利用規定と不正利用

本書は複数の言語で公開されています。言語版の間に相違がある場合、ポーランド語版が法的拘束力を有します。

バージョン1.0 · 最終更新日：2026年10月16日

formexposedは第三者のウェブサイトを調べ、確認済みのドメインではお問い合わせフォームにテスト送信を行います。このようなツールは、他者に対して悪用されるおそれもあります。このページでは、formexposedの用途、禁止事項、不正利用を技術的に制限する方法、ルールに違反した場合の対応を定めます。このページは、formexposedを利用するすべての方に適用されます。アカウントをお持ちのお客様にも、アカウントなしで無料チェックを利用する訪問者にも適用されます。

提供者は、LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polandです。顧客にとって、このページは契約の一部です。利用規約はこのページを契約文書の一つに含めています。無料チェックおよびその他の自由に利用できるツールについては、利用規約がこれらのツールについて定めるルールの一部として適用されます。このページが利用規約と矛盾する場合は、利用規約が優先します。例（「など」、「たとえば」）はルールを説明するものであり、ルールを拡張も制限もしません。

1. formexposedの用途

formexposedは、お問い合わせフォームが自動化されたスパムから保護されているか、確実に機能しているか、データを慎重に取り扱っているかをチェックします。特に、次のことが認められています。

ご自身のウェブサイトまたはクライアントのウェブサイトをチェック・監視し、その結果を安全対策に活用すること
アカウントなしで無料チェックを利用し、公開されている任意のウェブサイトについて、訪問者から見たとおりの最初の読み取り専用の印象を得ること
Businessプランの制作会社として、見込み客のウェブサイトを受動的にチェックし、その結果を適法な方法で運営者に提供すること（第3.5項参照）
ウェブサイトに責任を負う人やウェブサイトを管理する人とレポートを共有すること
API、プラグイン、拡張機能を、それぞれのドキュメントと制限の範囲内で使用すること
バッジを、それが発行されたドメインに表示すること

基準は単純です。formexposedは、ウェブサイト運営者が自らのフォームを保護するのを支援するためのものです。同意していない第三者に害を及ぼすことは、その範囲に含まれません。

2. formexposedが意図的にできないようにしていること

本サービスが攻撃ツールとして役に立たないよう、当社は機能を制限しています。これらの制限はすべてのユーザーに適用され、ユーザーが解除することはできません。

ドメインの管理権の証明がなければ、そのドメインには何も送信しません。唯一の例外は、当社が内部でチェックするformexposed自身のテスト用およびデモ用ドメインです。無料チェック、見込み客チェック、当社の調査は、訪問者に見えるものだけを読み取ります。
確認済みのドメインであっても、送信するのは認識された一般的なお問い合わせフォームに対してのみで、1回のチェックにつき最大5件の、テストであることを明示した送信に限られます。注文、予約、ログイン、登録、ニュースレター、サポート、支払い、アップロードのフォーム、電話番号や住所などの必須項目があるフォーム、ドメインやページタイトルから官公庁、裁判所、大学、学校、医療機関と認識されるウェブサイト上のフォームには、決して送信しません。
ヘッダーインジェクションのチェックは純粋な検出であり、テスト値に実在の宛先が含まれることはありません。メールアドレス検証のチェックでは、存在し得ない.invalidで終わるアドレスのみを使用します。
当社はCAPTCHAを解きません。確認済みのドメインでは、フォームがCAPTCHAトークンなし、または偽のトークンでの送信を受け付けるかどうかだけをチェックします。ログイン後のスキャンのためのログインフォームにCAPTCHAがある場合、チェックは停止します。
クローラーは、通常のウェブポートを介して公開アドレスにのみリクエストを送ります。内部ネットワーク、ローカルアドレス、その他のポートは、リダイレクトや埋め込みコンテンツを含めてブロックされます。
公開されてしまっているファイル（忘れられた設定ファイルなど）の検索は、確認済みのドメインに対してのみ実行します。第三者のウェブサイトでそのようなパスをリクエストすることは攻撃に相当するためです。

これらの制限は、本サービスの構築方法を説明するものです。スキャナーは、フォームが一般的なお問い合わせフォームかどうか、ウェブサイトが上記の機関のいずれかに属するかどうかを、フィールド名、ラベル、ドメイン、ページタイトルといったページの特徴から認識しますが、個々のケースではこの認識が誤っている可能性があります。したがって、この説明は、特定のフォームが決して対象にならないことを顧客や第三者に保証するものではありません。ご自身のウェブサイトのチェックを望まない方は、対象除外から除外することができます（第6.1項）。

3. 禁止事項

3.1 第三者のウェブサイトの探査または攻撃

formexposedを使用して第三者のウェブサイトの脆弱性を見つけ、その後に攻撃、過負荷、悪用すること – たとえば、保護されていないフォームに意図的に大量のスパムを送り付けること。
第三者のウェブサイトの結果、レポート、スクリーンショットを、攻撃に使用しようとする者に渡すこと。
運営者が明らかに除外しているウェブサイトに対して、たとえばドメインの別表記に切り替えるなどして本サービスを使用すること。

権限なく第三者のシステムを探ったり攻撃したりする者は、犯罪を犯すことにもなり得ます（たとえばポーランドではポーランド刑法典（Kodeks karny）第267条から第269b条、たとえばドイツではドイツ刑法典（StGB）第202a条から第202d条および第303b条に基づきます）。その情報がformexposedのレポートから得られたものであっても、何も変わりません。

3.2 制限と安全策の回避

多数のブラウザセッション、IPアドレスの変更、プロキシ、VPNチェーン、複数アカウントなどによって、無料チェックの制限を回避すること。
無料チェック、ヘッダーチェック、対象除外フォームに自動化された方法で問い合わせること。自動化のためにはAPIがあります。
reCAPTCHA、タイミングチェック、その他の当社自身のフォームの保護対策を回避すること。
複数の無料アカウントに利用を分散させることで、プランの制限を回避すること。

3.3 不正な手段による管理権限の確認

運営者でも運営者から委託を受けた者でもないのに、ドメインの管理権限の確認を行うこと。例えば、以前のサービス提供者、ホスティング提供者、従業員として、技術的に DNS、サーバー、CMS にアクセスできる場合も含みます。
誰でも書き込める他者のウェブサイトのコメント機能やアップロード領域など、第三者のコンテンツを使って証明すること。
権限が終了した後も、ドメインをアカウントに残すこと。委託関係が終了したときは、お客様がドメインを削除します。

管理権限の確認は、能動的チェックを利用するための入口です。不正な手段で確認を得ることは、formexposed に他者のフォームへの送信を行わせることになります。これは、本サービスで生じ得る最も重大な不正利用であり、当社もそのように取り扱います。

3.4 テスト送信の不正利用

テスト送信をスパムや通知の経路として使うこと。例えば、テストメールによって受信者に負担をかけるために、ドメインの管理権限の確認を行うことです。
フォームをチェックするためではなく、フォームメールの受信者に負担をかける目的で、ドメインのチェック、特に手動チェックを実行すること。
フォームメールを受信して対応する方（営業チームなど）に、テストと明示された送信が届く可能性を知らせることなく、そのドメインでテスト送信を設定すること。

3.5 望まれていない広告への見込み客向けチェックの利用

見込み客向けチェックにより、制作会社は潜在的な顧客のウェブサイトについて受動的チェックを依頼できます。当社から運営者に連絡することはなく、制作会社自身がリンクを渡します。その方法は制作会社自身の判断と責任に属します。事前の同意なしでは法が認めない広告に、検出事項を利用することを禁止します。特に、次の行為が含まれます。

同意していない企業や個人に、検出事項を記載したメールを一方的に送ること（ポーランドでは、ポーランド電子通信法（Prawo komunikacji elektronicznej、PKE）第 398 条。ドイツでは、ドイツ不正競争防止法 UWG 第 7 条。両国とも、企業宛てにも適用されます）。
適用法が同意を必要とする場合に、同意のない広告電話をかけること。
検出事項を用いて圧力をかけ、不安をあおり、または formexposed が当局や運営者の依頼でウェブサイトをチェックしたかのような印象を与えるメッセージ。

運営者が求めた会話の中で検出事項を示すことは、引き続き認められます。また、運営者が受領に同意している場合、またはその連絡に適用される法律が同意なしの送信を明示的に認める場合には、送信できます。これに該当するかどうかは、制作会社自身が確認します。別の案件で運営者と取引しているという事実だけでは十分ではありません。

3.6 レポート、API、プラグイン、バッジの不正利用

他者のウェブサイトのデータを蓄積するため、レポートを組織的に収集し、レポートのアドレスを推測・試行し、または大量に取得すること。
他者のウェブサイトに関するレポートを、その運営者をさらす目的で公開すること。
API キー、プラグインの秘密情報、認証情報を他者に渡し、API の制限を回避し、または第三者のドメインに API を利用すること。
バッジを改変・模倣し、発行対象とは異なるドメインに表示し、または formexposed が行っていない認証を受けたと主張するために利用すること。バッジに「保護されています」と表示されるのは、ドメインの管理権限が確認済みで、監視が稼働し、直近のチェックが新しく、かつ良好な場合だけです。それ以外は、中立的な「お問い合わせフォームのチェック」と表示されます。同じ表示をした自作の画像は、訪問者を誤認させます。
専用のテストアカウントとして作成されていないアカウント、または他者のウェブサイトのアカウントの認証情報を、ログイン後スキャン用に保存すること。

4. formexposed による不正利用の防止と検出

以下の措置は、コードに実装されています。正確なしきい値は、変更されることがあり、公開すれば不正利用を容易にするため、公表しません。

4.1 無料チェック

停止スイッチ。無料チェックはいつでも一時停止できます。対象除外は影響を受けず、一時停止中も機能します。
チェック、ヘッダーチェック、対象除外には、フォームごとに別のしきい値を持つreCAPTCHAを使用し、さらにトラップと時間のチェックを設けています。
IP アドレスごと、セッションごと、一日ごとの制限。受け付けたチェックを数えます。一日あたりの全体上限によって、大量の要求から保護します。
一つのアドレスから多数のドメイン。一つの IP アドレスから短時間に多くの異なるドメインをチェックしようとすると、ブロックします。ここでは拒否したものも含め、すべての試行を数えます。これは、formexposed を使って他者のサイトを探る場合に典型的なパターンだからです。
一つのドメインにつき一週間に一回。一週間以内に同じドメインを再入力すると、既存のレポートを表示し、再チェックは行いません。
登録されて間もないドメインや、登録からの期間が分からないドメインは、アカウントなしではチェックしません。不正行為のために登録されることが多いためです。
公開された対象のみ。内部アドレスや予約済みアドレスを指す名前は、ジョブの開始前に拒否し、さらにクローラーによる個々のリクエストごとにも確認して拒否します。

4.2 監視

一つのアドレスから多数のドメイン、数分以内の大量の要求、一つのセッションで多数の拒否された試行、一つの国から集中する対象除外、一日の上限への到達といった目立つパターンを、異常として記録します。新たな異常があると当社に通知されますが、通知にはドメインも IP アドレスも含まれません。詳細を確認するのは管理画面だけです。このために保存するデータと保存期間は、プライバシーポリシーに定めています。

4.3 入口としての管理権限の確認

お客様向けの能動的チェック、監視、ログイン後スキャン、ブラウザー操作手順、公開ファイルの検索は、DNS レコード、メタタグ、サーバー上のファイル、またはプラグインによって管理権限が証明されたドメインだけで実行します。スキャナー自体も、各ジョブの前に、そのドメインが確認済みに分類されているかを再確認します。確認済みでなければ、能動的チェックは読み取り専用チェックに切り替わり、ブラウザー操作手順は実行されません。能動的チェックは、サービス全体で無効にすることもできます。

4.4 テスト送信

すべてのテスト送信は、送信者名「FormExposed Security Scanner」、件名「[formexposed.com] Automated security test — no action required」、および本文中のFormExposedBot の説明ページと対象除外への案内、スキャン ID によって、テストであると明示します。言語は対象ページに応じて、ドイツ語、英語、ポーランド語のいずれかになります。一回のチェックで、一つのフォームへの送信は最大五回です。スキャナーは、この回数に達すると停止します。他の必須欄には「FormExposed security test」を入力し、同意など、選択しなければフォームを送信できないチェックボックスを選択します。テストであるとの表示により、背後に実在の人物や、その人物による意思表示がないことを示します。

4.5 クローラー

FormExposedBot は専用のユーザーエージェントで名乗り、各チェックの前に robots.txt を読みます。FormExposedBot またはすべてのプログラムに対する Disallow がホームページを対象としている場合、チェックしません。現在、個別のサブパスのブロックは個別には考慮しません。フォーム稼働チェックやヘッダーチェックなど、ブラウザーを使わない軽量なリクエストは、robots.txt を読みません。除外一覧（対象除外）にあるドメインと、その www 付きのドメインは、有料のお客様が管理権限を確認済みであってもチェックしません。継続中の監視は、次に予定されているチェックの時点で終了します。詳細は、FormExposedBot の説明ページをご覧ください。

5. 違反の結果

当社は、違反に釣り合った対応を行います。違反を止め、第三者とサービスへのさらなる損害を防ぐ最も軽い措置を選び、対象を該当するアカウント、ドメイン、機能に限定し、理由がなくなり次第、解除します。次の措置を取る場合があります。

個々のチェックを中止し、IP アドレスやセッションを一時的にブロックします。
アカウントからドメインを削除し、管理権限の確認を取り消し、または除外一覧に登録します。
能動的チェック、見込み客向けチェック、API、バッジなどの個別機能をブロックします。
利用規約に定めるとおり、アカウントをブロックし、重大な事由に基づいて契約を解除します。
法令に従って損害賠償を請求します。また、犯罪や第三者への攻撃の具体的な兆候がある場合、法的に認められる範囲で、影響を受けるウェブサイトの運営者、法執行機関、CERT Polska に通知します。

無料チェックと当社自身のフォームの自動制限（第 4.1 節）は、特定の方に対する措置ではありません。一定のルールに従ってすべての方に適用され、該当期間が終了するか、当社が異常を解消し次第、終了します。

事前の意見聴取。お客様のアカウント、ドメイン、機能をブロックし、アカウントからドメインを削除し、管理権限の確認を取り消し、または契約を解除する前に、問題としている行為、本ページまたは利用規約の根拠となる規則、検討中の措置を、テキスト形式でお客様に知らせます。お客様は七日以内に意見を述べ、または違反を是正できます。その後に初めて判断します。重大な事由に基づく解除の前には、これに代わり、利用規約がそのために定める、より長い是正期間を適用します。不払いによるブロックは、利用規約のみに従います。

緊急の場合。事前の意見聴取なしに対応するのは、待つことによって第三者やサービスが重大な危険にさらされる場合だけです。特に、不正な手段による管理権限の確認の具体的な兆候がある場合、ウェブサイト運営者が明示した意思に反するチェックやテスト送信の場合、本サービスを通じた第三者への攻撃の場合、クライアントポータルやホワイトラベルのレポートの内容に重大な法令違反があることを示す通報があった場合、または当局、裁判所、法律が求める場合が該当します。その場合、まず措置を該当するドメイン、機能、コンテンツに限定します。目的を損なわず、法で禁止されない限り、不当に遅滞することなく、遅くとも翌営業日までに、理由を添えてテキスト形式でお客様に通知し、その後に意見を聴取します。

異議。措置が不当だと考える方は、アカウントがなくても、contact@lukaswojcik.com にテキスト形式で異議を申し立てられます。当社は異議を検討し、14 日以内に理由を付して回答します。異議が正当な場合、措置を直ちに解除します。苦情の申立ての手続と、裁判所への訴えも引き続き利用できます。違法なコンテンツの通報を受けてお客様のコンテンツを制限する場合、さらに、規則 (EU) 2022/2065（デジタルサービス法、DSA）第 17 条に基づく理由説明を提供し、これらの救済手段を示します。ブロックが支払義務に影響するか、重大な事由に基づく解除がいつ可能かは、利用規約に従います。

6. 影響を受けた場合

6.1 formexposed にウェブサイトをチェックしてほしくない場合

ドメインを対象除外にするページでドメインを登録するか、robots.txt で FormExposedBot によるホームページへのアクセスをブロックしてください。どちらも、当社に連絡する必要なく、その後に開始するすべてのチェックに適用されます。お客様のアカウントで継続中の監視は、次に予定されているチェックの時点で終了します。それまでは、フォーム稼働チェックなどの軽量なリクエストが届く場合があります。これらの軽量なリクエストは robots.txt を読みません。これらも早く終了させたい場合は、併せて当社にご連絡ください。何が除外されるかの詳細は、対象除外ページに記載しています。

6.2 予期していなかったテスト送信を受け取った場合

テスト送信は、お客様が管理権限を証明したドメインと、formexposed 自身のテスト用・デモ用ドメインだけに行われます。そのお客様の指示によって実施されます。ご自身が依頼していない場合、制作会社、ホスティング提供者、同僚がドメインを追加した可能性や、誰かが不正な手段で管理権限の確認を得た可能性があります。以後のテスト送信を最も早く止める方法は、対象除外からご自身で登録することです。テスト送信はチェック中にのみ行われ、登録後はそのドメインの新たなチェックが開始されません。また、メッセージにあるスキャン ID を添えて、contact@lukaswojcik.com にご連絡ください。当社は、誰がドメインの管理権限の確認を行ったかを調べ、まだ対象除外になっていなければ、解明するまで除外一覧に登録し、お客様に権限の根拠を示すよう求めます。確認した方が誰かをお伝えするのは、データ保護法が認める範囲に限ります。

6.3 誰かが formexposed を使って被害を与えていると疑われる場合

contact@lukaswojcik.com にご連絡ください。可能であれば、時刻、ドメイン、サーバーログ内の FormExposedBot ユーザーエージェントによるリクエストを添えてください。お問い合わせページからも連絡できます。当社は受領を確認し、取った対応をお知らせします。クライアントポータルやホワイトラベルのレポート内の違法なコンテンツも、同じ方法で通報できます。DSA 第 16 条に基づく通報に含めるべき内容は、会社情報に定めています。DSA 第 11 条および第 12 条に基づく連絡窓口も、そこに記載しています。

6.4 formexposed 自体にセキュリティ上の脆弱性を見つけた場合

脆弱性報告ページからご報告ください（/.well-known/security.txt からも確認できます）。報告の取扱いと、調査者に対して当社が約束する事項を説明しています。その際、formexposed を経由する場合も含め、第三者のウェブサイトでテストを行わないでください。

7. 当局との協力

サービスの不正利用や第三者への攻撃に関して、法執行機関、監督機関、CERT Polska などの組織と協力します。データを提供するのは、法的根拠があり、請求した機関に権限があり、請求が所定の形式を満たしている場合だけです。請求ごとに個別に検討し、実際に必要な情報だけを提供します。法律や当局に禁止されない限り、影響を受けるお客様に知らせます。

当局への情報提供に備えるために、運用と不正利用防止に必要な範囲を超えてデータを保存することはありません。プライバシーポリシーに記載された期間が終了して削除した情報は、当局にも提供できません。

8. 変更

サービスや不正利用のパターンが変化した場合、本ページを更新します。お客様には、利用規約の変更規則が適用されます。新たな禁止事項や、より厳しい措置を適用するのは、その手続を経た後だけです。行為は、その時点で適用されていた版に従って評価します。本ページに関するご質問は、contact@lukaswojcik.com までお寄せください。

どのようなご用件ですか？