Informazioni su FormExposedBot

Ultimo aggiornamento: 16 ottobre 2026

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Token in robots.txt: FormExposedBot

Che cos'è FormExposedBot

FormExposedBot è il crawler di formexposed. formexposed verifica se i moduli di contatto sono protetti dallo spam automatizzato e funzionano in modo affidabile. Se ha trovato questo user-agent nei log del Suo server, qualcuno ha avviato una verifica del Suo sito web:

• un visitatore di formexposed che ha inserito il Suo dominio nella verifica gratuita – senza account, in sola lettura;
• un cliente che ha il Suo dominio nel proprio account e dichiara di gestire o curare il sito web, oppure qualcuno che ha installato il nostro plugin sul Suo sito web;
• un'agenzia che fa verificare il Suo sito web, in sola lettura, come potenziale cliente;
• noi stessi, per uno studio di cui pubblichiamo solo dati aggregati senza i nomi dei siti web;
• qualcuno che ha inserito la Sua home page nella nostra verifica gratuita degli header (solo header, senza browser).

Su richiesta Le comunichiamo di quale di questi tipi si trattava; chi l'ha avviata, solo nella misura consentita dalla normativa sulla protezione dei dati. Agiamo su iniziativa di tale persona; per i domini per i quali un cliente ha fornito la prova di controllo, per conto di tale cliente.

Che cosa succede durante una verifica

• Prima della verifica il bot legge il Suo robots.txt (vedi sotto).
• Carica la Sua home page e fino a sette altre pagine sullo stesso host (con o senza www., nessun altro sottodominio), al massimo otto in totale. Hanno la precedenza le pagine con parole come contatti, note legali o assistenza. Salta le pagine di login, account, carrello e checkout, i feed, i PDF e le immagini.
• Utilizza un vero browser headless con JavaScript attivato e carica le pagine una dopo l'altra, non in parallelo. Una pagina può richiedere al massimo 20 secondi; dopo circa tre minuti la verifica si interrompe.
• Legge i moduli: nomi e tipi dei campi, etichette, campi obbligatori, CAPTCHA incorporati, trappole nascoste, token e header. Durante questa verifica in sola lettura non inserisce nulla.
• Per al massimo tre pagine con un modulo, carica la pagina una seconda volta e fa clic su “Rifiuta” nel banner dei cookie – mai su “Accetta”. Questo ci mostra se il modulo funziona ancora dopo un rifiuto.
• Per al massimo tre pagine con un modulo, carica la pagina in visualizzazione smartphone, senza fare clic. Lo user-agent rimane lo stesso; non ci spacciamo per uno smartphone.
• Determina il tipo di un modulo con delle regole e, quando queste non bastano, con un modello linguistico in esecuzione sul nostro server. In questo processo nulla lascia i nostri server.

Senza la prova di controllo sul dominio (vedi sotto), FormExposedBot recupera solo pagine accessibili pubblicamente senza login e non invia nulla. Non aggira alcuna protezione di accesso, non indovina credenziali di accesso e non risolve CAPTCHA. Tutto ciò che va oltre – invii di prova, la ricerca di file esposti e la verifica dietro un login con un account di prova – avviene solo per i domini con tale prova o per i domini di test e demo di formexposed.

Tramite la verifica gratuita sul nostro sito web controlliamo lo stesso dominio al massimo una volta ogni sette giorni; chi lo inserisce di nuovo vede il report esistente. I clienti possono far verificare manualmente i domini del proprio account, con un tempo di attesa; i domini con prova di controllo vengono inoltre verificati regolarmente con la frequenza prevista dal loro piano, con una verifica completa al massimo una volta al giorno. Le richieste leggere effettuate senza browser (vedi sotto) avvengono più spesso.

Invii di prova solo per domini verificati

Per i clienti viene inviato qualcosa solo se un cliente ha dimostrato di essere autorizzato a controllare il dominio (record DNS, meta tag, file o plugin); senza questa prova, verifichiamo attivamente solo i nostri domini di test e demo. Anche in tal caso:

• un solo modulo per verifica, e solo uno identificato con certezza come modulo di contatto generico; il modello linguistico non può mai autorizzare l'invio di un modulo;
• al massimo cinque invii per verifica, ad esempio senza risposta al CAPTCHA, con il campo trappola compilato o con un token alterato;
• mai moduli di ordine, prenotazione, login, registrazione, newsletter, assistenza, pagamento o caricamento, mai moduli con campi obbligatori per telefono, indirizzo postale o dati aziendali, mai siti web che riconosciamo dal dominio o dal titolo della pagina come autorità pubblica, tribunale, università, scuola o struttura sanitaria.

Il bot riconosce il tipo di modulo e il tipo di sito web in base alle caratteristiche della pagina; in singoli casi questo riconoscimento può essere errato. L'elenco descrive come è costruito il bot e non costituisce una garanzia. Se non desidera invii di prova, escluda il dominio (vedi sotto): in tal caso non verrà avviata alcuna verifica in cui possa essere inviato qualcosa.

Ogni invio è contrassegnato. Nome del mittente “FormExposed Security Scanner”, indirizzo del mittente dummy@formexposed.com, oggetto “[formexposed.com] Automated security test — no action required”. Il testo è nella lingua della Sua pagina (tedesco, inglese o polacco); in inglese:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

La frase “No data was stored” è troppo ampia. È corretto quanto segue: in questo processo non memorizziamo nulla dei Suoi visitatori né della Sua casella di posta. Per valutare il test, tuttavia, memorizziamo la risposta del Suo server all'invio, ossia il codice di stato, i primi 300 caratteri della pagina di risposta e uno screenshot della stessa (vedi “Che cosa viene memorizzato”).

Il bot compila gli altri campi obbligatori con “FormExposed security test”. Spunta le caselle senza le quali il modulo non può essere inviato, ad esempio per il consenso. La marcatura mostra che dietro non c'è alcuna persona né alcuna dichiarazione di una persona.

La verifica dell'header injection inserisce solo un header innocuo X-FormExposed-Injection-Test, mai un destinatario. La verifica della convalida dell'indirizzo utilizza un indirizzo sotto .invalid, che non può esistere.

Ulteriori richieste per i clienti

Per i domini verificati in un account cliente si aggiungono, su richiesta del cliente:

• Percorsi nel browser: un browser (Chromium o WebKit) apre una pagina con modulo scelta dal cliente in formato smartphone e verifica se il modulo compare e se è utilizzabile fino al pulsante di invio; a tal fine compila i campi obbligatori con valori di prova che non lasciano il browser. Invia solo richieste GET e HEAD; l'invio è tecnicamente bloccato.
• Scansione dietro il login: solo con un account di prova creato dal gestore del sito web stesso, al massimo cinque pagine, senza invii, senza screenshot, mai indirizzi di logout, cancellazione o disdetta. Se il login prevede un CAPTCHA, il bot si ferma.
• Richieste leggere senza browser: polso dei moduli (fino a tre pagine con modulo, ogni 10, 15 o 30 minuti a seconda del piano), verifica della prova di controllo, verifica degli header e ricerca di file esposti. Utilizzano lo stesso user-agent con un suffisso come pulse, ownership-verification, headers o exposed-files.

Inoltre chiunque può far recuperare gli header della Sua home page con la nostra verifica gratuita degli header: una richiesta ciascuna via https e http alla Sua home page, più eventuali reindirizzamenti all'interno del Suo dominio, senza browser e senza modulo.

Che cosa viene memorizzato

Solo ciò che descrive il risultato: indirizzi e titoli delle pagine verificate, la struttura dei moduli (nomi dei campi, tipi, etichette e simili, nessun valore dei campi; gli inizi dei campi nascosti precompilati fino a 24 caratteri e degli attributi data- fino a 60 caratteri vengono letti dal bot solo durante la verifica e non vengono memorizzati), le misure di protezione rilevate, gli header, gli host dei servizi incorporati, i checksum degli script (non il loro contenuto; per gli script incorporati anche i primi 80 caratteri, con gli identificatori resi irriconoscibili), i nomi dei cookie impostati, screenshot dell'area visibile della home page e dei moduli e, dopo un invio di prova, della pagina di risposta; di tale risposta anche il codice di stato e i primi 300 caratteri. Questi screenshot della verifica non vengono oscurati; mostrano ciò che è visibile sulla pagina pubblica. Solo i percorsi nel browser producono una piccola immagine del modulo con i campi di inserimento coperti. Se un modulo contiene un indirizzo del destinatario, ne memorizziamo solo il dominio.

Da dove provengono le richieste

FormExposedBot funziona sui nostri server in Polonia. Non pubblichiamo gli indirizzi IP perché possono cambiare. Se desidera sapere se una richiesta proviene davvero da noi, ci scriva indicando l'ora e l'indirizzo IP riportati nel Suo log; Le diremo se proveniva da noi. Per il controllo incrociato prima di un avviso di disservizio può aggiungersi una seconda sede presso un altro fornitore; anch'essa utilizza lo user-agent FormExposedBot.

Come escludere il Suo dominio

robots.txt:

User-agent: FormExposedBot
Disallow: /

Il bot cerca prima nel Suo robots.txt un gruppo per FormExposedBot, altrimenti il gruppo per tutti (*). Se un Disallow copre la home page, non avviene alcuna verifica. Se il Suo server risponde alla richiesta di robots.txt con un errore del server o non risponde affatto, per precauzione non effettuiamo la verifica; se il file manca (404), il sito web viene considerato consentito. Attualmente non valutiamo separatamente le singole sottodirectory bloccate – se non desidera essere verificato affatto, blocchi la home page. Le richieste leggere senza browser e la verifica degli header non leggono il robots.txt.

Opt-out: inserisca il Suo dominio nella pagina Escludere il proprio dominio. L'esclusione vale per il dominio e la sua variante www., non per altri sottodomini. Ha effetto su ogni verifica che inizia dopo l'inserimento, in modo permanente, anche nei confronti dei clienti paganti con un dominio verificato, e copre anche la verifica degli header. Il monitoraggio in corso in un account cliente termina con la successiva verifica prevista; fino ad allora possono ancora arrivare richieste leggere come il polso dei moduli. Se desidera che anche queste terminino prima, ci scriva.

Protezione dei dati

Il titolare del trattamento è LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polonia, contact@lukaswojcik.com. Quando un cliente verifica il proprio dominio, agiamo per suo conto.

• Dati e fonte: raccogliamo dati personali solo nella misura in cui compaiono nelle pagine verificate del Suo sito web e diventano visibili nell'indirizzo di una pagina, nel titolo di una pagina, nell'etichetta di un modulo o in uno screenshot, come un nome nelle note legali o accanto al modulo. La fonte è il Suo sito web. Non cerchiamo tali dati.
• Finalità e base giuridica: verifiche di sicurezza dei moduli; per la verifica gratuita, la verifica dei potenziali clienti e lo studio, sulla base del nostro legittimo interesse e dell'interesse dei nostri utenti (art. 6(1)(f) GDPR).
• Destinatari: chi ha avviato il report o dispone del link ad esso – il link apre il report senza login; per i domini in un account cliente, anche le destinazioni degli avvisi scelte dal cliente; dello studio, solo i totali. Non è coinvolto alcun servizio di IA esterno.
• Periodo di conservazione: report senza account 30 giorni, verifica dei potenziali clienti 90 giorni, verifiche in un account cliente fino a 13 mesi, il risultato più recente per ciascun dominio finché il dominio esiste, studio fino alla pubblicazione.
• I Suoi diritti: accesso, rettifica, cancellazione, limitazione e opposizione ai sensi dell'art. 21 GDPR – il modo più rapido è l'opt-out – e il diritto di proporre reclamo a un'autorità di controllo, per noi il Presidente dell'Ufficio per la protezione dei dati personali (Prezes Urzędu Ochrony Danych Osobowych) a Varsavia.

Tutto il resto si trova nell'Informativa sulla privacy. Il modo in cui gestiamo gli abusi è descritto in Uso consentito e abusi.

Contatti

Domande o reclami: contact@lukaswojcik.com o tramite la pagina dei contatti. Indichi il Suo dominio e, se disponibile, l'ID della scansione o il link al report. Segnali le vulnerabilità di sicurezza di formexposed stesso tramite la nostra pagina per la segnalazione delle vulnerabilità.