O FormExposedBotu

Posljednje ažuriranje: 16. listopada 2026.

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Token u robots.txt: FormExposedBot

Što je FormExposedBot

FormExposedBot je crawler usluge formexposed. formexposed provjerava jesu li kontaktni obrasci zaštićeni od automatiziranog spama i rade li pouzdano. Ako ste ovaj user-agent pronašli u zapisnicima svojeg poslužitelja, netko je pokrenuo provjeru vaše web-stranice:

• posjetitelj usluge formexposed koji je unio vašu domenu u besplatnu provjeru – bez korisničkog računa, samo čitanjem;
• klijent koji ima vašu domenu u svojem računu i navodi da vodi ili održava web-stranicu, ili netko tko je instalirao naš dodatak na vašu web-stranicu;
• agencija koja je dala provjeriti vašu web-stranicu, samo čitanjem, kao potencijalnog klijenta;
• mi sami, za studiju iz koje objavljujemo samo zbirne brojke bez naziva web-stranica;
• netko tko je unio vašu početnu stranicu u našu besplatnu provjeru zaglavlja (samo zaglavlja, bez preglednika).

Na zahtjev ćemo vam reći o kojoj se od tih vrsta provjere radilo; tko ju je pokrenuo, samo u mjeri u kojoj to dopušta propis o zaštiti podataka. Pritom djelujemo na poticaj te osobe; za domene za koje je klijent dostavio dokaz kontrole, u ime tog klijenta.

Što se događa tijekom provjere

• Prije provjere bot čita vašu datoteku robots.txt (vidi niže).
• Učitava vašu početnu stranicu i do sedam daljnjih stranica na istom hostu (s www. ili bez njega, bez drugih poddomena), ukupno najviše osam. Prednost imaju stranice s riječima kao što su kontakt, impresum ili podrška. Preskače stranice za prijavu, korisnički račun, košaricu i naplatu, feedove, PDF-ove i slike.
• Upotrebljava pravi headless preglednik s uključenim JavaScriptom i učitava stranice jednu za drugom, ne paralelno. Stranica smije trajati najviše 20 sekundi; nakon otprilike tri minute provjera se zaustavlja.
• Čita obrasce: nazive i vrste polja, oznake, obvezna polja, ugrađene CAPTCHA-e, skrivene zamke, tokene i zaglavlja. Tijekom te provjere samo čitanjem ništa ne unosi.
• Za najviše tri stranice s obrascem učitava stranicu drugi put i u banneru za kolačiće klikne „Odbij” – nikada „Prihvati”. Tako vidimo radi li obrazac i nakon odbijanja.
• Za najviše tri stranice s obrascem učitava stranicu u prikazu za mobitel, bez klikanja. User-agent ostaje isti; ne pretvaramo se da smo pametni telefon.
• Vrstu obrasca utvrđuje pravilima, a gdje ona nisu dovoljna, jezičnim modelom koji radi na našem vlastitom poslužitelju. Pritom ništa ne napušta naše poslužitelje.

Bez dokaza kontrole nad domenom (niže) FormExposedBot preuzima samo stranice koje su javno dostupne bez prijave i ništa ne šalje. Ne zaobilazi nikakvu zaštitu pristupa, ne pogađa podatke za prijavu i ne rješava CAPTCHA-e. Sve što prelazi te okvire – testne prijave, traženje izloženih datoteka i provjera iza prijave s testnim računom – provodi se samo za domene s tim dokazom ili za vlastite testne i demo domene usluge formexposed.

Putem besplatne provjere na našoj web-stranici istu domenu provjeravamo najviše jednom svakih sedam dana; tko je ponovno unese, vidi postojeće izvješće. Klijenti mogu ručno pokrenuti provjeru domena u svojem računu, uz vrijeme čekanja; domene s dokazom kontrole provjeravaju se i redovito, učestalošću svojeg paketa, potpuna provjera najviše jednom dnevno. Laki zahtjevi bez preglednika (niže) dolaze češće.

Testne prijave samo za verificirane domene

Za klijente se nešto šalje samo ako je klijent dokazao da je ovlašten kontrolirati domenu (DNS zapis, meta oznaka, datoteka ili dodatak); bez tog dokaza aktivno provjeravamo samo vlastite testne i demo domene. Čak i tada:

• samo jedan obrazac po provjeri i samo onaj koji je pouzdano prepoznat kao opći kontaktni obrazac; jezični model nikada ne može odobriti slanje obrasca;
• najviše pet slanja po provjeri, primjerice bez odgovora na CAPTCHA-u, s ispunjenim poljem-zamkom ili s izmijenjenim tokenom;
• nikada obrasci za narudžbu, rezervaciju, prijavu, registraciju, newsletter, podršku, plaćanje ili prijenos datoteka, nikada obrasci s obveznim poljima za telefon, poštansku adresu ili podatke o tvrtki, nikada web-stranice koje prema domeni ili naslovu stranice prepoznamo kao javno tijelo, sud, sveučilište, školu ili zdravstvenu ustanovu.

Bot prepoznaje vrstu obrasca i vrstu web-stranice prema obilježjima stranice; u pojedinačnim slučajevima to prepoznavanje može biti pogrešno. Popis opisuje kako je bot izgrađen i nije jamstvo. Ako ne želite testne prijave, isključite domenu (niže): tada se neće pokrenuti nijedna provjera u kojoj bi se moglo nešto poslati.

Svako slanje je označeno. Ime pošiljatelja „FormExposed Security Scanner”, adresa pošiljatelja dummy@formexposed.com, predmet „[formexposed.com] Automated security test — no action required”. Tekst je na jeziku vaše stranice (njemački, engleski ili poljski); na engleskom:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

Rečenica „No data was stored” (nisu pohranjeni nikakvi podaci) preširoko je formulirana. Točno je sljedeće: pritom ne pohranjujemo ništa od vaših posjetitelja ni iz vašeg poštanskog sandučića. Kako bismo ocijenili test, ipak pohranjujemo odgovor vašeg poslužitelja na slanje, i to statusni kod, prvih 300 znakova stranice odgovora i njezinu snimku zaslona (vidi „Što se pohranjuje”).

Ostala obvezna polja bot ispunjava tekstom „FormExposed security test”. Označava potvrdne okvire bez kojih se obrazac ne može poslati, primjerice za privolu. Oznaka pokazuje da iza toga ne stoji nijedna osoba ni izjava neke osobe.

Provjera ubacivanja zaglavlja umeće samo bezopasno zaglavlje X-FormExposed-Injection-Test, nikada primatelja. Provjera valjanosti adrese upotrebljava adresu pod .invalid, koja ne može postojati.

Daljnji zahtjevi za klijente

Za verificirane domene u računu klijenta na zahtjev klijenta dodaju se sljedeći zahtjevi:

• Putanje u pregledniku: preglednik (Chromium ili WebKit) otvara stranicu s obrascem koju je odabrao klijent u veličini mobitela i provjerava pojavljuje li se obrazac i može li se njime upravljati sve do gumba za slanje; pritom obvezna polja ispunjava testnim vrijednostima koje ne napuštaju preglednik. Šalje samo zahtjeve GET i HEAD; slanje obrasca tehnički je blokirano.
• Skeniranje iza prijave: samo s testnim računom koji je operater web-stranice sam izradio, najviše pet stranica, bez slanja, bez snimki zaslona, nikada adrese za odjavu, brisanje ili otkazivanje. Ako je na prijavi CAPTCHA, bot se zaustavlja.
• Laki zahtjevi bez preglednika: puls obrasca (do tri stranice s obrascem, svakih 10, 15 ili 30 minuta, ovisno o paketu), provjera dokaza kontrole, provjera zaglavlja i traženje izloženih datoteka. Upotrebljavaju isti user-agent s dodatkom kao što je pulse, ownership-verification, headers ili exposed-files.

Osim toga, svatko može našom besplatnom provjerom zaglavlja dohvatiti zaglavlja vaše početne stranice: po jedan zahtjev putem https i http na vašu početnu stranicu, uz eventualna preusmjeravanja unutar vaše domene, bez preglednika i bez obrasca.

Što se pohranjuje

Samo ono što opisuje nalaz: adrese i naslovi provjerenih stranica, struktura obrazaca (nazivi polja, vrste, oznake i slično, bez vrijednosti polja; početke unaprijed ispunjenih skrivenih polja do 24 znaka i atributa data- do 60 znakova bot čita samo tijekom provjere i ne pohranjuje ih), otkrivene zaštitne mjere, zaglavlja, hostovi ugrađenih usluga, kontrolni zbrojevi skripti (ne njihov sadržaj; za ugrađene skripte i prvih 80 znakova, s identifikatorima učinjenima neprepoznatljivima), nazivi postavljenih kolačića, snimke zaslona vidljivog dijela početne stranice i obrazaca te, nakon testne prijave, stranice odgovora; iz tog odgovora i statusni kod te prvih 300 znakova. Te snimke zaslona iz provjere nisu redigirane; prikazuju ono što se vidi na javnoj stranici. Samo putanje u pregledniku stvaraju malu sliku obrasca s prekrivenim poljima za unos. Ako obrazac sadrži adresu primatelja, pohranjujemo samo njezinu domenu.

Odakle dolaze zahtjevi

FormExposedBot radi na našim vlastitim poslužiteljima u Poljskoj. IP adrese ne objavljujemo jer se mogu promijeniti. Ako želite znati je li zahtjev doista došao od nas, pišite nam uz vrijeme i IP adresu iz svojeg zapisnika; reći ćemo vam je li došao od nas. Za unakrsnu provjeru prije upozorenja o ispadu može se dodati druga lokacija kod drugog pružatelja; i ona upotrebljava user-agent FormExposedBot.

Kako isključiti svoju domenu

robots.txt:

User-agent: FormExposedBot
Disallow: /

Bot u vašoj datoteci robots.txt najprije traži grupu za FormExposedBot, a inače grupu za sve (*). Ako Disallow obuhvaća početnu stranicu, provjera se ne provodi. Ako vaš poslužitelj na zahtjev za robots.txt odgovori pogreškom poslužitelja ili uopće ne odgovori, iz opreza također ne provjeravamo; ako datoteka ne postoji (404), web-stranica se smatra dopuštenom. Pojedinačne blokirane poddirektorije trenutačno ne ocjenjujemo zasebno – ako ne želite da vas uopće provjeravamo, blokirajte početnu stranicu. Laki zahtjevi bez preglednika i provjera zaglavlja ne čitaju robots.txt.

Opt-out: unesite svoju domenu na stranici Isključite svoju domenu. Isključenje vrijedi za domenu i njezinu varijantu s www., ne za druge poddomene. Djeluje za svaku provjeru koja započne nakon unosa, trajno, i prema klijentima koji plaćaju i imaju verificiranu domenu, te obuhvaća i provjeru zaglavlja. Tekući nadzor u računu klijenta završava sljedećom provjerom koja je na redu; do tada još mogu stizati laki zahtjevi kao što je puls obrasca. Ako želite da i oni prestanu ranije, pišite nam.

Zaštita podataka

Voditelj obrade je LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poljska, contact@lukaswojcik.com. Kada klijent provjerava vlastitu domenu, djelujemo u njegovo ime.

• Podaci i izvor: osobne podatke prikupljamo samo u mjeri u kojoj se pojavljuju na provjerenim stranicama vaše web-stranice i postanu vidljivi u adresi stranice, naslovu stranice, oznaci obrasca ili na snimci zaslona, primjerice ime u impresumu ili pokraj obrasca. Izvor je vaša web-stranica. Takve podatke ne tražimo.
• Svrha i pravna osnova: sigurnosne provjere obrazaca; za besplatnu provjeru, provjeru potencijalnog klijenta i studiju, na temelju našeg legitimnog interesa i interesa naših korisnika (Art. 6(1)(f) OUZP-a).
• Primatelji: onaj tko je pokrenuo izvješće ili ima poveznicu na njega – poveznica otvara izvješće bez prijave; za domene u računu klijenta i odredišta upozorenja koja je klijent odabrao; iz studije samo zbrojevi. Nije uključena nikakva vanjska usluga umjetne inteligencije.
• Razdoblje pohrane: izvješće bez računa 30 dana, provjera potencijalnog klijenta 90 dana, provjere u računu klijenta do 13 mjeseci, najnoviji rezultat za svaku domenu sve dok domena postoji, studija do objave.
• Vaša prava: pristup, ispravak, brisanje, ograničenje obrade i prigovor prema Art. 21 OUZP-a – najbrže putem opt-outa – te pravo na podnošenje pritužbe nadzornom tijelu, za nas predsjedniku Ureda za zaštitu osobnih podataka (Prezes Urzędu Ochrony Danych Osobowych) u Varšavi.

Sve ostalo nalazi se u Pravilima privatnosti. Kako postupamo sa zlouporabom opisano je u dokumentu Prihvatljiva upotreba i zlouporaba.

Kontakt

Pitanja ili pritužbe: contact@lukaswojcik.com ili putem stranice za kontakt. Navedite svoju domenu i, ako je dostupan, ID skeniranja ili poveznicu na izvješće. Sigurnosne ranjivosti u samoj usluzi formexposed prijavite putem naše stranice za prijavu ranjivosti.