lequel quelqu’un utilise formexposed pour sonder des sites tiers.
• Un domaine par semaine. Quiconque saisit à nouveau un domaine dans la même semaine voit le rapport existant ; le domaine n’est pas vérifié à nouveau.
• Les domaines très récents et les domaines dont l’âge ne peut pas être déterminé ne sont pas vérifiés sans compte. Ils sont fréquemment enregistrés à des fins de fraude.
• Uniquement des cibles publiques. Un nom qui pointe vers une adresse interne ou réservée est rejeté – avant la tâche et à nouveau à chaque requête du robot d’exploration.

4.2 Surveillance

Nous enregistrons comme anomalie les schémas suspects – nombreux domaines depuis une même adresse, nombreuses requêtes en quelques minutes, nombreuses tentatives rejetées au cours d’une même session, concentrations d’oppositions depuis un même pays, atteinte de la limite journalière. Une nouvelle anomalie déclenche une notification à notre intention, sans domaine ni adresse IP ; nous ne voyons les détails que dans l’espace d’administration. Les données que nous conservons à cet effet et leur durée de conservation sont indiquées dans la Politique de confidentialité.

4.3 La vérification comme porte d’entrée

Les vérifications actives, la surveillance, l’analyse derrière la connexion, les parcours de navigateur et la recherche de fichiers exposés ne sont exécutés, pour les clients, que pour les domaines dont le contrôle a été prouvé : par enregistrement DNS, balise meta, fichier sur le serveur ou via le plugin. Avant chaque tâche, le scanner vérifie de nouveau lui-même si le domaine est considéré comme vérifié ; si ce n’est pas le cas, une vérification active se replie sur la vérification en lecture seule et un parcours de navigateur n’est pas effectué. Les vérifications actives peuvent également être désactivées pour l’ensemble du service.

4.4 Soumissions de test

Chaque soumission de test est identifiée comme telle : dans le nom de l’expéditeur « FormExposed Security Scanner », dans l’objet « [formexposed.com] Automated security test — no action required » et dans le texte, avec un renvoi à la page consacrée à FormExposedBot et à l’opposition (opt-out), ainsi que l’identifiant de l’analyse. La langue dépend de la page cible (allemand, anglais ou polonais). Par vérification, cinq soumissions au maximum sont envoyées à un même formulaire. Le scanner s’arrête après ce nombre. Il remplit les autres champs obligatoires avec « FormExposed security test » ; il coche les cases sans lesquelles le formulaire ne peut pas être envoyé, par exemple pour le consentement. L’identification montre qu’il n’y a derrière ni personne ni déclaration d’une personne.

4.5 Le robot d’exploration

FormExposedBot s’identifie par son propre user-agent, lit le fichier robots.txt avant chaque vérification et n’effectue pas de vérification si une directive Disallow le visant, lui ou tous les programmes, couvre la page d’accueil ; il ne respecte pas actuellement individuellement les sous-chemins bloqués. Les requêtes légères sans navigateur, comme le pouls du formulaire ou le contrôle des en-têtes, ne lisent pas le fichier robots.txt. Il ne vérifie pas les domaines figurant sur notre liste d’exclusion (opt-out) ni leur variante www, pas même pour le compte de clients payants disposant d’un domaine vérifié ; leur surveillance en cours prend fin à la vérification suivante prévue. Les détails figurent sur la page consacrée à FormExposedBot.

5. Conséquences d’une violation

Nous réagissons de manière proportionnée : nous choisissons la mesure la plus douce qui fait cesser la violation et prévient tout préjudice supplémentaire pour les tiers et pour le service, la limitons au compte, au domaine ou à la fonction concernés et la levons dès que son motif disparaît. Les mesures possibles sont les suivantes :

• interrompre des vérifications individuelles et bloquer temporairement des adresses IP ou des sessions ;
• retirer un domaine d’un compte, révoquer sa vérification ou l’inscrire sur la liste d’exclusion ;
• bloquer des fonctions individuelles, telles que les vérifications actives, la vérification de prospects, l’API ou le badge ;
• bloquer le compte et résilier le contrat pour motif grave, comme le prévoient les Conditions d’utilisation ;
• réclamer des dommages et intérêts conformément aux dispositions légales et, dans la mesure où la loi le permet, informer les exploitants de sites web concernés, les autorités répressives ou CERT Polska s’il existe des indices concrets d’une infraction pénale ou d’une attaque contre des tiers.

Les limites automatiques de la vérification gratuite et de nos propres formulaires (section 4.1) ne constituent pas une mesure visant une personne déterminée. Elles s’appliquent à tous selon des règles fixes et prennent fin à l’expiration de la période concernée ou dès que nous avons résolu une anomalie.

Audition préalable. Avant de bloquer le compte, un domaine ou une fonction d’un Client, de retirer un domaine de son compte, de révoquer sa vérification ou de résilier le contrat, nous informons le Client sous forme textuelle du comportement que nous lui reprochons, de la règle de cette page ou des Conditions d’utilisation sur laquelle nous nous fondons et de la mesure que nous envisageons. Le Client peut présenter ses observations ou remédier à la violation dans un délai de sept jours ; ce n’est qu’ensuite que nous décidons. Avant une résiliation pour motif grave, c’est le délai de remédiation plus long prévu à cet effet par les Conditions d’utilisation qui s’applique ; un blocage pour défaut de paiement est régi exclusivement par les Conditions d’utilisation.

Cas urgents. Nous n’agissons sans audition préalable que si l’attente mettait gravement en danger des tiers ou le service, en particulier en présence d’indices concrets d’une vérification obtenue par la tromperie, en cas de vérifications ou de soumissions de test contre la volonté déclarée de l’exploitant du site web, en cas d’attaque contre des tiers au moyen du service, en cas de notification indiquant une violation grave de la loi par un contenu d’un portail client ou d’un rapport en marque blanche, ou si une autorité, un tribunal ou la loi l’exige. Dans ce cas, nous limitons d’abord la mesure au domaine, à la fonction ou au contenu concernés, en informons le Client, avec motivation, sous forme textuelle dans les meilleurs délais et au plus tard le jour ouvrable suivant, dans la mesure où cela ne compromet pas son objectif et n’est pas interdit par la loi, et procédons à l’audition ensuite.

Contestations. Toute personne qui estime une mesure injustifiée, y compris sans compte, peut la contester sous forme textuelle à contact@lukaswojcik.com. Nous examinons la contestation et répondons dans un délai de 14 jours, avec motivation ; si elle est fondée, nous levons immédiatement la mesure. La procédure décrite sous Réclamations et le recours aux tribunaux restent ouverts. Si nous restreignons le contenu d’un Client à la suite d’une notification de contenu illicite, nous fournissons en outre un exposé des motifs au titre de l’Art. 17 du règlement (UE) 2022/2065 (règlement sur les services numériques, DSA) et indiquons ces voies de recours. Le point de savoir si un blocage affecte l’obligation de paiement et quand une résiliation pour motif grave est possible est régi par les Conditions d’utilisation.

6. Si vous êtes concerné

6.1 Vous ne souhaitez pas que formexposed vérifie votre site web

Saisissez votre domaine sur la page Exclure votre domaine ou bloquez FormExposedBot pour la page d’accueil dans votre fichier robots.txt. Les deux prennent effet, sans que vous ayez à nous contacter, pour toute vérification qui démarre ensuite. Une surveillance en cours dans un compte client prend fin à la vérification suivante prévue ; d’ici là, des requêtes légères comme le pouls du formulaire peuvent encore arriver, et ces requêtes légères ne lisent pas le fichier robots.txt. Si vous souhaitez qu’elles cessent également plus tôt, écrivez-nous en outre. Ce qui est exactement exclu est décrit sur la page d’opposition.

6.2 Vous avez reçu une soumission de test à laquelle vous ne vous attendiez pas

Les soumissions de test ne sont envoyées qu’aux domaines pour lesquels un Client a prouvé le contrôle, ainsi qu’aux domaines de test et de démonstration propres à formexposed. Elles ont lieu à l’initiative de ce Client. Si vous ne l’avez pas organisé, peut-être votre agence, votre hébergeur ou un collègue a-t-il ajouté le domaine – ou quelqu’un a obtenu la vérification par la tromperie. Le moyen le plus rapide de mettre fin aux soumissions de test est de le faire vous-même via l’opposition (opt-out) : les soumissions de test n’ont lieu que pendant une vérification, et après l’inscription, plus aucune vérification du domaine ne démarre. Écrivez-nous également à contact@lukaswojcik.com en indiquant l’identifiant de l’analyse figurant dans le message. Nous vérifierons qui a vérifié le domaine, inscrirons le domaine sur la liste d’exclusion en attendant que la situation soit clarifiée si vous ne l’avez pas déjà fait, et demanderons au Client de justifier son autorisation. Nous ne vous indiquerons qui l’a vérifié que dans la mesure où la législation sur la protection des données le permet.

6.3 Vous soupçonnez que quelqu’un utilise formexposed contre vous

Écrivez à contact@lukaswojcik.com, idéalement en indiquant l’heure, le domaine et – d’après les journaux de votre serveur – les requêtes portant le user-agent FormExposedBot. Vous pouvez également nous joindre via la page de contact. Nous accuserons réception et vous indiquerons ce que nous avons fait. Vous pouvez signaler de la même manière un contenu illicite dans un portail client ou un rapport en marque blanche ; ce qu’une telle notification au titre de l’Art. 16 DSA doit contenir est indiqué dans les Mentions légales. Notre point de contact au titre des Art. 11 et 12 DSA y figure également.

6.4 Vous avez découvert une faille de sécurité dans formexposed lui-même

Veuillez la signaler via notre page de signalement des vulnérabilités (également disponible à l’adresse /.well-known/security.txt). Elle explique comment nous traitons les signalements et ce que nous promettons aux chercheurs. Veuillez ne pas effectuer de tests sur des sites web de tiers à cette occasion, y compris via formexposed.

7. Coopération avec les autorités

Nous coopérons avec les autorités répressives, les autorités de contrôle et des organismes tels que CERT Polska lorsqu’il s’agit d’une utilisation abusive du service ou d’attaques contre des tiers. Nous ne communiquons des données que s’il existe une base juridique, que l’organisme demandeur est compétent et que la demande respecte la forme prescrite. Nous examinons chaque demande individuellement et ne communiquons que ce qu’elle exige réellement. Nous informons les Clients concernés, sauf si la loi ou l’autorité l’interdit.

Nous ne conservons pas davantage de données, afin de pouvoir renseigner les autorités, que ce qui est nécessaire au fonctionnement et à la prévention des abus. Ce qui a été supprimé à l’expiration des délais indiqués dans la Politique de confidentialité, nous ne pouvons pas non plus le communiquer.

8. Modifications

Nous mettons cette page à jour lorsque le service ou les schémas d’abus évoluent. Pour les Clients, les règles relatives aux modifications figurant dans les Conditions d’utilisation s’appliquent ; les nouvelles interdictions et les conséquences plus strictes ne s’appliquent à eux qu’à l’issue de cette procédure. Nous apprécions un comportement selon la version en vigueur au moment de ce comportement. Questions sur cette page : contact@lukaswojcik.com.