FormExposedBot 소개

최종 업데이트: 2026년 10월 16일

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
robots.txt의 토큰: FormExposedBot

FormExposedBot이란

FormExposedBot은 formexposed의 크롤러입니다. formexposed는 문의 양식이 자동화된 스팸으로부터 보호되고 있는지, 안정적으로 작동하는지 점검합니다. 서버 로그에서 이 사용자 에이전트를 발견하셨다면, 누군가 귀하의 웹사이트 점검을 시작한 것입니다.

• 무료 점검에 귀하의 도메인을 입력한 formexposed 방문자 – 계정 없이, 읽기 전용으로 진행됩니다.
• 계정에 귀하의 도메인을 등록하고 해당 웹사이트를 운영하거나 관리한다고 밝힌 고객, 또는 귀하의 웹사이트에 당사 플러그인을 설치한 사람
• 잠재 고객으로서 귀하의 웹사이트를 읽기 전용으로 점검하게 한 에이전시
• 웹사이트 이름 없이 집계된 수치만 공개하는 연구를 위한 당사 자체 점검
• 무료 헤더 점검에 귀하의 홈페이지를 입력한 사람(헤더만, 브라우저 없이)

요청하시면 해당 점검이 이 중 어떤 유형이었는지 알려 드립니다. 누가 점검을 시작했는지는 개인정보 보호법이 허용하는 범위에서만 알려 드립니다. 이때 당사는 해당 사용자의 요청에 따라 행동하며, 고객이 관리 권한 증명을 제출한 도메인의 경우 해당 고객을 대신하여 행동합니다.

점검 중에 일어나는 일

• 점검 전에 봇은 귀하의 robots.txt를 읽습니다(아래 참조).
• 홈페이지와 같은 호스트(www. 포함 또는 제외, 다른 하위 도메인 제외)의 추가 페이지를 최대 7개, 합계 최대 8개까지 불러옵니다. 문의, 사업자 정보, 지원 등의 단어가 포함된 페이지가 우선입니다. 로그인, 계정, 장바구니 및 결제 페이지, 피드, PDF 및 이미지는 건너뜁니다.
• JavaScript가 활성화된 실제 헤드리스 브라우저를 사용하며, 페이지를 병렬이 아닌 순차적으로 불러옵니다. 한 페이지에는 최대 20초가 소요될 수 있으며, 약 3분이 지나면 점검이 중단됩니다.
• 양식을 읽습니다. 필드 이름과 유형, 레이블, 필수 필드, 삽입된 CAPTCHA, 숨겨진 트랩, 토큰 및 헤더입니다. 이 읽기 전용 점검 중에는 아무것도 입력하지 않습니다.
• 양식이 있는 페이지 최대 3개에 대해 페이지를 한 번 더 불러와 쿠키 배너에서 “거부”를 클릭합니다. “동의”는 절대 클릭하지 않습니다. 이를 통해 거부 후에도 양식이 작동하는지 확인합니다.
• 양식이 있는 페이지 최대 3개에 대해 클릭 없이 휴대폰 화면으로 페이지를 불러옵니다. 사용자 에이전트는 동일하게 유지되며, 스마트폰인 것처럼 위장하지 않습니다.
• 양식의 유형은 규칙으로 판별하고, 규칙만으로 부족한 경우 당사 자체 서버에서 실행되는 언어 모델을 사용합니다. 이 과정에서 어떤 데이터도 당사 서버 밖으로 나가지 않습니다.

도메인 관리 권한 증명(아래 참조)이 없으면 FormExposedBot은 로그인 없이 공개적으로 접근 가능한 페이지만 가져오며 아무것도 제출하지 않습니다. 어떠한 접근 보호도 우회하지 않고, 로그인 정보를 추측하지 않으며, CAPTCHA를 풀지 않습니다. 그 이상의 작업, 즉 테스트 제출, 노출된 파일 검색, 테스트 계정을 이용한 로그인 후 점검은 이 증명이 있는 도메인이나 formexposed 자체의 테스트 및 데모 도메인에서만 이루어집니다.

당사 웹사이트의 무료 점검을 통해서는 같은 도메인을 최대 7일에 한 번만 점검하며, 도메인을 다시 입력하는 사람에게는 기존 보고서가 표시됩니다. 고객은 대기 시간을 거쳐 계정에 등록된 도메인을 수동으로 점검할 수 있습니다. 관리 권한 증명이 있는 도메인은 요금제에 따른 주기로 정기 점검도 이루어지며, 전체 점검은 하루 최대 1회입니다. 브라우저 없이 이루어지는 가벼운 요청(아래 참조)은 더 자주 발생합니다.

테스트 제출은 인증된 도메인에서만

고객을 위한 제출은 고객이 해당 도메인을 관리할 권한이 있음을 증명한 경우(DNS 레코드, 메타 태그, 파일 또는 플러그인)에만 이루어집니다. 이 증명이 없으면 당사 자체의 테스트 및 데모 도메인만 능동적으로 점검합니다. 이 경우에도 다음이 적용됩니다.

• 점검당 양식 1개만, 그리고 일반 문의 양식으로 확실하게 식별된 양식만 대상으로 합니다. 언어 모델은 어떤 양식도 제출 대상으로 승인할 수 없습니다.
• 점검당 최대 5회 제출합니다. 예를 들어 CAPTCHA 응답 없이, 트랩 필드를 채운 상태로, 또는 변조된 토큰으로 제출합니다.
• 주문, 예약, 로그인, 회원가입, 뉴스레터, 고객 지원, 결제 또는 업로드 양식, 전화번호, 우편 주소 또는 회사 정보가 필수 필드인 양식, 그리고 도메인이나 페이지 제목으로 보아 공공기관, 법원, 대학, 학교 또는 의료기관으로 인식되는 웹사이트는 절대 대상으로 하지 않습니다.

봇은 페이지의 특징을 바탕으로 양식 유형과 웹사이트 유형을 인식하며, 개별 사례에서는 이 인식이 틀릴 수 있습니다. 위 목록은 봇의 설계 방식을 설명한 것이며 보증이 아닙니다. 테스트 제출을 원하지 않으시면 도메인을 제외하십시오(아래 참조). 그러면 제출이 발생할 수 있는 점검은 시작되지 않습니다.

모든 제출에는 표시가 붙습니다. 발신자 이름 “FormExposed Security Scanner”, 발신자 주소 dummy@formexposed.com, 제목 “[formexposed.com] Automated security test — no action required”. 본문은 귀하의 페이지 언어(독일어, 영어 또는 폴란드어)로 작성되며, 영어로는 다음과 같습니다.

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

“No data was stored(데이터가 저장되지 않았습니다)”라는 문장은 지나치게 포괄적입니다. 정확히 말하면, 이 과정에서 당사는 귀하의 방문자나 메일함의 데이터를 전혀 저장하지 않습니다. 다만 테스트를 평가하기 위해 제출에 대한 귀하 서버의 응답, 즉 상태 코드, 응답 페이지의 처음 300자 및 그 스크린샷은 저장합니다(“저장되는 정보” 참조).

봇은 그 밖의 필수 필드를 “FormExposed security test”로 채웁니다. 동의 체크박스처럼 체크하지 않으면 양식을 제출할 수 없는 체크박스는 체크합니다. 표시를 통해 그 뒤에 사람이나 사람의 의사표시가 없음을 알 수 있습니다.

헤더 인젝션 점검은 무해한 헤더 X-FormExposed-Injection-Test만 삽입하며, 수신자는 절대 삽입하지 않습니다. 주소 유효성 검사 점검은 존재할 수 없는 .invalid 아래의 주소를 사용합니다.

고객을 위한 추가 요청

고객 계정에 등록된 인증된 도메인의 경우, 고객의 요청에 따라 다음이 추가됩니다.

• 브라우저 여정: 브라우저(Chromium 또는 WebKit)가 고객이 선택한 양식 페이지를 휴대폰 크기로 열고, 양식이 표시되며 제출 버튼까지 조작할 수 있는지 확인합니다. 이를 위해 필수 필드를 브라우저 밖으로 나가지 않는 테스트 값으로 채웁니다. GET 및 HEAD 요청만 보내며, 제출은 기술적으로 차단되어 있습니다.
• 로그인 후 스캔: 웹사이트 운영자가 직접 만든 테스트 계정으로만, 최대 5개 페이지, 제출 없이, 스크린샷 없이 진행하며, 로그아웃, 삭제 또는 해지 주소는 절대 방문하지 않습니다. 로그인에 CAPTCHA가 있으면 봇은 중단합니다.
• 브라우저 없는 가벼운 요청: 양식 펄스(요금제에 따라 10분, 15분 또는 30분마다 최대 3개의 양식 페이지), 관리 권한 증명 확인, 헤더 점검 및 노출된 파일 검색입니다. 이들 요청은 pulse, ownership-verification, headers 또는 exposed-files 같은 접미사가 붙은 동일한 사용자 에이전트를 사용합니다.

또한 누구나 당사의 무료 헤더 점검으로 귀하 홈페이지의 헤더를 가져오게 할 수 있습니다. 홈페이지에 https와 http로 각각 1회씩 요청하고, 도메인 내 리디렉션이 있으면 이를 따라가며, 브라우저와 양식은 사용하지 않습니다.

저장되는 정보

진단 결과를 설명하는 정보만 저장합니다. 점검한 페이지의 주소와 제목, 양식의 구조(필드 이름, 유형, 레이블 등, 필드 값은 제외. 미리 채워진 숨김 필드의 앞부분 최대 24자와 data- 속성의 앞부분 최대 60자는 봇이 점검 중에만 읽고 저장하지 않음), 감지된 보호 조치, 헤더, 삽입된 서비스의 호스트, 스크립트의 체크섬(내용은 제외. 삽입된 스크립트는 식별자를 알아볼 수 없게 처리한 처음 80자도 포함), 설정된 쿠키의 이름, 홈페이지와 양식의 보이는 영역 스크린샷, 테스트 제출 후에는 응답 페이지의 스크린샷, 그리고 그 응답의 상태 코드와 처음 300자입니다. 점검 시 촬영한 이러한 스크린샷은 가림 처리되지 않으며, 공개 페이지에서 볼 수 있는 내용을 그대로 보여 줍니다. 브라우저 여정에서만 입력 필드를 가린 작은 양식 이미지가 생성됩니다. 양식에 수신자 주소가 포함되어 있으면 그 도메인만 저장합니다.

요청의 출처

FormExposedBot은 폴란드에 있는 당사 자체 서버에서 실행됩니다. IP 주소는 변경될 수 있으므로 공개하지 않습니다. 어떤 요청이 실제로 당사에서 보낸 것인지 확인하고 싶으시면 로그에 기록된 시각과 IP 주소를 알려 주십시오. 당사에서 보낸 것인지 답변해 드립니다. 장애 알림 전 교차 확인을 위해 다른 제공자의 두 번째 위치가 추가될 수 있으며, 이 위치에서도 FormExposedBot 사용자 에이전트를 사용합니다.

도메인을 제외하는 방법

robots.txt:

User-agent: FormExposedBot
Disallow: /

봇은 먼저 robots.txt에서 FormExposedBot용 그룹을 찾고, 없으면 모든 대상(*)을 위한 그룹을 찾습니다. Disallow가 홈페이지를 포함하면 점검은 이루어지지 않습니다. robots.txt 요청에 서버가 서버 오류로 응답하거나 전혀 응답하지 않는 경우에도 예방 차원에서 점검하지 않습니다. 파일이 없으면(404) 웹사이트는 허용된 것으로 간주됩니다. 현재 개별적으로 차단된 하위 디렉터리는 별도로 평가하지 않습니다. 점검을 전혀 원하지 않으시면 홈페이지를 차단하십시오. 브라우저 없는 가벼운 요청과 헤더 점검은 robots.txt를 읽지 않습니다.

옵트아웃: 도메인 제외하기 페이지에서 도메인을 입력하십시오. 이는 해당 도메인과 그 www. 변형에 적용되며, 다른 하위 도메인에는 적용되지 않습니다. 입력 후 시작되는 모든 점검에 영구적으로 적용되며, 인증된 도메인을 보유한 유료 고객에게도 적용되고, 헤더 점검도 포함합니다. 고객 계정에서 진행 중인 모니터링은 다음 예정된 점검 시점에 종료되며, 그때까지는 양식 펄스 같은 가벼운 요청이 계속 발생할 수 있습니다. 이를 더 빨리 중단하길 원하시면 당사에 연락해 주십시오.

개인정보 보호

컨트롤러는 LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, contact@lukaswojcik.com입니다. 고객이 자신의 도메인을 점검하는 경우, 당사는 해당 고객을 대신하여 처리합니다.

• 데이터 및 출처: 당사는 귀하 웹사이트의 점검 페이지에 나타나 페이지 주소, 페이지 제목, 양식 레이블 또는 스크린샷에서 보이게 되는 범위에서만 개인정보를 수집합니다. 예를 들어 사업자 정보 페이지나 양식 옆에 표시된 이름이 이에 해당합니다. 출처는 귀하의 웹사이트입니다. 당사는 이러한 데이터를 찾아다니지 않습니다.
• 목적 및 법적 근거: 양식의 보안 점검입니다. 무료 점검, 잠재 고객 점검 및 연구의 경우 당사와 사용자의 정당한 이익에 근거합니다(GDPR 제6조(1)(f)).
• 수령인: 보고서를 시작했거나 보고서 링크를 가진 사람(링크로 로그인 없이 보고서가 열립니다), 고객 계정에 등록된 도메인의 경우 고객이 선택한 알림 수신처도 포함되며, 연구에서는 합계 수치만 제공됩니다. 외부 AI 서비스는 관여하지 않습니다.
• 보관 기간: 계정 없는 보고서는 30일, 잠재 고객 점검은 90일, 고객 계정의 점검은 최대 13개월, 도메인별 최신 결과는 해당 도메인이 존재하는 동안, 연구는 공개 시까지입니다.
• 귀하의 권리: 열람, 정정, 삭제, 처리 제한 및 GDPR 제21조에 따른 반대권(가장 빠른 방법은 옵트아웃), 그리고 감독기관에 민원을 제기할 권리가 있습니다. 당사의 감독기관은 바르샤바의 폴란드 개인정보보호청장(Prezes Urzędu Ochrony Danych Osobowych)입니다.

그 밖의 모든 내용은 개인정보 처리방침에 있습니다. 오남용에 대한 당사의 대응 방식은 허용되는 이용 및 악용에서 설명합니다.

연락처

문의 또는 불만: contact@lukaswojcik.com 또는 문의 페이지를 이용해 주십시오. 도메인과, 가능하면 스캔 ID 또는 보고서 링크를 함께 알려 주십시오. formexposed 자체의 보안 취약점은 당사의 취약점 신고 페이지를 통해 신고해 주십시오.