Uso consentito e abusi

Il presente documento è pubblicato in più lingue. In caso di discrepanze tra le versioni linguistiche, fa fede la versione polacca.

Versione 1.0 · Ultimo aggiornamento: 16 ottobre 2026

formexposed esamina siti web di terzi e, sui domini verificati, invia invii di prova ai moduli di contatto. Uno strumento di questo tipo può anche essere rivolto contro altri. Questa pagina stabilisce a che cosa serve formexposed, che cosa è vietato, come limitiamo tecnicamente gli abusi e che cosa succede se qualcuno viola le regole. Si applica a chiunque utilizzi formexposed: sia ai clienti con un account sia ai visitatori che utilizzano la verifica gratuita senza account.

Il fornitore è LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polonia. Per i Clienti, questa pagina fa parte del contratto: le Condizioni di servizio la annoverano tra i documenti contrattuali. Per la verifica gratuita e gli altri strumenti liberamente accessibili, si applica come parte delle regole che le Condizioni di servizio stabiliscono per tali strumenti. In caso di contrasto tra questa pagina e le Condizioni di servizio, prevalgono le Condizioni di servizio. Gli esempi (“come”, “ad esempio”) illustrano una regola; non la estendono né la limitano.

1. A che cosa serve formexposed

formexposed verifica se un modulo di contatto è protetto dallo spam automatizzato, se funziona in modo affidabile e se tratta i dati con cura. In particolare, è consentito:

• verificare e monitorare il proprio sito web o il sito web di un cliente e utilizzare i risultati per metterlo in sicurezza;
• utilizzare la verifica gratuita senza account per farsi una prima impressione, in sola lettura, di qualsiasi sito web pubblicamente accessibile – così come lo vede un visitatore;
• in quanto agenzia con il piano Business, far verificare passivamente il sito web di un potenziale cliente e mettere i rilievi a disposizione del gestore in modo lecito (vedi sezione 3.5);
• condividere i report con le persone responsabili del sito web o che se ne occupano;
• utilizzare la API, il plugin e le estensioni nel rispetto della relativa documentazione e dei relativi limiti;
• mostrare il badge sul dominio per il quale è stato rilasciato.

Il criterio è semplice: formexposed serve ad aiutare i gestori di siti web a proteggere i propri moduli. Tutto ciò che danneggia un terzo che non vi ha acconsentito non ne fa parte.

2. Che cosa formexposed volutamente non può fare

Affinché il servizio sia inutile come strumento di attacco, lo abbiamo limitato. Questi limiti valgono per tutti gli utenti e non possono essere sbloccati dagli utenti:

• Senza prova di controllo su un dominio, lì non viene inviato nulla; le uniche eccezioni sono i domini di test e demo di formexposed, che verifichiamo internamente. La verifica gratuita, la verifica dei potenziali clienti e il nostro studio leggono solo ciò che vede un visitatore.
• Anche sui domini verificati, inviamo solo a un modulo di contatto generico riconosciuto, al massimo cinque invii di prova contrassegnati per verifica. Non inviamo mai a moduli di ordine, prenotazione, login, registrazione, newsletter, assistenza, pagamento o caricamento, a moduli con dati obbligatori come numero di telefono o indirizzo postale, né a moduli su siti web che riconosciamo dal dominio o dal titolo della pagina come un’autorità pubblica, un tribunale, un’università, una scuola o una struttura sanitaria.
• Il controllo dell’header injection è puro rilevamento: il valore di prova non contiene mai un destinatario reale. Il controllo della validazione e-mail utilizza solo un indirizzo che termina in .invalid, che non può esistere.
• Non risolviamo CAPTCHA. Sui domini verificati, controlliamo soltanto se un modulo accetta un invio senza token CAPTCHA o con uno inventato. Se il modulo di login per la scansione dietro il login ha un CAPTCHA, la verifica si interrompe.
• Il crawler richiede solo indirizzi pubblici sulle consuete porte web. Reti interne, indirizzi locali e altre porte sono bloccati, anche per i reindirizzamenti e i contenuti incorporati.
• La ricerca di file esposti (come un file di configurazione dimenticato) viene eseguita solo per i domini verificati, perché richiedere tali percorsi su siti web di terzi equivale a un attacco.

Questi limiti descrivono come è costruito il servizio. Lo scanner riconosce se un modulo è un modulo di contatto generico e se un sito web appartiene a una delle istituzioni elencate in base a caratteristiche della pagina come nomi dei campi, etichette, dominio e titolo della pagina; in singoli casi, questo riconoscimento può essere errato. La descrizione non costituisce quindi una garanzia nei confronti dei Clienti o di terzi che un determinato modulo non sarà mai interessato. Chi non desidera che il proprio sito web venga verificato può escluderlo tramite l’opt-out (sezione 6.1).

3. Che cosa è vietato

3.1 Sondare o attaccare siti web di terzi

• Utilizzare formexposed per trovare vulnerabilità in siti web di terzi e poi attaccarli, sovraccaricarli o sfruttarli – ad esempio inondando deliberatamente di spam un modulo non protetto.
• Trasmettere risultati, report o screenshot di un sito web di terzi a persone che intendono utilizzarli per un attacco.
• Utilizzare il servizio contro siti web il cui gestore lo ha manifestamente escluso, ad esempio passando a una diversa grafia del dominio.

Chi spia o attacca sistemi di terzi senza autorizzazione può anche commettere un reato (in Polonia, ad esempio, ai sensi degli Art. 267–269b del codice penale polacco (Kodeks karny), in Germania, ad esempio, ai sensi dei §§ 202a–202d e del § 303b StGB, il codice penale tedesco). Il fatto che le informazioni provengano da un report di formexposed non cambia nulla.

3.2 Aggirare limiti e misure di sicurezza

• Aggirare i limiti della verifica gratuita, ad esempio tramite molte sessioni del browser, indirizzi IP diversi, proxy, catene di VPN o account multipli.
• Interrogare in modo automatizzato la verifica gratuita, il controllo degli header o il modulo di opt-out. Per l’automazione esiste la API.
• Aggirare reCAPTCHA, il controllo dei tempi e le altre misure di protezione dei nostri moduli.
• Aggirare i limiti dei piani ripartendo l’utilizzo su più account gratuiti.

3.3 Ottenere la verifica con l’inganno

• Verificare un dominio di cui non si è né il gestore né incaricati dal gestore – anche se tecnicamente si ha accesso a DNS, server o CMS, ad esempio come ex fornitore di servizi, provider di hosting o dipendente.
• Fornire la prova tramite contenuti di terzi, ad esempio tramite una funzione di commento o un’area di caricamento del sito web di terzi in cui chiunque può scrivere.
• Lasciare un dominio nell’account dopo la cessazione dell’autorizzazione. Al termine dell’incarico, il Cliente rimuove il dominio.

La verifica è la porta d’accesso alle verifiche attive. Chi la ottiene con l’inganno fa sì che formexposed invii dati a un modulo di terzi – è l’abuso più grave che il servizio consente, e lo trattiamo come tale.

3.4 Uso improprio degli invii di prova

• Utilizzare gli invii di prova come canale di spam o di notifica, ad esempio verificando un dominio per gravare i suoi destinatari con e-mail di prova.
• Avviare verifiche di un dominio, in particolare verifiche manuali, con l’obiettivo di gravare il destinatario delle e-mail del modulo anziché verificare il modulo.
• Attivare invii di prova su un dominio senza assicurarsi che le persone che ricevono e gestiscono lì le e-mail del modulo (ad esempio un team commerciale) sappiano che possono arrivare invii di prova contrassegnati.

3.5 Utilizzare la verifica dei potenziali clienti per pubblicità non richiesta

La verifica dei potenziali clienti consente a un’agenzia di far verificare passivamente il sito web di un potenziale cliente. Non scriviamo al gestore; è l’agenzia stessa a trasmettere il link. Come lo faccia è affare suo e sotto la sua responsabilità. È vietato utilizzare i rilievi per pubblicità che la legge non consente senza previo consenso. Ciò comprende in particolare:

• e-mail non richieste con i rilievi inviate a imprese o persone che non hanno dato il loro consenso (in Polonia, Art. 398 della legge polacca sulle comunicazioni elettroniche (Prawo komunikacji elektronicznej, PKE); in Germania, § 7 UWG, la legge tedesca contro la concorrenza sleale – in entrambi i paesi, ciò vale anche nei confronti delle imprese);
• chiamate pubblicitarie non richieste, nella misura in cui il diritto applicabile richieda per esse il consenso;
• messaggi che utilizzano i rilievi per esercitare pressione, alimentare timori o dare l’impressione che formexposed abbia verificato il sito web per conto di un’autorità o del gestore.

Resta consentito mostrare i rilievi al gestore nel corso di un colloquio da lui richiesto e inviarglieli se ha acconsentito a riceverli o se il diritto applicabile al contatto ne consente espressamente l’invio senza consenso. È l’agenzia stessa a verificare se ciò sia il caso; il fatto che collabori con il gestore su un’altra questione non è di per sé sufficiente.

3.6 Uso improprio di report, API, plugin e badge

• Raccogliere sistematicamente report, indovinare o provare indirizzi di report, o recuperare report in grandi quantità al fine di accumulare dati su siti web di terzi.
• Pubblicare report su siti web di terzi per mettere in cattiva luce i loro gestori.
• Trasmettere a terzi chiavi API, segreti del plugin o credenziali, aggirare i limiti della API o utilizzarla per domini di terzi.
• Modificare o imitare il badge, mostrarlo su un dominio diverso da quello per cui è stato rilasciato o utilizzarlo per vantare una certificazione che formexposed non rilascia. Il badge indica “protetto” solo finché il dominio è verificato, il monitoraggio è in corso e l’ultima verifica è recente e positiva; altrimenti mostra la dicitura neutra “Verifica del modulo di contatto”. Un’immagine realizzata in proprio con la stessa affermazione inganna i visitatori.
• Memorizzare credenziali per la scansione dietro il login per un account che non è stato creato appositamente come account di prova, o per un sito web di terzi.

4. Come formexposed previene e rileva gli abusi

Le seguenti misure sono implementate nel codice. Non divulghiamo le soglie esatte, perché cambiano e perché faciliterebbero gli abusi.

4.1 Verifica gratuita

• Interruttore di emergenza. Possiamo sospendere la verifica gratuita in qualsiasi momento. L’opt-out non ne è interessato e funziona anche durante una sospensione.
• reCAPTCHA per la verifica, il controllo degli header e l’opt-out, con soglie separate per ciascun modulo, oltre a un campo trappola e a un controllo dei tempi in questi moduli.
• Limiti per indirizzo IP, per sessione e per giorno. Vengono conteggiate le verifiche accettate. Un limite giornaliero complessivo protegge dalle ondate.
• Molti domini da un unico indirizzo. Chi tenta di verificare molti domini diversi da un unico indirizzo IP in poco tempo viene bloccato. In questo caso conta ogni tentativo, anche quelli respinti: è lo schema tipico con cui qualcuno utilizza formexposed per sondare siti di terzi.
• Un dominio a settimana. Chi inserisce di nuovo un dominio entro una settimana vede il report esistente; il dominio non viene verificato di nuovo.
• Domini molto recenti e domini la cui età non può essere determinata non vengono verificati senza account. Sono spesso registrati a scopo di frode.
• Solo obiettivi pubblici. Un nome che punta a un indirizzo interno o riservato viene respinto – prima del job e di nuovo a ogni singola richiesta del crawler.

4.2 Monitoraggio

Registriamo come anomalia gli schemi sospetti – molti domini da un unico indirizzo, molte richieste in pochi minuti, molti tentativi respinti in una sessione, accumuli di opt-out da un unico paese, il raggiungimento del limite giornaliero. Una nuova anomalia genera una notifica a noi, senza dominio e senza indirizzo IP; i dettagli li vediamo solo nell’area di amministrazione. Quali dati conserviamo a tal fine e per quanto tempo è indicato nell’Informativa sulla privacy.

4.3 La verifica come porta d’accesso

Le verifiche attive, il monitoraggio, la scansione dietro il login, i percorsi nel browser e la ricerca di file esposti vengono eseguiti, per i clienti, solo per i domini per i quali è stata fornita la prova di controllo: tramite record DNS, meta tag, file sul server o tramite il plugin. Prima di ogni job, lo scanner verifica di nuovo autonomamente se il dominio risulta verificato; in caso contrario, una verifica attiva ripiega su quella in sola lettura e un percorso nel browser non viene eseguito. Le verifiche attive possono anche essere disattivate per l’intero servizio.

4.4 Invii di prova

Ogni invio di prova è contrassegnato: nel nome del mittente “FormExposed Security Scanner”, nell’oggetto “[formexposed.com] Automated security test — no action required” e nel testo con un rimando alla pagina su FormExposedBot, all’opt-out e con l’ID della scansione. La lingua dipende dalla pagina di destinazione (tedesco, inglese o polacco). Per ogni verifica, a un singolo modulo vanno al massimo cinque invii. Raggiunto questo numero, lo scanner si ferma. Compila gli altri campi obbligatori con “FormExposed security test”; spunta le caselle senza le quali il modulo non può essere inviato, ad esempio quella del consenso. Il contrassegno mostra che dietro non c’è alcuna persona né alcuna dichiarazione di una persona.

4.5 Il crawler

FormExposedBot si identifica con un proprio user agent, legge robots.txt prima di ogni verifica e non effettua la verifica se un Disallow per esso o per tutti i programmi riguarda la home page; al momento non rispetta singolarmente i sottopercorsi bloccati. Le richieste leggere senza browser, come il polso del modulo o il controllo degli header, non leggono robots.txt. Non verifica i domini presenti nel nostro elenco di esclusione (opt-out) né la loro variante www, nemmeno per conto di clienti paganti con un dominio verificato; il loro monitoraggio in corso termina con la successiva verifica in scadenza. I dettagli sono nella pagina su FormExposedBot.

5. Conseguenze di una violazione

Reagiamo in modo proporzionato: scegliamo la misura più lieve che ponga fine alla violazione ed eviti ulteriori danni a terzi e al servizio, la limitiamo all’account, al dominio o alla funzione interessati e la revochiamo non appena ne viene meno il motivo. Le misure possibili sono:

• interrompere singole verifiche e bloccare temporaneamente indirizzi IP o sessioni;
• rimuovere un dominio da un account, revocarne la verifica o inserirlo nell’elenco di esclusione;
• bloccare singole funzioni, come le verifiche attive, la verifica dei potenziali clienti, la API o il badge;
• bloccare l’account e risolvere il contratto per giusta causa, come previsto dalle Condizioni di servizio;
• chiedere il risarcimento del danno secondo le disposizioni di legge e, nella misura consentita dalla legge, informare i gestori dei siti web interessati, le autorità di contrasto o il CERT Polska in presenza di indizi concreti di un reato o di un attacco a terzi.

I limiti automatici della verifica gratuita e dei nostri moduli (sezione 4.1) non sono una misura nei confronti di una persona specifica. Si applicano a tutti secondo regole fisse e terminano alla scadenza del relativo periodo o non appena abbiamo risolto un’anomalia.

Audizione preventiva. Prima di bloccare l’account, il dominio o una funzione di un Cliente, rimuovere un dominio dal suo account, revocarne la verifica o risolvere il contratto, comunichiamo al Cliente in forma testuale quale condotta contestiamo, su quale regola di questa pagina o delle Condizioni di servizio ci basiamo e quale misura stiamo valutando. Il Cliente può prendere posizione o porre rimedio alla violazione entro sette giorni; solo dopo decidiamo. Prima di una risoluzione per giusta causa si applica invece il termine più lungo per porre rimedio previsto a tal fine dalle Condizioni di servizio; un blocco per mancato pagamento è disciplinato esclusivamente dalle Condizioni di servizio.

Casi urgenti. Agiamo senza audizione preventiva solo se l’attesa metterebbe seriamente a rischio terzi o il servizio, in particolare in presenza di indizi concreti di una verifica ottenuta con l’inganno, in caso di verifiche o invii di prova contro la volontà dichiarata del gestore del sito web, in caso di un attacco a terzi tramite il servizio, in caso di una segnalazione che indichi una grave violazione di legge da parte di contenuti in un portale clienti o in un report white label, oppure se un’autorità, un tribunale o la legge lo impongono. In tal caso, limitiamo inizialmente la misura al dominio, alla funzione o al contenuto interessati, ne informiamo il Cliente, motivandola, in forma testuale senza indebito ritardo e al più tardi il giorno lavorativo successivo, nella misura in cui ciò non ne vanifichi lo scopo e non sia vietato dalla legge, e svolgiamo l’audizione successivamente.

Opposizioni. Chi ritiene ingiustificata una misura, anche senza account, può opporvisi in forma testuale all’indirizzo contact@lukaswojcik.com. Esaminiamo l’opposizione e rispondiamo entro 14 giorni, motivando la risposta; se è fondata, revochiamo immediatamente la misura. Restano aperti la procedura descritta in Reclami e il ricorso all’autorità giudiziaria. Se limitiamo contenuti di un Cliente a seguito di una segnalazione di contenuti illegali, forniamo inoltre una motivazione ai sensi dell’Art. 17 del regolamento (UE) 2022/2065 (regolamento sui servizi digitali, DSA) e indichiamo tali mezzi di ricorso. Se un blocco incida sull’obbligo di pagamento e quando sia possibile una risoluzione per giusta causa è disciplinato dalle Condizioni di servizio.

6. Se è una parte interessata

6.1 Non desidera che formexposed verifichi il Suo sito web

Inserisca il Suo dominio nella pagina Escludere il proprio dominio oppure blocchi FormExposedBot per la home page nel Suo robots.txt. Entrambe le misure hanno effetto, senza che Lei debba contattarci, per ogni verifica avviata successivamente. Un monitoraggio in corso in un account cliente termina con la successiva verifica in scadenza; fino ad allora possono ancora arrivare richieste leggere come il polso del modulo, e queste richieste leggere non leggono il robots.txt. Se desidera che anche queste cessino prima, ci scriva inoltre. Che cosa venga escluso esattamente è descritto nella pagina di opt-out.

6.2 Ha ricevuto un invio di prova che non si aspettava

Gli invii di prova vanno solo ai domini per i quali un Cliente ha fornito la prova di controllo e ai domini di test e demo di formexposed. Avvengono su iniziativa di tale Cliente. Se non lo ha disposto Lei, forse il dominio è stato aggiunto dalla Sua agenzia, dal Suo provider di hosting o da un collega – oppure qualcuno ha ottenuto la verifica con l’inganno. Il modo più rapido per fermare ulteriori invii di prova è farlo Lei stesso tramite l’opt-out: gli invii di prova avvengono solo durante una verifica, e dopo l’inserimento non viene avviata alcuna ulteriore verifica del dominio. Ci scriva inoltre all’indirizzo contact@lukaswojcik.com indicando l’ID della scansione riportato nel messaggio. Verificheremo chi ha verificato il dominio, inseriremo il dominio nell’elenco di esclusione in attesa di chiarimenti, se non lo ha già fatto Lei, e chiederemo al Cliente di dimostrare la propria autorizzazione. Le comunicheremo chi lo ha verificato solo nella misura consentita dalla normativa sulla protezione dei dati.

6.3 Sospetta che qualcuno stia utilizzando formexposed contro di Lei

Scriva a contact@lukaswojcik.com, idealmente indicando l’ora, il dominio e – dai log del Suo server – le richieste con lo user agent FormExposedBot. Può raggiungerci anche tramite la pagina dei contatti. Confermeremo la ricezione e Le comunicheremo che cosa abbiamo fatto. Allo stesso modo può segnalare contenuti illegali in un portale clienti o in un report white label; che cosa debba contenere una tale segnalazione ai sensi dell’Art. 16 DSA è indicato nelle Note legali. Lì è indicato anche il nostro punto di contatto ai sensi degli Art. 11 e 12 DSA.

6.4 Ha trovato una vulnerabilità di sicurezza in formexposed stesso

La segnali tramite la nostra pagina per la segnalazione delle vulnerabilità (disponibile anche all’indirizzo /.well-known/security.txt). Lì è spiegato come gestiamo le segnalazioni e che cosa promettiamo ai ricercatori. La preghiamo di non effettuare test su siti web di terzi in questo contesto, nemmeno tramite formexposed.

7. Collaborazione con le autorità

Collaboriamo con le autorità di contrasto, le autorità di controllo e organismi come il CERT Polska quando si tratta di abusi del servizio o di attacchi a terzi. Consegniamo dati solo se esiste una base giuridica, l’organismo richiedente è competente e la richiesta è nella forma prescritta. Esaminiamo ogni richiesta singolarmente e consegniamo solo ciò che essa effettivamente richiede. Informiamo i Clienti interessati, salvo che la legge o l’autorità lo vietino.

Per poter fornire informazioni alle autorità non conserviamo più di quanto sia necessario per il funzionamento e la prevenzione degli abusi. Ciò che è stato cancellato dopo la scadenza dei termini indicati nell’Informativa sulla privacy non possiamo neppure consegnarlo.

8. Modifiche

Aggiorniamo questa pagina quando cambiano il servizio o gli schemi di abuso. Per i Clienti si applicano le regole sulle modifiche contenute nelle Condizioni di servizio; nuovi divieti e conseguenze più severe si applicano loro solo dopo tale procedura. Valutiamo una condotta in base alla versione in vigore al momento della condotta stessa. Domande su questa pagina: contact@lukaswojcik.com.