Apie FormExposedBot

Paskutinį kartą atnaujinta: 2026 m. spalio 16 d.

Naršyklės identifikatorius (user-agent): FormExposedBot/1.0 (+https://formexposed.com/bot)
Žymuo robots.txt faile: FormExposedBot

Kas yra FormExposedBot

FormExposedBot – tai formexposed tikrinimo robotas. formexposed tikrina, ar kontaktinės formos apsaugotos nuo automatizuoto šlamšto ir ar jos patikimai veikia. Jei šį naršyklės identifikatorių radote savo serverio žurnaluose, kažkas pradėjo Jūsų svetainės patikrinimą:

• formexposed lankytojas, įvedęs Jūsų domeną nemokamame patikrinime – be paskyros, tik skaitymo režimu;
• klientas, kurio paskyroje yra Jūsų domenas ir kuris nurodo, kad valdo arba prižiūri svetainę, arba asmuo, įdiegęs mūsų įskiepį Jūsų svetainėje;
• agentūra, kuri tikrina Jūsų svetainę tik skaitymo režimu kaip potencialaus kliento svetainę;
• mes patys – tyrimui, iš kurio skelbiame tik apibendrintus skaičius be svetainių pavadinimų;
• asmuo, įvedęs Jūsų pagrindinį puslapį mūsų nemokamame antraščių patikrinime (tik antraštės, be naršyklės).

Paprašius pasakysime, kokio tipo buvo patikrinimas; kas jį pradėjo – tik tiek, kiek leidžia duomenų apsaugos teisė. Tai darydami veikiame to asmens iniciatyva, o domenų, kuriuos kontroliuoti klientas įrodė, atveju – to kliento vardu.

Kas vyksta patikrinimo metu

• Prieš patikrinimą robotas nuskaito Jūsų robots.txt (žr. toliau).
• Jis įkelia Jūsų pagrindinį puslapį ir iki septynių kitų puslapių tame pačiame prieglobos serveryje (su www. arba be jo, jokių kitų subdomenų), iš viso ne daugiau kaip aštuonis. Pirmiausia tikrinami puslapiai su tokiais žodžiais kaip kontaktai, rekvizitai ar pagalba. Jis praleidžia prisijungimo, paskyros, krepšelio ir apmokėjimo puslapius, sklaidos kanalus, PDF failus ir paveikslėlius.
• Jis naudoja tikrą naršyklę be grafinės sąsajos su įjungtu JavaScript ir puslapius įkelia vieną po kito, o ne lygiagrečiai. Vienas puslapis gali būti įkeliamas ne ilgiau kaip 20 sekundžių; maždaug po trijų minučių patikrinimas sustabdomas.
• Jis nuskaito formas: laukų pavadinimus ir tipus, etiketes, privalomus laukus, įterptas CAPTCHA, paslėptus spąstus, žetonus ir antraštes. Šio tik skaitymo patikrinimo metu jis nieko neįveda.
• Ne daugiau kaip trims puslapiams su forma jis įkelia puslapį antrą kartą ir slapukų reklamjuostėje spusteli „Atmesti“ – niekada „Sutikti“. Taip matome, ar forma vis dar veikia atmetus slapukus.
• Ne daugiau kaip trims puslapiams su forma jis įkelia puslapį telefono rodiniu, nieko nespausdamas. Naršyklės identifikatorius lieka tas pats; neapsimetame išmaniuoju telefonu.
• Formos tipą jis nustato pagal taisykles, o kai jų nepakanka – naudodamas mūsų pačių serveryje veikiantį kalbos modelį. Tuo metu niekas nepalieka mūsų serverių.

Be įrodymo, kad kontroliuojate domeną (žr. toliau), FormExposedBot atsisiunčia tik viešai be prisijungimo pasiekiamus puslapius ir nieko nepateikia. Jis neapeina jokios prieigos apsaugos, nespėlioja prisijungimo duomenų ir nesprendžia CAPTCHA. Visa, kas viršija šias ribas – bandomieji pateikimai, atvirų failų paieška ir patikrinimas už prisijungimo su bandomąja paskyra, – atliekama tik domenams, kuriems pateiktas toks įrodymas, arba formexposed pačios bandomiesiems ir demonstraciniams domenams.

Per nemokamą patikrinimą mūsų svetainėje tą patį domeną tikriname ne dažniau kaip kartą per septynias dienas; kas jį įveda dar kartą, mato esamą ataskaitą. Klientai savo paskyroje esančius domenus gali patikrinti rankiniu būdu, su laukimo laiku; domenai su kontrolės įrodymu taip pat reguliariai tikrinami jų plano nustatytu dažnumu, išsamus patikrinimas – ne dažniau kaip kartą per dieną. Lengvos užklausos be naršyklės (žr. toliau) siunčiamos dažniau.

Bandomieji pateikimai tik patvirtintiems domenams

Klientų atveju kas nors pateikiama tik tada, kai klientas įrodė turintis teisę kontroliuoti domeną (DNS įrašu, meta žyma, failu arba įskiepiu); be tokio įrodymo aktyviai tikriname tik savo pačių bandomuosius ir demonstracinius domenus. Net ir tada:

• tik viena forma per patikrinimą ir tik tokia, kuri patikimai atpažinta kaip bendroji kontaktinė forma; kalbos modelis niekada negali leisti formos pateikti;
• ne daugiau kaip penki pateikimai per patikrinimą, pavyzdžiui, be CAPTCHA atsakymo, su užpildytu spąstų lauku arba su pakeistu žetonu;
• niekada užsakymo, rezervavimo, prisijungimo, registracijos, naujienlaiškio, pagalbos, mokėjimo ar įkėlimo formos, niekada formos su privalomais telefono, pašto adreso ar įmonės duomenų laukais, niekada svetainės, kurias pagal domeną ar puslapio pavadinimą atpažįstame kaip valdžios institucijos, teismo, universiteto, mokyklos ar sveikatos priežiūros įstaigos svetaines.

Robotas formos tipą ir svetainės tipą atpažįsta pagal puslapio požymius; atskirais atvejais šis atpažinimas gali būti klaidingas. Sąrašas aprašo, kaip robotas sukurtas, ir nėra garantija. Jei nenorite bandomųjų pateikimų, išskirkite domeną (žr. toliau): tada nebus pradėtas joks patikrinimas, kurio metu galėtų būti kas nors pateikta.

Kiekvienas pateikimas pažymimas. Siuntėjo vardas „FormExposed Security Scanner“, siuntėjo adresas dummy@formexposed.com, tema „[formexposed.com] Automated security test — no action required“. Tekstas pateikiamas Jūsų puslapio kalba (vokiečių, anglų arba lenkų); angliškai:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

Sakinys „No data was stored“ (duomenys nebuvo išsaugoti) yra per platus. Teisinga yra tai, kad tuo metu nesaugome nieko iš Jūsų lankytojų ar Jūsų pašto dėžutės. Tačiau norėdami įvertinti testą, išsaugome Jūsų serverio atsakymą į pateikimą, būtent būsenos kodą, pirmuosius 300 atsakymo puslapio simbolių ir jo ekrano kopiją (žr. „Kas saugoma“).

Kitus privalomus laukus robotas užpildo tekstu „FormExposed security test“. Jis pažymi žymimuosius langelius, be kurių formos pateikti neįmanoma, pavyzdžiui, sutikimo. Žymėjimas rodo, kad už to nėra jokio asmens ir jokio asmens pareiškimo.

Antraštės įterpimo patikrinimas įterpia tik nekenksmingą antraštę X-FormExposed-Injection-Test, niekada ne gavėją. Adreso patvirtinimo patikrinimas naudoja adresą domene .invalid, kuris negali egzistuoti.

Papildomos užklausos klientams

Patvirtintiems domenams kliento paskyroje kliento prašymu papildomai atliekama:

• Naršyklės keliai: naršyklė (Chromium arba WebKit) telefono dydžiu atidaro kliento pasirinktą formos puslapį ir patikrina, ar forma rodoma ir ar ją galima naudoti iki pateikimo mygtuko; tam ji užpildo privalomus laukus bandomosiomis reikšmėmis, kurios nepalieka naršyklės. Ji siunčia tik GET ir HEAD užklausas; pateikimas techniškai užblokuotas.
• Patikrinimas už prisijungimo: tik su bandomąja paskyra, kurią sukūrė pats svetainės operatorius, ne daugiau kaip penki puslapiai, nieko nepateikiant, be ekrano kopijų, niekada atsijungimo, ištrynimo ar atšaukimo adresai. Jei prisijungimas apsaugotas CAPTCHA, robotas sustoja.
• Lengvos užklausos be naršyklės: formų pulsas (iki trijų formų puslapių kas 10, 15 arba 30 minučių, priklausomai nuo plano), kontrolės įrodymo patikrinimas, antraščių patikrinimas ir atvirų failų paieška. Jos naudoja tą patį naršyklės identifikatorių su priesaga, pavyzdžiui, pulse, ownership-verification, headers arba exposed-files.

Be to, bet kas gali atsisiųsti Jūsų pagrindinio puslapio antraštes naudodamas mūsų nemokamą antraščių patikrinimą: po vieną užklausą per https ir http į Jūsų pagrindinį puslapį ir galimus nukreipimus Jūsų domeno ribose, be naršyklės ir be formos.

Kas saugoma

Tik tai, kas apibūdina radinį: patikrintų puslapių adresai ir pavadinimai, formų struktūra (laukų pavadinimai, tipai, etiketės ir panašiai, be laukų reikšmių; iš anksto užpildytų paslėptų laukų pradžias iki 24 simbolių ir data- atributų pradžias iki 60 simbolių robotas nuskaito tik patikrinimo metu ir jų nesaugo), aptiktos apsaugos priemonės, antraštės, įterptų paslaugų prieglobos serveriai, scenarijų kontrolinės sumos (ne jų turinys; įterptiems scenarijams – ir pirmieji 80 simbolių, kuriuose identifikatoriai padaromi neatpažįstami), nustatytų slapukų pavadinimai, pagrindinio puslapio matomos srities ir formų ekrano kopijos, o po bandomojo pateikimo – ir atsakymo puslapio ekrano kopija; iš to atsakymo taip pat būsenos kodas ir pirmieji 300 simbolių. Šios patikrinimo ekrano kopijos neredaguojamos; jose matoma tai, kas matoma viešame puslapyje. Tik naršyklės keliai sukuria nedidelį formos vaizdą su uždengtais įvesties laukais. Jei formoje yra gavėjo adresas, išsaugome tik jo domeną.

Iš kur siunčiamos užklausos

FormExposedBot veikia mūsų pačių serveriuose Lenkijoje. IP adresų neskelbiame, nes jie gali keistis. Jei norite sužinoti, ar užklausa tikrai buvo iš mūsų, parašykite mums nurodydami laiką ir IP adresą iš savo žurnalo; atsakysime, ar ji buvo iš mūsų. Kryžminiam patikrinimui prieš įspėjimą apie neveikimą gali būti pridėta antra vieta pas kitą paslaugų teikėją; ji taip pat naudoja FormExposedBot naršyklės identifikatorių.

Kaip išskirti savo domeną

robots.txt:

User-agent: FormExposedBot
Disallow: /

Robotas pirmiausia ieško Jūsų robots.txt faile grupės, skirtos FormExposedBot, kitu atveju – grupės, skirtos visiems (*). Jei Disallow apima pagrindinį puslapį, patikrinimas neatliekamas. Jei Jūsų serveris į robots.txt užklausą atsako serverio klaida arba visai neatsako, atsargumo dėlei taip pat netikriname; jei failo nėra (404), svetainė laikoma leidžiama tikrinti. Šiuo metu atskirai nevertiname pavienių užblokuotų pakatalogių – jei nenorite būti tikrinami visai, užblokuokite pagrindinį puslapį. Lengvos užklausos be naršyklės ir antraščių patikrinimas robots.txt neskaito.

Opt-out: įveskite savo domeną puslapyje Išskirkite savo domeną. Išskyrimas taikomas domenui ir jo www. variantui, bet ne kitiems subdomenams. Jis galioja kiekvienam po įrašymo pradėtam patikrinimui, visam laikui, taip pat mokantiems klientams su patvirtintu domenu, ir apima antraščių patikrinimą. Vykdoma stebėsena kliento paskyroje baigiasi kito numatyto patikrinimo metu; iki tol dar gali būti siunčiamos lengvos užklausos, pavyzdžiui, formų pulsas. Jei norite, kad ir jos baigtųsi anksčiau, parašykite mums.

Duomenų apsauga

Duomenų valdytojas yra LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Lenkija, contact@lukaswojcik.com. Kai klientas tikrina savo domeną, veikiame jo vardu.

• Duomenys ir šaltinis: asmens duomenis renkame tik tiek, kiek jie yra patikrintuose Jūsų svetainės puslapiuose ir tampa matomi puslapio adrese, puslapio pavadinime, formos etiketėje ar ekrano kopijoje, pavyzdžiui, vardas ir pavardė rekvizituose ar šalia formos. Šaltinis – Jūsų svetainė. Tokių duomenų neieškome.
• Tikslas ir teisinis pagrindas: formų saugumo patikrinimai; nemokamo patikrinimo, potencialaus kliento patikrinimo ir tyrimo atveju – remiantis mūsų teisėtu interesu ir mūsų naudotojų interesu (BDAR Art. 6(1)(f)).
• Gavėjai: tas, kas pradėjo ataskaitą arba turi jos nuorodą – nuoroda atidaro ataskaitą be prisijungimo; kliento paskyroje esančių domenų atveju – ir kliento pasirinkti įspėjimų adresatai; iš tyrimo – tik bendros sumos. Jokia išorinė DI paslauga nedalyvauja.
• Saugojimo terminas: ataskaita be paskyros – 30 dienų, potencialaus kliento patikrinimas – 90 dienų, patikrinimai kliento paskyroje – iki 13 mėn., naujausias kiekvieno domeno rezultatas – tol, kol domenas egzistuoja, tyrimas – iki paskelbimo.
• Jūsų teisės: teisė susipažinti, ištaisyti, ištrinti, apriboti tvarkymą ir nesutikti pagal BDAR Art. 21 – greičiausiai per opt-out – ir teisė pateikti skundą priežiūros institucijai, mūsų atveju – Asmens duomenų apsaugos tarnybos pirmininkui (Prezes Urzędu Ochrony Danych Osobowych) Varšuvoje.

Visa kita – Privatumo politikoje. Kaip elgiamės su piktnaudžiavimu, nustatyta dokumente Priimtinas naudojimas ir piktnaudžiavimas.

Kontaktai

Klausimai ar skundai: contact@lukaswojcik.com arba per kontaktų puslapį. Nurodykite savo domeną ir, jei turite, patikrinimo ID arba ataskaitos nuorodą. Apie pačios formexposed saugumo spragas praneškite per mūsų pranešimo apie pažeidžiamumus puslapį.