허용되는 이용 및 악용

이 문서는 여러 언어로 게시됩니다. 언어별 버전 간에 차이가 있는 경우 폴란드어 버전이 구속력을 가집니다.

버전 1.0 · 최종 업데이트: 2026년 10월 16일

formexposed는 제3자 웹사이트를 살펴보고, 인증된 도메인에서는 문의 양식에 테스트 전송을 보냅니다. 이러한 도구는 다른 사람을 공격하는 데에도 악용될 수 있습니다. 이 페이지는 formexposed의 용도, 금지 사항, 당사가 기술적으로 남용을 제한하는 방법, 그리고 누군가 규칙을 위반했을 때 일어나는 일을 설명합니다. 이 페이지는 formexposed를 이용하는 모든 분, 즉 계정이 있는 고객과 계정 없이 무료 점검을 이용하는 방문자 모두에게 적용됩니다.

제공자는 LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, 폴란드입니다. 고객에게 이 페이지는 계약의 일부입니다. 서비스 이용약관은 이 페이지를 계약 문서에 포함합니다. 무료 점검 및 그 밖에 자유롭게 이용할 수 있는 도구에 대해서는, 서비스 이용약관이 이러한 도구에 대해 정하는 규칙의 일부로 적용됩니다. 이 페이지가 서비스 이용약관과 상충하는 경우 서비스 이용약관이 우선합니다. 예시(“예컨대”, “예를 들어”)는 규칙을 설명하는 것으로, 규칙을 확장하거나 제한하지 않습니다.

1. formexposed의 용도

formexposed는 문의 양식이 자동화된 스팸으로부터 보호되는지, 안정적으로 작동하는지, 데이터를 신중하게 다루는지를 점검합니다. 특히 다음은 허용됩니다.

자신의 웹사이트 또는 클라이언트의 웹사이트를 점검·모니터링하고 그 결과를 보안 강화에 활용하는 것
계정 없이 무료 점검을 이용하여 공개적으로 접근 가능한 모든 웹사이트에 대해 방문자가 보는 그대로 읽기 전용으로 첫인상을 얻는 것
Business 요금제의 에이전시로서 잠재 고객의 웹사이트를 수동적으로 점검하고, 그 발견 사항을 적법한 방식으로 운영자에게 제공하는 것(3.5절 참조)
웹사이트를 책임지거나 관리하는 사람들과 보고서를 공유하는 것
API, 플러그인 및 확장 기능을 그 문서와 한도 내에서 이용하는 것
배지를 발급받은 도메인에 배지를 표시하는 것

기준은 간단합니다. formexposed는 웹사이트 운영자가 자신의 양식을 보호하도록 돕기 위한 것입니다. 동의하지 않은 제3자에게 해를 끼치는 것은 그 용도에 포함되지 않습니다.

2. formexposed가 의도적으로 할 수 없는 일

서비스가 공격 도구로 쓸모없도록 당사는 기능을 제한했습니다. 이러한 제한은 모든 사용자에게 적용되며 사용자가 해제할 수 없습니다.

도메인에 대한 소유권 증명이 없으면 그곳에는 아무것도 전송되지 않습니다. 유일한 예외는 당사가 내부적으로 점검하는 formexposed 자체의 테스트 및 데모 도메인입니다. 무료 점검, 잠재 고객 점검 및 당사의 연구는 방문자가 보는 것만 읽습니다.
인증된 도메인에서도 당사는 인식된 일반 문의 양식에만, 점검당 최대 5건의 표시된 테스트 전송만 보냅니다. 주문, 예약, 로그인, 회원가입, 뉴스레터, 지원, 결제 또는 업로드 양식, 전화번호나 우편 주소 같은 필수 항목이 있는 양식, 또는 도메인이나 페이지 제목으로 보아 공공기관, 법원, 대학, 학교 또는 의료기관으로 인식되는 웹사이트의 양식에는 절대 전송하지 않습니다.
헤더 인젝션 점검은 순수한 탐지입니다. 테스트 값에는 실제 수신자가 절대 포함되지 않습니다. 이메일 검증 점검은 존재할 수 없는 .invalid로 끝나는 주소만 사용합니다.
당사는 CAPTCHA를 풀지 않습니다. 인증된 도메인에서는 양식이 CAPTCHA 토큰 없이 또는 지어낸 토큰으로 전송을 받아들이는지만 확인합니다. 로그인 후 스캔을 위한 로그인 양식에 CAPTCHA가 있으면 점검이 중단됩니다.
크롤러는 일반적인 웹 포트를 통해 공개 주소에만 요청을 보냅니다. 내부 네트워크, 로컬 주소 및 기타 포트는 리디렉션과 삽입된 콘텐츠의 경우를 포함하여 차단됩니다.
노출된 파일(예: 잊혀진 설정 파일)에 대한 검색은 인증된 도메인에 대해서만 실행됩니다. 제3자 웹사이트에서 이러한 경로를 요청하는 것은 공격에 해당하기 때문입니다.

이러한 제한은 서비스가 구축된 방식을 설명합니다. 스캐너는 필드 이름, 레이블, 도메인, 페이지 제목 등 페이지의 특징으로 양식이 일반 문의 양식인지, 웹사이트가 위에 열거된 기관에 속하는지를 인식하며, 개별 사례에서 이 인식이 틀릴 수 있습니다. 따라서 이 설명은 특정 양식이 절대 대상이 되지 않는다는 것을 고객이나 제3자에게 보장하는 것이 아닙니다. 자신의 웹사이트가 점검되기를 원하지 않는 분은 옵트아웃을 통해 제외할 수 있습니다(6.1절).

3. 금지 사항

3.1 제3자 웹사이트 탐색 또는 공격

formexposed를 이용하여 제3자 웹사이트의 취약점을 찾은 다음 이를 공격, 과부하 또는 악용하는 것 – 예를 들어 보호되지 않은 양식에 의도적으로 스팸을 대량 전송하는 것
제3자 웹사이트의 결과, 보고서 또는 스크린샷을 공격에 이용하려는 사람에게 전달하는 것
운영자가 명백히 제외한 웹사이트에 대해, 예를 들어 도메인의 다른 표기로 바꾸는 방법으로 서비스를 이용하는 것

권한 없이 제3자 시스템을 염탐하거나 공격하는 사람은 범죄를 저지르는 것일 수도 있습니다(예컨대 폴란드에서는 폴란드 형법(Kodeks karny) 제267조부터 제269b조, 독일에서는 예컨대 독일 형법(StGB) 제202a조부터 제202d조 및 제303b조). 정보가 formexposed 보고서에서 나왔다는 사실은 아무것도 바꾸지 않습니다.

3.2 한도 및 보호 장치 우회

여러 브라우저 세션, IP 주소 변경, 프록시, VPN 체인 또는 다중 계정 등을 통해 무료 점검의 한도를 우회하는 것
무료 점검, 헤더 점검 또는 옵트아웃 양식을 자동화된 방식으로 조회하는 것. 자동화를 위해서는 API가 있습니다.
당사 양식의 reCAPTCHA, 시간 확인 및 기타 보호 조치를 우회하는 것
여러 무료 계정에 이용을 분산하여 요금제 한도를 우회하는 것

3.3 기만에 의한 인증 획득

운영자도 아니고 운영자로부터 위임받지도 않은 도메인을 인증하는 것 – 예를 들어 이전 서비스 제공업체, 호스팅 제공업체 또는 직원으로서 DNS, 서버 또는 CMS에 기술적으로 접근할 수 있더라도 마찬가지입니다.
제3자 콘텐츠를 통해 증명을 제공하는 것 – 예를 들어 누구나 쓸 수 있는 제3자 웹사이트의 댓글 기능이나 업로드 영역을 통한 증명
권한이 종료된 후에도 도메인을 계정에 남겨 두는 것. 위임이 종료되면 고객은 해당 도메인을 삭제합니다.

인증은 활성 점검으로 들어가는 관문입니다. 기만으로 인증을 획득하는 사람은 formexposed가 제3자의 양식에 전송하도록 만드는 것이며, 이는 서비스가 허용할 수 있는 가장 심각한 남용이고, 당사는 이를 그렇게 취급합니다.

3.4 테스트 전송의 남용

테스트 전송을 스팸이나 알림 채널로 이용하는 것 – 예를 들어 수신자에게 테스트 이메일로 부담을 주기 위해 도메인을 인증하는 것
양식을 점검하기 위해서가 아니라 양식 이메일 수신자에게 부담을 주기 위해 도메인의 점검, 특히 수동 점검을 실행하는 것
그곳에서 양식 이메일을 받고 처리하는 사람들(예: 영업팀)이 표시된 테스트 전송이 도착할 수 있다는 사실을 알도록 하지 않은 채 도메인에 테스트 전송을 설정하는 것

3.5 잠재 고객 점검을 원치 않는 광고에 이용하는 것

잠재 고객 점검을 통해 에이전시는 잠재 클라이언트의 웹사이트를 수동적으로 점검할 수 있습니다. 당사는 운영자에게 연락하지 않으며, 에이전시가 직접 링크를 전달합니다. 어떻게 전달하는지는 에이전시의 일이자 책임입니다. 법률상 사전 동의 없이는 허용되지 않는 광고에 발견 사항을 이용하는 것은 금지됩니다. 여기에는 특히 다음이 포함됩니다.

동의하지 않은 기업이나 개인에게 발견 사항을 담은 원치 않는 이메일을 보내는 것(폴란드에서는 폴란드 전자통신법(Prawo komunikacji elektronicznej, PKE) 제398조, 독일에서는 독일 부정경쟁방지법(UWG) 제7조 – 두 나라 모두 사업자에게도 적용됩니다)
적용 법률이 동의를 요구하는 한, 원치 않는 광고 전화
발견 사항을 이용하여 압박을 가하거나, 두려움을 조장하거나, formexposed가 당국이나 운영자를 대신하여 웹사이트를 점검한 것처럼 인상을 주는 메시지

운영자가 요청한 대화에서 발견 사항을 운영자에게 보여 주는 것, 그리고 운영자가 수신에 동의했거나 접촉에 적용되는 법률이 동의 없는 발송을 명시적으로 허용하는 경우 발견 사항을 운영자에게 보내는 것은 여전히 허용됩니다. 이에 해당하는지는 에이전시가 직접 확인합니다. 다른 사안으로 운영자와 협력하고 있다는 사실만으로는 충분하지 않습니다.

3.6 보고서, API, 플러그인 및 배지의 남용

제3자 웹사이트에 관한 데이터를 축적하기 위해 보고서를 체계적으로 수집하거나, 보고서 주소를 추측하거나 시도해 보거나, 보고서를 대량으로 조회하는 것
운영자를 망신 주기 위해 제3자 웹사이트에 관한 보고서를 공개하는 것
API 키, 플러그인 시크릿 또는 자격 증명을 전달하거나, API의 한도를 우회하거나, 제3자 도메인에 API를 이용하는 것
배지를 변경하거나 모방하는 것, 발급받은 도메인이 아닌 다른 도메인에 배지를 표시하는 것, 또는 formexposed가 부여하지 않는 인증을 주장하는 데 배지를 이용하는 것. 배지는 도메인이 인증되어 있고, 모니터링이 실행 중이며, 마지막 점검이 최근의 양호한 결과인 경우에만 “보호됨”을 표시하며, 그렇지 않은 경우에는 중립적인 “문의 양식 점검”을 표시합니다. 같은 내용을 담은 자체 제작 그래픽은 방문자를 기만하는 것입니다.
테스트 계정으로 특별히 만들어지지 않은 계정이나 제3자 웹사이트의 계정에 대해 로그인 후 스캔용 자격 증명을 저장하는 것

4. formexposed가 남용을 방지하고 탐지하는 방법

다음 조치는 코드로 구현되어 있습니다. 정확한 임계값은 변경되며, 공개하면 남용이 쉬워지므로 공개하지 않습니다.

4.1 무료 점검

긴급 정지 스위치. 당사는 언제든지 무료 점검을 일시 중지할 수 있습니다. 옵트아웃은 영향을 받지 않으며 일시 중지 중에도 작동합니다.
점검, 헤더 점검 및 옵트아웃에 대한 reCAPTCHA. 양식별로 별도의 임계값이 있으며, 이 양식들에는 함정 필드와 시간 확인도 있습니다.
IP 주소별, 세션별, 일별 한도. 수락된 점검이 집계됩니다. 전체 일일 한도가 대량 요청을 막습니다.
한 주소에서 많은 도메인. 짧은 시간 내에 하나의 IP 주소에서 많은 서로 다른 도메인을 점검하려고 하면 차단됩니다. 여기서는 거부된 시도를 포함하여 모든 시도가 집계됩니다. 이는 누군가 formexposed를 이용하여 제3자 사이트를 탐색하는 전형적인 패턴이기 때문입니다.
도메인당 주 1회. 일주일 이내에 같은 도메인을 다시 입력하면 기존 보고서가 표시되며, 다시 점검되지 않습니다.
생성된 지 얼마 안 된 도메인과 생성 시기를 확인할 수 없는 도메인은 계정 없이 점검되지 않습니다. 이러한 도메인은 사기 목적으로 등록되는 경우가 많습니다.
공개 대상만. 내부 주소나 예약된 주소를 가리키는 이름은 작업 전에, 그리고 크롤러의 모든 개별 요청 시에 다시 거부됩니다.

4.2 모니터링

당사는 눈에 띄는 패턴 – 한 주소에서의 많은 도메인, 몇 분 내의 많은 요청, 한 세션에서의 많은 거부된 시도, 한 국가에서의 옵트아웃 집중, 일일 한도 도달 – 을 이상 징후로 기록합니다. 새로운 이상 징후가 발생하면 도메인과 IP 주소 없이 당사에 알림이 전송되며, 세부 사항은 관리 영역에서만 확인합니다. 이를 위해 어떤 데이터를 얼마 동안 저장하는지는 개인정보 처리방침에 설명되어 있습니다.

4.3 관문으로서의 인증

활성 점검, 모니터링, 로그인 후 스캔, 브라우저 여정 및 노출된 파일 검색은 고객의 경우 소유권 증명이 제공된 도메인에 대해서만 실행됩니다. 증명은 DNS 레코드, 메타 태그, 서버의 파일 또는 플러그인을 통해 이루어집니다. 모든 작업 전에 스캐너는 도메인이 인증된 것으로 분류되어 있는지 스스로 다시 확인하며, 그렇지 않은 경우 활성 점검은 읽기 전용 점검으로 전환되고 브라우저 여정은 수행되지 않습니다. 활성 점검은 서비스 전체에 대해 끌 수도 있습니다.

4.4 테스트 전송

모든 테스트 전송에는 표시가 되어 있습니다. 발신자 이름에는 “FormExposed Security Scanner”, 제목에는 “[formexposed.com] Automated security test — no action required”, 본문에는 FormExposedBot 안내 페이지와 옵트아웃에 대한 안내 및 스캔 ID가 포함됩니다. 언어는 대상 페이지에 따라 달라집니다(독일어, 영어 또는 폴란드어). 점검당 하나의 양식에는 최대 5건의 전송만 보내집니다. 스캐너는 이 횟수 이후 중단합니다. 다른 필수 필드는 “FormExposed security test”로 채우며, 동의 등 양식을 제출하는 데 필요한 체크박스는 체크합니다. 이 표시는 그 배후에 사람도, 사람의 의사표시도 없다는 것을 보여 줍니다.

4.5 크롤러

FormExposedBot은 자체 사용자 에이전트로 자신을 식별하고, 모든 점검 전에 robots.txt를 읽으며, 자신 또는 모든 프로그램에 대한 Disallow가 홈페이지를 포함하는 경우 점검하지 않습니다. 현재 차단된 하위 경로를 개별적으로 준수하지는 않습니다. 양식 펄스나 헤더 점검처럼 브라우저 없이 이루어지는 가벼운 요청은 robots.txt를 읽지 않습니다. 당사의 제외 목록(옵트아웃)에 있는 도메인이나 그 www 변형은, 인증된 도메인을 가진 유료 고객을 위해서라도 점검하지 않으며, 진행 중인 모니터링은 다음 예정된 점검 시점에 종료됩니다. 자세한 내용은 FormExposedBot 안내 페이지에 있습니다.

5. 위반 시 결과

당사는 비례적으로 대응합니다. 위반을 중단시키고 제3자와 서비스에 대한 추가 피해를 막는 가장 경미한 조치를 선택하고, 이를 해당 계정, 도메인 또는 기능으로 한정하며, 그 사유가 해소되는 즉시 해제합니다. 가능한 조치는 다음과 같습니다.

개별 점검을 중단하고 IP 주소나 세션을 일시적으로 차단
계정에서 도메인을 삭제하거나, 인증을 취소하거나, 제외 목록에 추가
활성 점검, 잠재 고객 점검, API 또는 배지 등 개별 기능을 차단
서비스 이용약관에 규정된 대로 계정을 차단하고 중대한 사유로 계약을 해지
법률 규정에 따라 손해배상을 청구하고, 범죄나 제3자에 대한 공격의 구체적인 징후가 있는 경우 법적으로 허용되는 범위에서 피해를 입은 웹사이트 운영자, 수사기관 또는 CERT Polska에 통보

무료 점검과 당사 자체 양식의 자동 한도(4.1절)는 특정인을 겨냥한 조치가 아닙니다. 이는 고정된 규칙에 따라 모든 사람에게 적용되며, 해당 기간이 만료되거나 당사가 이상 징후를 해결하는 즉시 종료됩니다.

사전 청문. 고객의 계정, 도메인 또는 기능을 차단하거나, 계정에서 도메인을 삭제하거나, 인증을 취소하거나, 계약을 해지하기 전에, 당사는 어떤 행위를 문제 삼는지, 이 페이지나 서비스 이용약관의 어떤 규칙에 근거하는지, 어떤 조치를 고려하고 있는지를 텍스트 형식으로 고객에게 알립니다. 고객은 7일 이내에 의견을 제출하거나 위반을 시정할 수 있으며, 그 후에야 당사가 결정합니다. 중대한 사유에 의한 해지 전에는 이를 위해 서비스 이용약관이 정한 더 긴 시정 기간이 대신 적용되며, 미납으로 인한 차단은 서비스 이용약관에 의해서만 규율됩니다.

긴급한 경우. 기다리면 제3자나 서비스가 심각하게 위태로워지는 경우에만 당사는 사전 청문 없이 조치합니다. 특히 기만으로 인증을 획득했다는 구체적인 징후가 있는 경우, 웹사이트 운영자의 명시적인 의사에 반하여 점검이나 테스트 전송이 이루어지는 경우, 서비스를 통해 제3자에 대한 공격이 이루어지는 경우, 고객 포털이나 화이트 라벨 보고서의 콘텐츠로 인한 중대한 법률 위반을 시사하는 신고가 있는 경우, 또는 당국, 법원 또는 법률이 요구하는 경우가 이에 해당합니다. 이 경우 당사는 먼저 조치를 해당 도메인, 기능 또는 콘텐츠로 한정하고, 그 목적을 무력화하지 않고 법률상 금지되지 않는 한 이유와 함께 텍스트 형식으로 지체 없이, 늦어도 다음 영업일까지 고객에게 알리며, 청문은 사후에 진행합니다.

이의 제기. 조치가 부당하다고 생각하는 분은 계정이 없더라도 contact@lukaswojcik.com으로 텍스트 형식으로 이의를 제기할 수 있습니다. 당사는 이의를 검토하고 14일 이내에 이유를 들어 답변하며, 이의가 정당한 경우 즉시 조치를 해제합니다. 불만 처리에 따른 절차와 법원에 대한 제소는 계속 가능합니다. 위법 콘텐츠 신고에 따라 고객의 콘텐츠를 제한하는 경우, 당사는 추가로 규정(EU) 2022/2065(디지털서비스법, DSA) 제17조에 따른 이유서를 제공하고 이러한 구제 수단을 안내합니다. 차단이 지급 의무에 영향을 미치는지, 그리고 언제 중대한 사유에 의한 해지가 가능한지는 서비스 이용약관에 따릅니다.

6. 피해를 입은 경우

6.1 formexposed가 귀하의 웹사이트를 점검하지 않기를 원하는 경우

도메인 제외 페이지에 도메인을 입력하거나, robots.txt에서 홈페이지에 대해 FormExposedBot을 차단하십시오. 두 방법 모두 당사에 연락하지 않아도 그 이후에 시작되는 모든 점검에 효력이 있습니다. 고객 계정에서 진행 중인 모니터링은 다음 예정된 점검 시점에 종료되며, 그때까지는 양식 펄스 같은 가벼운 요청이 여전히 올 수 있고, 이러한 가벼운 요청은 robots.txt를 읽지 않습니다. 이 요청도 더 빨리 중단되기를 원하시면 당사에 연락도 해 주십시오. 정확히 무엇이 제외되는지는 옵트아웃 페이지에 설명되어 있습니다.

6.2 예상하지 못한 테스트 전송을 받은 경우

테스트 전송은 고객이 소유권 증명을 제공한 도메인과 formexposed 자체의 테스트 및 데모 도메인에만 보내집니다. 테스트 전송은 해당 고객의 요청으로 이루어집니다. 귀하가 이를 설정하지 않았다면, 귀하의 에이전시, 호스팅 제공업체 또는 동료가 도메인을 추가했을 수 있습니다. 또는 누군가 기만으로 인증을 획득했을 수도 있습니다. 추가 테스트 전송을 가장 빨리 멈추는 방법은 옵트아웃을 통해 직접 처리하는 것입니다. 테스트 전송은 점검 중에만 이루어지며, 등록 후에는 해당 도메인에 대한 추가 점검이 시작되지 않습니다. 또한 contact@lukaswojcik.com으로 연락하시면서 메시지에 있는 스캔 ID를 기재해 주십시오. 당사는 누가 도메인을 인증했는지 확인하고, 귀하가 아직 하지 않으셨다면 확인될 때까지 도메인을 제외 목록에 추가하며, 해당 고객에게 권한을 소명하도록 요청합니다. 누가 인증했는지는 개인정보 보호법이 허용하는 범위에서만 알려 드립니다.

6.3 누군가 formexposed를 이용하여 귀하를 공격하고 있다고 의심되는 경우

가능하면 시각, 도메인, 그리고 서버 로그에서 확인한 FormExposedBot 사용자 에이전트의 요청을 첨부하여 contact@lukaswojcik.com으로 연락해 주십시오. 문의 페이지를 통해서도 연락하실 수 있습니다. 당사는 접수를 확인하고 어떤 조치를 했는지 알려 드립니다. 고객 포털이나 화이트 라벨 보고서의 위법 콘텐츠도 같은 방법으로 신고하실 수 있으며, DSA 제16조에 따른 신고에 포함되어야 할 내용은 사업자 정보에 설명되어 있습니다. DSA 제11조 및 제12조에 따른 당사의 연락 창구도 그곳에 기재되어 있습니다.

6.4 formexposed 자체에서 보안 취약점을 발견한 경우

당사의 취약점 신고 페이지(/.well-known/security.txt에서도 확인 가능)를 통해 신고해 주십시오. 그 페이지에는 당사가 신고를 처리하는 방법과 연구자에게 약속하는 내용이 설명되어 있습니다. 이 과정에서 formexposed를 통한 경우를 포함하여 제3자 웹사이트에서 테스트하지 마십시오.

7. 당국과의 협력

서비스의 남용이나 제3자에 대한 공격과 관련하여 당사는 수사기관, 감독기관 및 CERT Polska 같은 기관과 협력합니다. 당사는 법적 근거가 있고, 요청 기관이 관할권을 가지며, 요청이 정해진 형식을 갖춘 경우에만 데이터를 제공합니다. 각 요청을 개별적으로 검토하며, 실제로 필요한 것만 제공합니다. 법률이나 당국이 금지하지 않는 한 영향을 받는 고객에게 알립니다.

당사는 당국에 정보를 제공하기 위해 운영과 남용 방지에 필요한 것보다 더 많은 데이터를 저장하지 않습니다. 개인정보 처리방침에 명시된 기간이 지나 삭제된 데이터는 제공할 수도 없습니다.

8. 변경

서비스나 남용 패턴이 변경되면 이 페이지를 업데이트합니다. 고객에게는 서비스 이용약관의 변경에 관한 규정이 적용되며, 새로운 금지 사항과 더 엄격한 결과는 이 절차를 거친 후에만 고객에게 적용됩니다. 당사는 행위 당시 적용되던 버전에 따라 행위를 평가합니다. 이 페이지에 관한 질문: contact@lukaswojcik.com.

무엇을 도와드릴까요?