Akseptabel bruk og misbruk

Dette dokumentet publiseres på flere språk. Ved avvik mellom språkversjonene er den polske versjonen bindende.

Versjon 1.0 · Sist oppdatert: 16. oktober 2026

formexposed ser på tredjeparters nettsteder og sender på bekreftede domener testinnsendinger til kontaktskjemaer. Et slikt verktøy kan også vendes mot andre. Denne siden angir hva formexposed er til for, hva som er forbudt, hvordan vi begrenser misbruk teknisk og hva som skjer hvis noen bryter reglene. Den gjelder alle som bruker formexposed: både kunder med konto og besøkende som bruker den gratis kontrollen uten konto.

Leverandøren er LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland. For Kunder inngår denne siden i avtalen: Bruksvilkår regner den blant avtaledokumentene. For den gratis kontrollen og de andre fritt tilgjengelige verktøyene gjelder den som del av reglene Bruksvilkårene fastsetter for disse verktøyene. Hvis denne siden strider mot Bruksvilkårene, går Bruksvilkårene foran. Eksempler («som», «for eksempel») illustrerer en regel; de verken utvider eller begrenser den.

1. Hva formexposed er til for

formexposed kontrollerer om et kontaktskjema er beskyttet mot automatisert søppelpost, om det virker pålitelig og om det håndterer opplysninger varsomt. Det er særlig tillatt:

• å kontrollere og overvåke ditt eget nettsted eller en kundes nettsted og bruke resultatene til å sikre det;
• å bruke den gratis kontrollen uten konto for å få et første, rent lesende inntrykk av et hvilket som helst offentlig tilgjengelig nettsted – slik en besøkende ser det;
• som byrå med Business-abonnement å få kontrollert en potensiell kundes nettsted passivt og gjøre funnene tilgjengelige for operatøren på lovlig måte (se avsnitt 3.5);
• å dele rapporter med personene som er ansvarlige for nettstedet eller tar hånd om det;
• å bruke API-et, programtillegget og utvidelsene innenfor dokumentasjonen og grensene deres;
• å vise merket på domenet det ble utstedt for.

Målestokken er enkel: formexposed skal hjelpe nettstedoperatører med å beskytte sine egne skjemaer. Alt som skader en tredjepart som ikke har samtykket til det, faller utenfor dette.

2. Hva formexposed bevisst ikke kan gjøre

For at tjenesten ikke skal kunne brukes som angrepsverktøy, har vi begrenset den. Disse grensene gjelder alle brukere og kan ikke låses opp av brukere:

• Uten dokumentasjon på råderett over et domene sendes ingenting inn der; de eneste unntakene er formexposeds egne test- og demodomener, som vi kontrollerer internt. Den gratis kontrollen, kontrollen for potensielle kunder og studien vår leser bare det en besøkende ser.
• Selv på bekreftede domener sender vi bare inn til et gjenkjent generelt kontaktskjema, høyst fem merkede testinnsendinger per kontroll. Vi sender aldri inn bestillings-, reservasjons-, innloggings-, registrerings-, nyhetsbrev-, støtte-, betalings- eller opplastingsskjemaer, skjemaer med obligatoriske opplysninger som telefonnummer eller postadresse, eller skjemaer på nettsteder vi ut fra domenet eller sidetittelen gjenkjenner som en offentlig myndighet, domstol, universitet, skole eller helseinstitusjon.
• Kontrollen av injeksjon i e-posthoder er ren påvisning: testverdien inneholder aldri en reell mottaker. E-postvalideringskontrollen bruker bare en adresse som slutter på .invalid, og som ikke kan finnes.
• Vi løser ikke CAPTCHA-er. På bekreftede domener kontrollerer vi bare om et skjema godtar en innsending uten CAPTCHA-token eller med et oppdiktet token. Hvis innloggingsskjemaet for skanning bak innloggingen har en CAPTCHA, stopper kontrollen.
• Søkeroboten forespør bare offentlige adresser over de vanlige webportene. Interne nettverk, lokale adresser og andre porter sperres, også ved omdirigeringer og innebygd innhold.
• Søket etter eksponerte filer (som en glemt konfigurasjonsfil) kjører bare for bekreftede domener, fordi forespørsler etter slike stier på tredjeparters nettsteder utgjør et angrep.

Disse grensene beskriver hvordan tjenesten er bygget. Skanneren gjenkjenner om et skjema er et generelt kontaktskjema, og om et nettsted tilhører en av de oppførte institusjonene, ut fra kjennetegn på siden som feltnavn, etiketter, domene og sidetittel; i enkelttilfeller kan gjenkjenningen være feil. Beskrivelsen er derfor ingen garanti til Kunder eller tredjeparter for at et bestemt skjema aldri blir omfattet. Den som ikke vil at nettstedet skal kontrolleres, kan utestenge det via opt-out (avsnitt 6.1).

3. Hva som er forbudt

3.1 Undersøke eller angripe tredjeparters nettsteder

• Å bruke formexposed til å finne sårbarheter i tredjeparters nettsteder og deretter angripe, overbelaste eller utnytte dem – for eksempel bevisst oversvømme et ubeskyttet skjema med søppelpost.
• Å videreformidle resultater, rapporter eller skjermbilder av et tredjepartsnettsted til personer som vil bruke dem til et angrep.
• Å bruke tjenesten mot nettsteder der operatøren tydelig har utestengt den, for eksempel ved å bytte til en annen skrivemåte for domenet.

Den som spionerer på eller angriper tredjeparters systemer uten tillatelse, kan også begå en straffbar handling (i Polen for eksempel etter art. 267 til 269b i den polske straffeloven (Kodeks karny), i Tyskland for eksempel etter §§ 202a til 202d og § 303b StGB, den tyske straffeloven). Det at informasjonen kommer fra en formexposed-rapport, endrer ingenting.

3.2 Omgå grenser og sikkerhetstiltak

• Å omgå grensene for den gratis kontrollen, for eksempel gjennom mange nettleserøkter, skiftende IP-adresser, proxyer, VPN-kjeder eller flere kontoer.
• Å forespørre den gratis kontrollen, kontrollen av HTTP-hoder eller opt-out-skjemaet automatisk. API-et finnes for automatisering.
• Å omgå reCAPTCHA, tidskontrollen og de øvrige beskyttelsestiltakene i våre egne skjemaer.
• Å omgå abonnementsgrenser ved å fordele bruken på flere gratiskontoer.

3.3 Skaffe bekreftelse ved bedrag

• Å bekrefte et domene der du verken er operatør eller engasjert av operatøren – selv om du teknisk har tilgang til DNS, server eller CMS, for eksempel som tidligere tjenesteleverandør, vertsleverandør eller ansatt.
• Å fremlegge dokumentasjon via tredjepartsinnhold, for eksempel via en kommentarfunksjon eller et opplastingsområde på tredjepartsnettstedet som alle kan skrive til.
• Å beholde et domene i kontoen etter at autorisasjonen er opphørt. Når oppdraget avsluttes, fjerner Kunden domenet.

Bekreftelsen er inngangsporten til de aktive kontrollene. Den som skaffer den ved bedrag, får formexposed til å sende inn til et tredjepartsskjema – det er det alvorligste misbruket tjenesten tillater, og vi behandler det som det.

3.4 Misbruke testinnsendinger

• Å bruke testinnsendinger som kanal for søppelpost eller varsling, for eksempel ved å bekrefte et domene for å belaste mottakerne med test-e-poster.
• Å utløse kontroller av et domene, særlig manuelle kontroller, med mål om å belaste mottakeren av skjema-e-postene fremfor å kontrollere skjemaet.
• Å konfigurere testinnsendinger på et domene uten å sikre at personene som mottar og behandler skjema-e-postene der (for eksempel et salgsteam), vet at merkede testinnsendinger kan komme.

3.5 Bruke kontrollen for potensielle kunder til uanmodet reklame

Kontrollen for potensielle kunder lar et byrå få en mulig kundes nettsted kontrollert passivt. Vi skriver ikke til operatøren; byrået videreformidler selv lenken. Hvordan det gjør det, er dets egen sak og ansvar. Det er forbudt å bruke funnene til reklame som loven ikke tillater uten forhåndssamtykke. Dette omfatter særlig:

• uanmodede e-poster med funnene til selskaper eller personer som ikke har samtykket (i Polen art. 398 i den polske loven om elektronisk kommunikasjon (Prawo komunikacji elektronicznej, PKE); i Tyskland § 7 UWG, den tyske loven mot illojal konkurranse – i begge land gjelder dette også virksomheter);
• uanmodede reklamesamtaler, i den grad gjeldende lov krever samtykke til dem;
• meldinger som bruker funnene til å bygge press, skape frykt eller gi inntrykk av at formexposed kontrollerte nettstedet på vegne av en myndighet eller operatøren.

Det er fortsatt tillatt å vise funnene til operatøren i en samtale operatøren har bedt om, og å sende dem til operatøren hvis vedkommende har samtykket til å motta dem, eller loven som gjelder for henvendelsen uttrykkelig tillater sending uten samtykke. Byrået kontrollerer selv om dette er tilfellet; det at det samarbeider med operatøren om en annen sak, er ikke i seg selv tilstrekkelig.

3.6 Misbruke rapporter, API, programtillegg og merke

• Å samle rapporter systematisk, gjette eller prøve ut rapportadresser, eller hente rapporter i stort antall for å samle opplysninger om tredjeparters nettsteder.
• Å publisere rapporter om tredjeparters nettsteder for å henge ut operatørene.
• Å videreformidle API-nøkler, programtilleggshemmeligheter eller påloggingsopplysninger, omgå API-ets grenser eller bruke det for tredjeparters domener.
• Å endre eller etterligne merket, vise det på et annet domene enn det ble utstedt for, eller bruke det til å hevde en sertifisering formexposed ikke gir. Merket viser «beskyttet» bare mens domenet er bekreftet, overvåkingen kjører og den siste kontrollen er fersk og gunstig; ellers viser det den nøytrale teksten «Kontroll av kontaktskjema». En selvlaget grafikk med samme utsagn villeder besøkende.
• Å lagre påloggingsopplysninger for skanning bak innloggingen for en konto som ikke er opprettet særskilt som testkonto, eller for et tredjepartsnettsted.

4. Hvordan formexposed forebygger og oppdager misbruk

Følgende tiltak er implementert i koden. Vi oppgir ikke de nøyaktige tersklene, fordi de endres og fordi de ville gjøre misbruk lettere.

4.1 Gratis kontroll

• Nødstopp. Vi kan når som helst sette den gratis kontrollen på pause. Opt-out berøres ikke og virker også under en pause.
• reCAPTCHA for kontrollen, kontrollen av HTTP-hoder og opt-out, med separate terskler per skjema, pluss en felle og en tidskontroll i disse skjemaene.
• Grenser per IP-adresse, per økt og per dag. Godtatte kontroller telles. En samlet daglig grense beskytter mot bølger.
• Mange domener fra én adresse. Den som prøver å kontrollere mange forskjellige domener fra én IP-adresse på kort tid, sperres. Her teller hvert forsøk, også et avvist: dette er det typiske mønsteret når noen bruker formexposed til å kartlegge tredjeparters nettsteder.
• Ett domene per uke. Den som skriver inn et domene igjen innen en uke, ser den eksisterende rapporten; det kontrolleres ikke på nytt.
• Svært unge domener og domener der alderen ikke kan fastslås, kontrolleres ikke uten konto. De registreres ofte for svindel.
• Bare offentlige mål. Et navn som peker til en intern eller reservert adresse, avvises – før jobben og på nytt ved hver enkelt forespørsel fra søkeroboten.

4.2 Overvåking

Vi registrerer påfallende mønstre – mange domener fra én adresse, mange forespørsler på få minutter, mange avviste forsøk i én økt, opphopninger av opt-out fra ett land, at den daglige grensen nås – som et avvik. Et nytt avvik utløser en melding til oss uten domene og uten IP-adresse; vi ser detaljene bare i administrasjonsområdet. Hvilke opplysninger vi lagrer for dette og hvor lenge, fremgår av Personvernerklæring.

4.3 Bekreftelse som inngangsport

Aktive kontroller, overvåking, skanning bak innloggingen, nettleserforløp og søket etter eksponerte filer kjører for kunder bare for domener der råderett er dokumentert: med DNS-oppføring, metatagg, fil på serveren eller via programtillegget. Før hver jobb kontrollerer skanneren selv på nytt om domenet er klassifisert som bekreftet; hvis ikke, går en aktiv kontroll tilbake til den rent lesende kontrollen, og et nettleserforløp utføres ikke. Aktive kontroller kan også slås av for hele tjenesten.

4.4 Testinnsendinger

Hver testinnsending er merket: i avsendernavnet «FormExposed Security Scanner», i emnet «[formexposed.com] Automated security test — no action required» og i teksten med henvisning til siden om FormExposedBot, til opt-out og med skanne-ID-en. Språket avhenger av målsiden (tysk, engelsk eller polsk). Per kontroll går høyst fem innsendinger til ett enkelt skjema. Skanneren stopper etter dette antallet. Den fyller andre obligatoriske felt med «FormExposed security test»; den krysser av i bokser som er nødvendige for at skjemaet skal kunne sendes inn, for eksempel for samtykke. Merkingen viser at det ikke står noen person og ingen erklæring fra en person bak.

4.5 Søkeroboten

FormExposedBot identifiserer seg med sin egen user-agent, leser robots.txt før hver kontroll og kontrollerer ikke hvis en Disallow for den eller for alle programmer omfatter startsiden; den overholder for tiden ikke sperrede understier enkeltvis. Lette forespørsler uten nettleser, som skjemapuls eller kontroll av HTTP-hoder, leser ikke robots.txt. Den kontrollerer ikke domener på utestengingslisten vår (opt-out) eller www-varianten deres, heller ikke på vegne av betalende kunder med bekreftet domene; pågående overvåking av dem avsluttes ved neste planlagte kontroll. Detaljer finnes på siden om FormExposedBot.

5. Følger av et brudd

Vi reagerer forholdsmessig: vi velger det mildeste tiltaket som stanser bruddet og avverger ytterligere skade for tredjeparter og tjenesten, begrenser det til den berørte kontoen, domenet eller funksjonen og opphever det så snart grunnlaget bortfaller. Mulige tiltak er å:

• avbryte enkelte kontroller og midlertidig sperre IP-adresser eller økter;
• fjerne et domene fra en konto, tilbakekalle bekreftelsen eller sette det på utestengingslisten;
• sperre enkelte funksjoner, som aktive kontroller, kontrollen for potensielle kunder, API-et eller merket;
• sperre kontoen og avslutte avtalen av vesentlig grunn, som fastsatt i Bruksvilkår;
• kreve erstatning for skade etter lovbestemmelsene og, i den grad loven tillater det, underrette berørte nettstedoperatører, rettshåndhevende myndigheter eller CERT Polska hvis det finnes konkrete holdepunkter for en straffbar handling eller et angrep på tredjeparter.

Automatiske grenser for den gratis kontrollen og våre egne skjemaer (avsnitt 4.1) er ikke et tiltak mot en bestemt person. De gjelder alle etter faste regler og opphører når den aktuelle perioden utløper, eller så snart vi har avklart et avvik.

Forhåndsuttalelse. Før vi sperrer en Kundes konto, domene eller funksjon, fjerner et domene fra kontoen, tilbakekaller bekreftelsen eller avslutter avtalen, informerer vi Kunden i tekstform om hvilken atferd vi har innvendinger mot, hvilken regel på denne siden eller i Bruksvilkår vi støtter oss på, og hvilket tiltak vi vurderer. Kunden kan uttale seg eller rette bruddet innen sju dager; først deretter bestemmer vi. Før opphør av vesentlig grunn gjelder i stedet den lengre rettefristen Bruksvilkårene fastsetter for dette; sperring på grunn av manglende betaling reguleres utelukkende av Bruksvilkårene.

Hastesaker. Vi handler uten forhåndsuttalelse bare hvis det å vente ville sette tredjeparter eller tjenesten i alvorlig fare, særlig ved konkrete holdepunkter for bekreftelse skaffet ved bedrag, ved kontroller eller testinnsendinger mot nettstedoperatørens erklærte vilje, ved angrep på tredjeparter via tjenesten, ved en melding som tyder på et alvorlig lovbrudd gjennom innhold i en kundeportal eller en rapport med egen merkevare, eller hvis en myndighet, domstol eller lov krever det. I så fall begrenser vi først tiltaket til det berørte domenet, funksjonen eller innholdet, informerer Kunden om det med begrunnelse i tekstform uten ugrunnet opphold og senest neste virkedag, i den grad dette ikke motvirker formålet og ikke er forbudt ved lov, og innhenter uttalelsen etterpå.

Innvendinger. Den som anser et tiltak som uberettiget, også uten konto, kan fremsette innvendinger i tekstform på contact@lukaswojcik.com. Vi undersøker innvendingen og svarer innen 14 dager med begrunnelse; hvis den er berettiget, opphever vi tiltaket umiddelbart. Fremgangsmåten under Klager og adgangen til domstolene forblir åpne. Hvis vi begrenser en Kundes innhold etter en melding om ulovlig innhold, gir vi i tillegg en begrunnelse etter art. 17 i forordning (EU) 2022/2065 (forordningen om digitale tjenester, DSA) og oppgir disse klagemulighetene. Om en sperring påvirker betalingsplikten, og når opphør av vesentlig grunn er mulig, reguleres av Bruksvilkårene.

6. Hvis du er berørt

6.1 Du vil ikke at formexposed skal kontrollere nettstedet ditt

Skriv inn domenet ditt på siden Utesteng domenet ditt, eller blokker FormExposedBot for startsiden i robots.txt. Begge får virkning uten at du må kontakte oss, for hver kontroll som starter etterpå. Pågående overvåking i en kundekonto avsluttes ved neste planlagte kontroll; frem til da kan lette forespørsler som skjemapuls fortsatt komme, og disse lette forespørslene leser ikke robots.txt. Hvis du vil at også disse skal avsluttes tidligere, skriv i tillegg til oss. Hva som nøyaktig utestenges, beskrives på opt-out-siden.

6.2 Du har mottatt en testinnsending du ikke forventet

Testinnsendinger går bare til domener en Kunde har dokumentert råderett over, og til formexposeds egne test- og demodomener. De skjer på initiativ fra denne Kunden. Hvis du ikke har avtalt dette, har kanskje byrået ditt, vertsleverandøren eller en kollega lagt til domenet – eller noen har skaffet bekreftelsen ved bedrag. Den raskeste måten å stoppe videre testinnsendinger på er å gjøre det selv via opt-out: testinnsendinger skjer bare under en kontroll, og etter oppføringen starter ingen ytterligere kontroll av domenet. Skriv også til oss på contact@lukaswojcik.com og oppgi skanne-ID-en fra meldingen. Vi undersøker hvem som bekreftet domenet, setter domenet på utestengingslisten frem til avklaring hvis du ikke allerede har gjort det, og ber Kunden dokumentere sin fullmakt. Vi forteller deg hvem som bekreftet det, bare i den utstrekning personvernlovgivningen tillater det.

6.3 Du mistenker at noen bruker formexposed mot deg

Skriv til contact@lukaswojcik.com, helst med tidspunkt, domene og – fra serverloggene dine – forespørslene med FormExposedBot som user-agent. Du kan også nå oss via kontaktsiden. Vi bekrefter mottak og forteller deg hva vi har gjort. Du kan melde ulovlig innhold i en kundeportal eller rapport med egen merkevare på samme måte; hva en slik melding etter art. 16 DSA bør inneholde, fremgår av Leverandøropplysninger. Kontaktpunktet vårt etter art. 11 og 12 DSA står også der.

6.4 Du har funnet en sikkerhetssårbarhet i selve formexposed

Meld den via siden vår for sårbarhetsmeldinger (også på /.well-known/security.txt). Den forklarer hvordan vi behandler meldinger og hva vi lover sikkerhetsforskere. Ikke test på tredjeparters nettsteder i denne prosessen, heller ikke via formexposed.

7. Samarbeid med myndigheter

Vi samarbeider med rettshåndhevende myndigheter, tilsynsmyndigheter og organer som CERT Polska ved misbruk av tjenesten eller angrep på tredjeparter. Vi utleverer opplysninger bare hvis det finnes et rettslig grunnlag, organet som ber om dem er kompetent, og anmodningen har foreskrevet form. Vi undersøker hver anmodning enkeltvis og utleverer bare det den faktisk krever. Vi informerer berørte Kunder med mindre loven eller myndigheten forbyr det.

Vi lagrer ikke mer for å kunne gi opplysninger til myndigheter enn det som er nødvendig for drift og forebygging av misbruk. Det som er slettet etter at fristene i Personvernerklæring har utløpt, kan vi heller ikke utlevere.

8. Endringer

Vi oppdaterer denne siden når tjenesten eller misbruksmønstrene endres. For Kunder gjelder endringsreglene i Bruksvilkår; nye forbud og strengere følger gjelder dem først etter denne fremgangsmåten. Vi vurderer atferd etter versjonen som gjaldt da atferden fant sted. Spørsmål om denne siden: contact@lukaswojcik.com.