formexposed
Započnite

Prihvatljiva upotreba i zlouporaba

Ovaj dokument objavljen je na više jezika. U slučaju bilo kakvog neslaganja između jezičnih verzija, poljska verzija je obvezujuća.

Verzija 1.0 · Posljednje ažuriranje: 16. listopada 2026.

formexposed pregledava web-mjesta trećih strana i na potvrđenim domenama šalje probna slanja kontaktnim obrascima. Takav se alat može okrenuti i protiv drugih. Ova stranica navodi čemu formexposed služi, što je zabranjeno, kako tehnički ograničavamo zlouporabu i što se događa ako netko prekrši pravila. Odnosi se na sve koji upotrebljavaju formexposed: na korisnike s računom kao i na posjetitelje koji upotrebljavaju besplatnu provjeru bez računa.

Pružatelj usluge je LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poljska. Za Korisnike je ova stranica dio ugovora: Uvjeti korištenja ubrajaju je u ugovorne dokumente. Za besplatnu provjeru i ostale slobodno dostupne alate primjenjuje se kao dio pravila koja Uvjeti korištenja utvrđuju za te alate. Ako je ova stranica u suprotnosti s Uvjetima korištenja, prednost imaju Uvjeti korištenja. Primjeri („kao što je“, „primjerice“) ilustriraju pravilo; niti ga proširuju niti ograničavaju.

1. Čemu formexposed služi

formexposed provjerava je li obrazac za kontakt zaštićen od automatizirane neželjene pošte, radi li pouzdano i postupa li pažljivo s podacima. Osobito je dopušteno:

  • provjeravati i nadzirati vlastito web-mjesto ili web-mjesto klijenta te rezultate upotrebljavati za njegovu zaštitu;
  • upotrebljavati besplatnu provjeru bez računa kako biste dobili prvi dojam, samo uz čitanje, o bilo kojem javno dostupnom web-mjestu – onako kako ga vidi posjetitelj;
  • kao agencija u paketu Business pasivno provjeriti web-mjesto potencijalnog klijenta i nalaze na zakonit način staviti na raspolaganje operateru (vidjeti odjeljak 3.5);
  • dijeliti izvješća s osobama koje su odgovorne za web-mjesto ili se o njemu brinu;
  • upotrebljavati API, dodatak i proširenja u okviru njihove dokumentacije i ograničenja;
  • prikazivati značku na domeni za koju je izdana.

Mjerilo je jednostavno: formexposed treba pomoći operaterima web-mjesta da zaštite vlastite obrasce. Ništa što šteti trećoj strani koja na to nije pristala nije dio toga.

2. Što formexposed namjerno ne može

Kako usluga ne bi bila korisna kao alat za napad, ograničili smo je. Ta ograničenja vrijede za sve korisnike i korisnici ih ne mogu otključati:

  • Bez dokaza kontrole nad domenom ondje se ništa ne šalje; jedine su iznimke vlastite testne i demo domene usluge formexposed, koje provjeravamo interno. Besplatna provjera, provjera potencijalnih klijenata i naša studija čitaju samo ono što vidi posjetitelj.
  • Čak i na potvrđenim domenama šaljemo samo prepoznatom općem obrascu za kontakt, najviše pet označenih probnih slanja po provjeri. Nikada ne šaljemo obrasce za narudžbu, rezervaciju, prijavu, registraciju, newsletter, podršku, plaćanje ili prijenos datoteka, obrasce s obveznim podacima kao što su broj telefona ili poštanska adresa ni obrasce na web-mjestima koja prema domeni ili naslovu stranice prepoznajemo kao tijelo javne vlasti, sud, sveučilište, školu ili zdravstvenu ustanovu.
  • Provjera ubacivanja zaglavlja (header injection) čisto je prepoznavanje: probna vrijednost nikada ne sadrži stvarnog primatelja. Provjera valjanosti e-pošte upotrebljava samo adresu koja završava na .invalid, a koja ne može postojati.
  • Ne rješavamo CAPTCHA-e. Na potvrđenim domenama samo provjeravamo prihvaća li obrazac slanje bez CAPTCHA tokena ili s izmišljenim tokenom. Ako obrazac za prijavu za skeniranje iza prijave sadrži CAPTCHA-u, provjera se zaustavlja.
  • Alat za pretraživanje dohvaća samo javne adrese preko uobičajenih web-priključaka. Interne mreže, lokalne adrese i ostali priključci blokirani su, uključujući preusmjeravanja i ugrađeni sadržaj.
  • Traženje izloženih datoteka (primjerice zaboravljene konfiguracijske datoteke) provodi se samo za potvrđene domene jer je dohvaćanje takvih putanja na web-mjestima trećih strana jednako napadu.

Ta ograničenja opisuju kako je usluga izgrađena. Skener na temelju obilježja stranice kao što su nazivi polja, oznake, domena i naslov stranice prepoznaje je li obrazac opći obrazac za kontakt i pripada li web-mjesto nekoj od navedenih ustanova; u pojedinačnim slučajevima to prepoznavanje može biti pogrešno. Opis stoga nije jamstvo Korisnicima ni trećim stranama da određeni obrazac nikada neće biti obuhvaćen. Tko ne želi da se njegovo web-mjesto provjerava, može ga isključiti putem opt-outa (odjeljak 6.1).

3. Što je zabranjeno

3.1 Ispitivanje ili napadanje web-mjesta trećih strana

  • Upotreba usluge formexposed za pronalaženje ranjivosti na web-mjestima trećih strana radi njihova napadanja, preopterećivanja ili iskorištavanja – primjerice namjerno zatrpavanje nezaštićenog obrasca neželjenom poštom.
  • Prosljeđivanje rezultata, izvješća ili snimaka zaslona web-mjesta treće strane osobama koje ih žele upotrijebiti za napad.
  • Upotreba usluge protiv web-mjesta čiji ju je operater očito isključio, primjerice prelaskom na drukčiji zapis domene.

Tko bez ovlaštenja špijunira ili napada tuđe sustave, može time počiniti i kazneno djelo (u Poljskoj, primjerice, prema čl. 267. do 269b poljskog Kaznenog zakona (Kodeks karny), u Njemačkoj, primjerice, prema §§ 202a do 202d i § 303b StGB-a, njemačkog Kaznenog zakonika). Činjenica da informacije potječu iz izvješća usluge formexposed ništa ne mijenja.

3.2 Zaobilaženje ograničenja i zaštitnih mjera

  • Zaobilaženje ograničenja besplatne provjere, primjerice s pomoću mnogo sesija preglednika, mijenjanja IP adresa, proxyja, lanaca VPN-ova ili više računa.
  • Automatizirano pokretanje besplatne provjere, provjere zaglavlja ili obrasca za opt-out. Za automatizaciju postoji API.
  • Zaobilaženje reCAPTCHA-e, provjere vremena i ostalih zaštitnih mjera naših vlastitih obrazaca.
  • Zaobilaženje ograničenja paketa raspodjelom upotrebe na više besplatnih računa.

3.3 Pribavljanje potvrde prijevarom

  • Potvrđivanje domene čiji niste ni operater ni osoba koju je operater angažirao – čak i ako tehnički imate pristup DNS-u, poslužitelju ili CMS-u, primjerice kao bivši pružatelj usluga, pružatelj usluga smještaja ili zaposlenik.
  • Pružanje dokaza putem sadržaja treće strane, primjerice putem funkcije komentiranja ili područja za prijenos datoteka na web-mjestu treće strane u koje svatko može pisati.
  • Zadržavanje domene u računu nakon prestanka ovlaštenja. Kada angažman završi, Korisnik uklanja domenu.

Potvrda je ulaz u aktivne provjere. Tko je pribavi prijevarom, navodi formexposed da šalje podatke obrascu treće strane – to je najteža zlouporaba koju usluga omogućuje i tako je i tretiramo.

3.4 Zlouporaba probnih slanja

  • Upotreba probnih slanja kao kanala za neželjenu poštu ili obavijesti, primjerice potvrđivanjem domene kako bi se njezini primatelji opteretili probnim e-porukama.
  • Pokretanje provjera domene, osobito ručnih provjera, s ciljem opterećivanja primatelja e-poruka iz obrasca umjesto provjere obrasca.
  • Postavljanje probnih slanja na domeni bez osiguravanja da osobe koje ondje primaju i obrađuju e-poruke iz obrasca (primjerice prodajni tim) znaju da mogu stići označena probna slanja.

3.5 Upotreba provjere potencijalnih klijenata za nezatraženo oglašavanje

Provjera potencijalnih klijenata omogućuje agenciji da pasivno provjeri web-mjesto mogućeg klijenta. Mi operateru ne pišemo; agencija sama prosljeđuje poveznicu. Kako to čini, njezina je stvar i njezina odgovornost. Zabranjeno je nalaze upotrebljavati za oglašavanje koje zakon ne dopušta bez prethodne privole. To osobito uključuje:

  • nezatražene e-poruke s nalazima trgovačkim društvima ili osobama koje nisu dale privolu (u Poljskoj čl. 398. poljskog Zakona o elektroničkim komunikacijama (Prawo komunikacji elektronicznej, PKE); u Njemačkoj § 7 UWG-a, njemačkog Zakona o suzbijanju nepoštenog tržišnog natjecanja – u objema zemljama to vrijedi i za poduzetnike);
  • nezatražene oglašivačke pozive, ako mjerodavno pravo za njih zahtijeva privolu;
  • poruke koje nalaze upotrebljavaju za stvaranje pritiska, izazivanje straha ili stvaranje dojma da je formexposed provjerio web-mjesto u ime nekog tijela ili operatera.

I dalje je dopušteno pokazati nalaze operateru u razgovoru koji je operater zatražio te mu ih poslati ako je pristao na njihovo primanje ili ako pravo mjerodavno za obraćanje izričito dopušta slanje bez privole. Agencija sama provjerava je li to slučaj; činjenica da s operaterom surađuje na nekom drugom poslu sama po sebi nije dovoljna.

3.6 Zlouporaba izvješća, API-ja, dodatka i značke

  • Sustavno prikupljanje izvješća, pogađanje ili isprobavanje adresa izvješća ili dohvaćanje izvješća u velikom broju radi gomilanja podataka o web-mjestima trećih strana.
  • Objavljivanje izvješća o web-mjestima trećih strana kako bi se njihovi operateri izložili.
  • Prosljeđivanje API ključeva, tajni dodatka ili pristupnih podataka, zaobilaženje ograničenja API-ja ili njegova upotreba za domene trećih strana.
  • Mijenjanje ili oponašanje značke, njezino prikazivanje na domeni koja nije ona za koju je izdana ili njezina upotreba za tvrdnju o certifikaciji koju formexposed ne dodjeljuje. Značka prikazuje „zaštićeno“ samo dok je domena potvrđena, nadzor je aktivan, a posljednja provjera nedavna i povoljna; inače prikazuje neutralno „Provjera obrasca za kontakt“. Samostalno izrađena grafika s istom tvrdnjom obmanjuje posjetitelje.
  • Pohranjivanje pristupnih podataka za skeniranje iza prijave za račun koji nije posebno izrađen kao testni račun ili za web-mjesto treće strane.

4. Kako formexposed sprječava i otkriva zlouporabu

Sljedeće su mjere provedene u kodu. Točne pragove ne objavljujemo jer se mijenjaju i jer bi olakšali zlouporabu.

4.1 Besplatna provjera

  • Sigurnosni prekidač. Besplatnu provjeru možemo pauzirati u bilo kojem trenutku. To ne utječe na opt-out, koji radi i tijekom pauze.
  • reCAPTCHA za provjeru, provjeru zaglavlja i opt-out, s zasebnim pragovima po obrascu, uz polje zamke i provjeru vremena u tim obrascima.
  • Ograničenja po IP adresi, po sesiji i po danu. Prihvaćene provjere se broje. Ukupno dnevno ograničenje štiti od valova.
  • Mnogo domena s jedne adrese. Tko u kratkom vremenu s jedne IP adrese pokuša provjeriti mnogo različitih domena, bit će blokiran. Ovdje se broji svaki pokušaj, uključujući odbijeni: to je tipičan obrazac kojim netko upotrebljava formexposed za ispitivanje tuđih web-mjesta.
  • Jedna domena tjedno. Tko unutar tjedna ponovno unese domenu, vidi postojeće izvješće; domena se ne provjerava ponovno.
  • Vrlo nove domene i domene čija se starost ne može utvrditi ne provjeravaju se bez računa. Često se registriraju radi prijevare.
  • Samo javni ciljevi. Naziv koji upućuje na internu ili rezerviranu adresu odbija se – prije posla i ponovno pri svakom pojedinom zahtjevu alata za pretraživanje.

4.2 Praćenje

Upadljive obrasce – mnogo domena s jedne adrese, mnogo zahtjeva u nekoliko minuta, mnogo odbijenih pokušaja u jednoj sesiji, nakupine opt-outova iz jedne zemlje, dosezanje dnevnog ograničenja – bilježimo kao nepravilnost. Nova nepravilnost pokreće obavijest nama, bez domene i bez IP adrese; pojedinosti vidimo samo u administracijskom području. Koje podatke za to pohranjujemo i koliko dugo, navedeno je u Politici privatnosti.

4.3 Potvrda kao ulaz

Aktivne provjere, nadzor, skeniranje iza prijave, putovi kroz preglednik i traženje izloženih datoteka za korisnike se provode samo za domene za koje je pružen dokaz kontrole: DNS zapisom, meta oznakom, datotekom na poslužitelju ili putem dodatka. Prije svakog posla skener sam ponovno provjerava je li domena označena kao potvrđena; ako nije, aktivna provjera vraća se na provjeru samo uz čitanje, a put kroz preglednik ne provodi se. Aktivne provjere mogu se isključiti i za cijelu uslugu.

4.4 Probna slanja

Svako probno slanje označeno je: u imenu pošiljatelja „FormExposed Security Scanner“, u predmetu „[formexposed.com] Automated security test — no action required“ i u tekstu uputom na stranicu o FormExposedBotu, na opt-out te ID-om skeniranja. Jezik ovisi o ciljnoj stranici (njemački, engleski ili poljski). Po provjeri najviše pet slanja odlazi jednom obrascu. Skener se nakon tog broja zaustavlja. Ostala obvezna polja ispunjava tekstom „FormExposed security test“; označava potvrdne okvire bez kojih se obrazac ne može poslati, primjerice za privolu. Oznaka pokazuje da iza toga ne stoji osoba ni izjava osobe.

4.5 Alat za pretraživanje

FormExposedBot predstavlja se vlastitim korisničkim agentom (user-agent), prije svake provjere čita robots.txt i ne provodi provjeru ako Disallow za njega ili za sve programe obuhvaća početnu stranicu; blokirane podputanje trenutačno ne poštuje pojedinačno. Lagani zahtjevi bez preglednika, kao što su puls obrasca ili provjera zaglavlja, ne čitaju robots.txt. Ne provjerava domene s našeg popisa isključenja (opt-out) ni njihovu inačicu s www, čak ni u ime korisnika koji plaćaju i imaju potvrđenu domenu; njihov tekući nadzor završava sa sljedećom predviđenom provjerom. Pojedinosti se nalaze na stranici o FormExposedBotu.

5. Posljedice povrede

Reagiramo razmjerno: biramo najblažu mjeru kojom se zaustavlja povreda i sprječava daljnja šteta trećim stranama i usluzi, ograničavamo je na dotični račun, domenu ili funkciju i ukidamo je čim prestane razlog za nju. Moguće mjere su:

  • prekid pojedinačnih provjera i privremeno blokiranje IP adresa ili sesija;
  • uklanjanje domene iz računa, opoziv njezine potvrde ili njezino stavljanje na popis isključenja;
  • blokiranje pojedinačnih funkcija, kao što su aktivne provjere, provjera potencijalnih klijenata, API ili značka;
  • blokiranje računa i raskid ugovora iz opravdanog razloga, kako je predviđeno Uvjetima korištenja;
  • zahtijevanje naknade štete u skladu sa zakonskim odredbama te, u mjeri u kojoj je to zakonski dopušteno, obavješćivanje pogođenih operatera web-mjesta, tijela kaznenog progona ili CERT Polska ako postoje konkretne naznake kaznenog djela ili napada na treće strane.

Automatska ograničenja besplatne provjere i naših vlastitih obrazaca (odjeljak 4.1) nisu mjera protiv određene osobe. Vrijede za sve prema fiksnim pravilima i prestaju istekom odgovarajućeg razdoblja ili čim riješimo nepravilnost.

Prethodno saslušanje. Prije nego što Korisniku blokiramo račun, domenu ili funkciju, uklonimo domenu iz njegova računa, opozovemo njezinu potvrdu ili raskinemo ugovor, obavješćujemo Korisnika u tekstualnom obliku koje ponašanje smatramo spornim, na koje se pravilo ove stranice ili Uvjeta korištenja pozivamo i koju mjeru razmatramo. Korisnik se može očitovati ili otkloniti povredu u roku od sedam dana; tek tada odlučujemo. Prije raskida iz opravdanog razloga umjesto toga vrijedi dulji rok za otklanjanje koji za to predviđaju Uvjeti korištenja; blokada zbog neplaćanja uređena je isključivo Uvjetima korištenja.

Hitni slučajevi. Bez prethodnog saslušanja postupamo samo ako bi čekanje ozbiljno ugrozilo treće strane ili uslugu, osobito ako postoje konkretne naznake da je potvrda pribavljena prijevarom, u slučaju provjera ili probnih slanja protivno izraženoj volji operatera web-mjesta, u slučaju napada na treće strane putem usluge, u slučaju obavijesti koja upućuje na ozbiljnu povredu zakona sadržajem na klijentskom portalu ili u izvješću pod tuđom robnom markom (white-label) ili ako to zahtijeva tijelo, sud ili zakon. U tom slučaju mjeru najprije ograničavamo na dotičnu domenu, funkciju ili sadržaj, o njoj obavješćujemo Korisnika, uz obrazloženje, u tekstualnom obliku bez nepotrebnog odgađanja, a najkasnije sljedećeg radnog dana, ako to ne bi osujetilo njezinu svrhu i nije zakonom zabranjeno, a saslušanje provodimo naknadno.

Prigovori. Tko smatra da mjera nije opravdana, uključujući osobe bez računa, može joj prigovoriti u tekstualnom obliku na contact@lukaswojcik.com. Prigovor ispitujemo i odgovaramo u roku od 14 dana, uz obrazloženje; ako je opravdan, mjeru odmah ukidamo. Postupak iz odjeljka Pritužbe i put pred sudom ostaju otvoreni. Ako nakon obavijesti o nezakonitom sadržaju ograničimo sadržaj Korisnika, dodatno dostavljamo obrazloženje u skladu s čl. 17. Uredbe (EU) 2022/2065 (Akt o digitalnim uslugama, DSA) i navodimo ta pravna sredstva. Utječe li blokada na obvezu plaćanja i kada je moguć raskid iz opravdanog razloga, uređeno je Uvjetima korištenja.

6. Ako ste pogođeni

6.1 Ne želite da formexposed provjerava Vaše web-mjesto

Unesite svoju domenu na stranici Isključite svoju domenu ili u svojoj datoteci robots.txt blokirajte FormExposedBot za početnu stranicu. Oboje djeluje, a da nam se ne morate obratiti, za svaku provjeru koja započne nakon toga. Tekući nadzor u korisničkom računu završava sa sljedećom predviđenom provjerom; do tada još mogu stizati lagani zahtjevi kao što je puls obrasca, a ti lagani zahtjevi ne čitaju robots.txt. Ako želite da i oni prestanu ranije, pišite nam i Vi. Što je točno isključeno, opisano je na stranici za opt-out.

6.2 Primili ste probno slanje koje niste očekivali

Probna slanja odlaze samo na domene za koje je Korisnik pružio dokaz kontrole te na vlastite testne i demo domene usluge formexposed. Provode se na poticaj tog Korisnika. Ako to niste Vi dogovorili, možda je domenu dodala Vaša agencija, Vaš pružatelj usluga smještaja ili kolega – ili je netko pribavio potvrdu prijevarom. Najbrži način da zaustavite daljnja probna slanja jest da to sami učinite putem opt-outa: probna slanja odvijaju se samo tijekom provjere, a nakon unosa ne započinje nijedna daljnja provjera domene. Pišite nam i na contact@lukaswojcik.com i navedite ID skeniranja iz poruke. Provjerit ćemo tko je potvrdio domenu, staviti domenu na popis isključenja do razjašnjenja ako to već niste učinili i zatražiti od Korisnika da dokaže svoje ovlaštenje. Tko ju je potvrdio, reći ćemo Vam samo u mjeri u kojoj to dopušta propis o zaštiti podataka.

6.3 Sumnjate da netko upotrebljava formexposed protiv Vas

Pišite na contact@lukaswojcik.com, po mogućnosti s vremenom, domenom i – iz zapisa Vašeg poslužitelja – zahtjevima s korisničkim agentom FormExposedBot. Možete nam se obratiti i putem stranice za kontakt. Potvrdit ćemo primitak i obavijestiti Vas što smo poduzeli. Na isti način možete prijaviti nezakonit sadržaj na klijentskom portalu ili u izvješću pod tuđom robnom markom (white-label); što takva obavijest prema čl. 16. DSA treba sadržavati, navedeno je u Impresumu. Ondje je navedena i naša kontaktna točka prema čl. 11. i 12. DSA.

6.4 Pronašli ste sigurnosnu ranjivost u samoj usluzi formexposed

Prijavite je putem naše stranice za prijavu ranjivosti (također na /.well-known/security.txt). Ondje je objašnjeno kako postupamo s prijavama i što obećavamo istraživačima. Pritom ne testirajte na web-mjestima trećih strana, ni putem usluge formexposed.

7. Suradnja s tijelima

Surađujemo s tijelima kaznenog progona, nadzornim tijelima i tijelima kao što je CERT Polska kada je riječ o zlouporabi usluge ili napadima na treće strane. Podatke predajemo samo ako postoji pravna osnova, ako je tijelo koje ih traži nadležno i ako je zahtjev u propisanom obliku. Svaki zahtjev ispitujemo pojedinačno i predajemo samo ono što on stvarno zahtijeva. Pogođene Korisnike obavješćujemo, osim ako to zakon ili tijelo zabranjuju.

Kako bismo mogli davati informacije tijelima, ne pohranjujemo više nego što je potrebno za rad i sprječavanje zlouporabe. Ono što je izbrisano nakon isteka rokova navedenih u Politici privatnosti ne možemo ni predati.

8. Izmjene

Ovu stranicu ažuriramo kada se promijeni usluga ili obrasci zlouporabe. Za Korisnike vrijede pravila o izmjenama iz Uvjeta korištenja; nove zabrane i strože posljedice za njih vrijede tek nakon tog postupka. Ponašanje ocjenjujemo prema verziji koja je vrijedila u vrijeme ponašanja. Pitanja o ovoj stranici: contact@lukaswojcik.com.