FormExposedBotについて

最終更新日：2026年10月16日

User-agent： FormExposedBot/1.0 (+https://formexposed.com/bot)
robots.txtでのトークン： FormExposedBot

FormExposedBotとは

FormExposedBotはformexposedのクローラーです。formexposedは、お問い合わせフォームが自動スパムから保護され、確実に機能しているかをチェックします。サーバーログでこのユーザーエージェントを見つけた場合、誰かがお客様のウェブサイトのチェックを開始したことを意味します。開始したのは次のいずれかです：

• 無料チェックにドメインを入力したformexposedの訪問者（アカウントなし、読み取りのみ）
• アカウントにそのドメインを登録し、そのウェブサイトを運営または管理していると表明している顧客、またはお客様のウェブサイトに当社のプラグインをインストールした人
• 見込み顧客としてお客様のウェブサイトを読み取りのみでチェックさせている制作会社
• ウェブサイト名を含まない集計値のみを公表する調査のための当社自身
• 当社の無料ヘッダーチェックにホームページを入力した人（ヘッダーのみ、ブラウザなし）

ご要望に応じて、チェックがこれらのどの種類であったかをお知らせします。誰が開始したかについては、データ保護法が許す範囲に限りお知らせします。その際、当社はその人の依頼に基づいて行動しています。顧客が管理権限の証明を提出したドメインについては、その顧客の委託に基づいて行動しています。

チェック中に行われること

• チェックの前に、ボットはお客様のrobots.txtを読み込みます（下記参照）。
• ホームページと、同じホスト上（www.の有無を問わず、他のサブドメインは除く）のさらに最大7ページ、合計で最大8ページを読み込みます。お問い合わせ、会社情報、サポートなどの語を含むページが優先されます。ログイン、アカウント、カート、チェックアウトのページ、フィード、PDF、画像はスキップします。
• JavaScriptを有効にした実際のヘッドレスブラウザを使用し、ページを並行ではなく1つずつ順に読み込みます。1ページあたり最大20秒で、約3分経過するとチェックは停止します。
• フォームを読み取ります：フィールド名と種類、ラベル、必須項目、埋め込まれたCAPTCHA、非表示のトラップ、トークン、ヘッダー。この読み取りのみのチェックでは、何も入力しません。
• フォームのあるページのうち最大3ページについて、ページをもう一度読み込み、Cookieバナーで「拒否」をクリックします。「同意」をクリックすることはありません。これにより、拒否後もフォームが機能するかを確認します。
• フォームのあるページのうち最大3ページについて、クリックせずにスマートフォン表示でページを読み込みます。ユーザーエージェントは変わらず、スマートフォンを装うことはありません。
• フォームの種類はルールで判定し、それで不十分な場合は当社のサーバー上で動作する言語モデルで判定します。その過程でデータが当社のサーバー外に出ることはありません。

ドメインの管理権限の証明（下記）がない場合、FormExposedBotはログインなしで公開されているページのみを取得し、何も送信しません。アクセス保護を回避したり、ログイン情報を推測したり、CAPTCHAを解いたりすることはありません。それを超えること（テスト送信、公開状態のファイルの探索、テストアカウントによるログイン後のチェック）は、この証明があるドメイン、またはformexposed自身のテスト用・デモ用ドメインに対してのみ行います。

当社ウェブサイトの無料チェックでは、同じドメインのチェックは最大で7日に1回です。再度入力した人には既存のレポートが表示されます。顧客はアカウント内のドメインを待ち時間付きで手動チェックできます。管理権限の証明があるドメインは、プランに応じた頻度で定期的にもチェックされ、フルチェックは最大で1日1回です。ブラウザを使わない軽量リクエスト（下記）はそれより頻繁に行われます。

テスト送信は確認済みドメインのみ

顧客向けに何かが送信されるのは、顧客がドメインを管理する権限を証明した場合（DNSレコード、メタタグ、ファイルまたはプラグイン）に限られます。この証明がない場合、当社が能動的にチェックするのは自社のテスト用・デモ用ドメインのみです。その場合でも：

• 1回のチェックにつきフォームは1つのみで、一般的なお問い合わせフォームと確実に識別されたものに限ります。言語モデルがフォームを送信対象として許可することは決してありません。
• 1回のチェックにつき送信は最大5回です。たとえば、CAPTCHAの応答なし、トラップフィールドに入力あり、または改変したトークンでの送信です。
• 注文、予約、ログイン、登録、ニュースレター、サポート、支払い、アップロードのフォームは対象外です。電話番号、郵便住所、会社情報が必須項目のフォームも対象外です。ドメインやページタイトルから公的機関、裁判所、大学、学校、医療機関と判別できるウェブサイトも対象外です。

ボットはページの特徴からフォームの種類とウェブサイトの種類を判定しますが、個々のケースではこの判定が誤っている可能性があります。上記の一覧はボットの設計を説明するものであり、保証ではありません。テスト送信を望まない場合は、ドメインを除外してください（下記）。そうすれば、何かが送信される可能性のあるチェックは開始されません。

すべての送信にはその旨が明示されます。送信者名「FormExposed Security Scanner」、送信者アドレスdummy@formexposed.com、件名「[formexposed.com] Automated security test — no action required」。本文はお客様のページの言語（ドイツ語、英語またはポーランド語）で、英語では次のとおりです：

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

「No data was stored」（データは保存されていません）という文は広すぎる表現です。正確には、この過程で当社はお客様のウェブサイト訪問者やお客様のメールボックスのデータを一切保存しません。ただし、テストを評価するために、送信に対するお客様のサーバーの応答、すなわちステータスコード、応答ページの最初の300文字、およびそのスクリーンショットは保存します（「保存されるもの」を参照）。

ボットは、その他の必須項目に「FormExposed security test」と入力します。同意など、チェックしないとフォームを送信できないチェックボックスにはチェックを入れます。この表示により、その背後に人間も人間による意思表示も存在しないことがわかります。

ヘッダーインジェクションのチェックでは、無害なヘッダーX-FormExposed-Injection-Testのみを挿入し、受信者を挿入することはありません。アドレス検証のチェックでは、存在し得ない.invalid配下のアドレスを使用します。

顧客向けの追加リクエスト

顧客アカウント内の確認済みドメインについては、顧客の依頼に応じて次のものが追加されます：

• ブラウザー操作手順：ブラウザ（ChromiumまたはWebKit）が、顧客が選んだフォームページをスマートフォンのサイズで開き、フォームが表示され、送信ボタンまで操作できるかを確認します。そのために、必須項目にテスト値を入力しますが、その値がブラウザの外に出ることはありません。送信するのはGETリクエストとHEADリクエストのみで、送信操作は技術的にブロックされています。
• ログイン後のスキャン：ウェブサイト運営者自身が作成したテストアカウントでのみ行い、最大5ページ、送信なし、スクリーンショットなしで、ログアウト、削除、解約のアドレスには決してアクセスしません。ログインにCAPTCHAがある場合、ボットは停止します。
• ブラウザを使わない軽量リクエスト：フォーム稼働チェック（最大3つのフォームページ、プランに応じて10分、15分または30分ごと）、管理権限の証明の確認、ヘッダーチェック、および公開状態のファイルの探索です。これらは同じユーザーエージェントにpulse、ownership-verification、headers、exposed-filesなどのサフィックスを付けて使用します。

さらに、当社の無料ヘッダーチェックを使えば、誰でもお客様のホームページのヘッダーを取得させることができます。ホームページに対してhttpsとhttpでそれぞれ1回ずつのリクエストと、ドメイン内でのリダイレクトがあればその追跡を行い、ブラウザもフォームも使用しません。

保存されるもの

検出結果を説明するもののみです：チェックしたページのアドレスとタイトル、フォームの構造（フィールド名、種類、ラベルなど。フィールドの値は含みません。事前入力された非表示フィールドの先頭24文字まで、およびdata-属性の先頭60文字までは、ボットがチェック中にのみ読み取り、保存はしません）、検出された保護対策、ヘッダー、埋め込まれたサービスのホスト、スクリプトのチェックサム（内容は含みません。埋め込みスクリプトについては、識別子を判読不能にしたうえで先頭80文字も保存）、設定されたCookieの名前、ホームページとフォームの表示領域のスクリーンショット、およびテスト送信後の応答ページのスクリーンショット。その応答については、ステータスコードと先頭300文字も保存します。チェックで取得したこれらのスクリーンショットは墨消しされず、公開ページで見える内容がそのまま写ります。ブラウザー操作手順の場合のみ、入力欄を覆い隠したフォームの小さな画像が作成されます。フォームに受信者アドレスが含まれている場合、当社はそのドメインのみを保存します。

リクエストの送信元

FormExposedBotは、ポーランドにある当社のサーバー上で稼働しています。IPアドレスは変わる可能性があるため公開していません。リクエストが本当に当社からのものか確認したい場合は、ログに記録された日時とIPアドレスを添えてご連絡ください。当社からのものかどうかをお知らせします。障害アラート前のクロスチェックのために、別のプロバイダーの第2拠点が追加される場合がありますが、そこでもFormExposedBotのユーザーエージェントを使用します。

ドメインを除外する方法

robots.txt：

User-agent: FormExposedBot
Disallow: /

ボットはまずお客様のrobots.txtでFormExposedBot用のグループを探し、なければすべてのボット向けのグループ（*）を参照します。Disallowがホームページを対象としている場合、チェックは行われません。robots.txtのリクエストに対してサーバーがサーバーエラーを返すか、まったく応答しない場合も、念のためチェックは行いません。ファイルが存在しない場合（404）、そのウェブサイトは許可されているものとして扱います。現在、ブロックされた個々のサブディレクトリを個別には評価していません。一切チェックされたくない場合は、ホームページをブロックしてください。ブラウザを使わない軽量リクエストとヘッダーチェックはrobots.txtを読み込みません。

オプトアウト：ドメインの除外のページでドメインを入力してください。これはそのドメインとそのwww.付きのバリエーションに適用され、他のサブドメインには適用されません。入力後に開始されるすべてのチェックに対して恒久的に効力を持ち、確認済みドメインを持つ有料顧客に対しても適用され、ヘッダーチェックも対象となります。顧客アカウントでの継続的な監視は、次に予定されているチェックの時点で終了します。それまでは、フォーム稼働チェックなどの軽量リクエストが引き続き届く場合があります。これらもより早く終了させたい場合は、当社にご連絡ください。

データ保護

管理者は、LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, contact@lukaswojcik.comです。顧客が自身のドメインをチェックする場合、当社はその顧客の委託に基づいて行動します。

• データと取得元：当社が個人データを収集するのは、お客様のウェブサイトのチェック対象ページに個人データが表示され、ページのアドレス、ページタイトル、フォームのラベルまたはスクリーンショット（会社情報やフォームの横に記載された氏名など）に現れる範囲に限られます。取得元はお客様のウェブサイトです。当社がそのようなデータを探索することはありません。
• 目的と法的根拠：フォームのセキュリティチェック。無料チェック、見込み顧客チェックおよび調査については、当社および当社利用者の正当な利益に基づきます（GDPR第6条1項(f)）。
• 受領者：レポートを開始した人、またはレポートへのリンクを持つ人（リンクを開くとログインなしでレポートが表示されます）。顧客アカウント内のドメインについては、顧客が選択したアラート送信先も含みます。調査からは合計値のみです。外部のAIサービスは関与しません。
• 保存期間：アカウントなしのレポートは30日間、見込み顧客チェックは90日間、顧客アカウント内のチェックは最大13か月間、各ドメインの最新の結果はそのドメインが存在する限り、調査は公表まで。
• お客様の権利：アクセス、訂正、消去、制限、およびGDPR第21条に基づく異議申立て（最も早いのはオプトアウトです）、ならびに監督機関に苦情を申し立てる権利。当社の監督機関は、ワルシャワの個人データ保護局長（Prezes Urzędu Ochrony Danych Osobowych）です。

その他の詳細はすべてプライバシーポリシーに記載しています。不正利用への対応は利用規定と不正利用に定めています。

お問い合わせ

ご質問や苦情：contact@lukaswojcik.comまたはお問い合わせページから。ドメインと、可能であればスキャンIDまたはレポートのリンクをお知らせください。formexposed自体のセキュリティ脆弱性は、脆弱性報告ページからご報告ください。