Aanvaardbaar gebruik en misbruik

Dit document is in meerdere talen gepubliceerd. Bij verschillen tussen de taalversies is de Poolse versie bindend.

Versie 1.0 · Laatst bijgewerkt: 16 oktober 2026

formexposed bekijkt websites van derden en verstuurt op geverifieerde domeinen testinzendingen naar contactformulieren. Een dergelijk hulpmiddel kan ook tegen anderen worden gekeerd. Deze pagina legt vast waarvoor formexposed bedoeld is, wat verboden is, hoe wij misbruik technisch beperken en wat er gebeurt als iemand de regels overtreedt. Zij geldt voor iedereen die formexposed gebruikt: voor klanten met een account en ook voor bezoekers die de gratis controle zonder account gebruiken.

Aanbieder is LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polen. Voor Klanten maakt deze pagina deel uit van de overeenkomst: de Gebruiksvoorwaarden rekenen haar tot de contractdocumenten. Voor de gratis controle en de andere vrij toegankelijke tools geldt zij als onderdeel van de regels die de Gebruiksvoorwaarden voor deze tools vastleggen. Is deze pagina in strijd met de Gebruiksvoorwaarden, dan gaan de Gebruiksvoorwaarden voor. Voorbeelden (“zoals”, “bijvoorbeeld”) verduidelijken een regel; zij verruimen of beperken haar niet.

1. Waarvoor formexposed bedoeld is

formexposed controleert of een contactformulier beschermd is tegen geautomatiseerde spam, of het betrouwbaar werkt en of het zorgvuldig met gegevens omgaat. Toegestaan is met name:

• uw eigen website of de website van een klant controleren en monitoren en de resultaten gebruiken om die te beveiligen;
• de gratis controle zonder account gebruiken om een eerste, alleen-lezen indruk te krijgen van elke openbaar toegankelijke website – zoals een bezoeker die ziet;
• als bureau met het Business-abonnement de website van een prospect passief laten controleren en de bevindingen op rechtmatige wijze aan de beheerder ter beschikking stellen (zie paragraaf 3.5);
• rapporten delen met de mensen die verantwoordelijk zijn voor de website of die deze beheren;
• de API, de plug-in en de extensies gebruiken binnen hun documentatie en limieten;
• de badge tonen op het domein waarvoor hij is uitgegeven.

De maatstaf is eenvoudig: formexposed is bedoeld om websitebeheerders te helpen hun eigen formulieren te beschermen. Alles wat een derde schaadt die daar niet mee heeft ingestemd, hoort daar niet bij.

2. Wat formexposed bewust niet kan

Om de dienst onbruikbaar te maken als aanvalsinstrument, hebben wij hem beperkt. Deze grenzen gelden voor alle gebruikers en kunnen door gebruikers niet worden opgeheven:

• Zonder bewijs van beheer over een domein wordt daar niets verzonden; de enige uitzonderingen zijn de eigen test- en demodomeinen van formexposed, die wij intern controleren. De gratis controle, de prospectcontrole en ons onderzoek lezen alleen wat een bezoeker ziet.
• Ook op geverifieerde domeinen verzenden wij alleen naar een herkend algemeen contactformulier, maximaal vijf gemarkeerde testinzendingen per controle. Wij verzenden nooit bestel-, boekings-, inlog-, registratie-, nieuwsbrief-, support-, betaal- of uploadformulieren, formulieren met verplichte gegevens zoals telefoonnummer of postadres, of formulieren op websites die wij aan het domein of de paginatitel herkennen als overheidsinstantie, rechtbank, universiteit, school of zorginstelling.
• De controle op header-injectie is pure detectie: de testwaarde bevat nooit een echte ontvanger. De controle van de e-mailvalidatie gebruikt alleen een adres dat eindigt op .invalid, dat niet kan bestaan.
• Wij lossen geen CAPTCHA’s op. Op geverifieerde domeinen controleren wij alleen of een formulier een inzending zonder CAPTCHA-token of met een verzonnen token accepteert. Heeft het inlogformulier voor de scan achter de login een CAPTCHA, dan stopt de controle.
• De crawler vraagt alleen openbare adressen op via de gebruikelijke webpoorten. Interne netwerken, lokale adressen en andere poorten zijn geblokkeerd, ook bij doorverwijzingen en ingesloten content.
• Het zoeken naar blootgestelde bestanden (zoals een vergeten configuratiebestand) gebeurt alleen voor geverifieerde domeinen, omdat het opvragen van zulke paden op websites van derden neerkomt op een aanval.

Deze grenzen beschrijven hoe de dienst is gebouwd. De scanner herkent aan kenmerken van de pagina zoals veldnamen, labels, domein en paginatitel of een formulier een algemeen contactformulier is en of een website toebehoort aan een van de genoemde instellingen; in individuele gevallen kan deze herkenning onjuist zijn. De beschrijving is daarom geen garantie aan Klanten of derden dat een bepaald formulier nooit zal worden geraakt. Wie niet wil dat zijn website wordt gecontroleerd, kan die via de opt-out uitsluiten (paragraaf 6.1).

3. Wat verboden is

3.1 Websites van derden aftasten of aanvallen

• formexposed gebruiken om kwetsbaarheden in websites van derden te vinden en die vervolgens aan te vallen, te overbelasten of uit te buiten – bijvoorbeeld een onbeschermd formulier opzettelijk met spam overspoelen.
• Resultaten, rapporten of screenshots van een website van een derde doorgeven aan mensen die ze voor een aanval willen gebruiken.
• De dienst gebruiken tegen websites waarvan de beheerder hem kennelijk heeft uitgesloten, bijvoorbeeld door uit te wijken naar een andere schrijfwijze van het domein.

Wie zonder toestemming systemen van derden bespioneert of aanvalt, kan zich bovendien strafbaar maken (in Polen bijvoorbeeld op grond van Art. 267 tot en met 269b van het Poolse Wetboek van Strafrecht (Kodeks karny), in Duitsland bijvoorbeeld op grond van §§ 202a tot en met 202d en § 303b StGB, het Duitse Wetboek van Strafrecht). Dat de informatie uit een rapport van formexposed afkomstig is, verandert daar niets aan.

3.2 Limieten en beveiligingen omzeilen

• De limieten van de gratis controle omzeilen, bijvoorbeeld via veel browsersessies, wisselende IP-adressen, proxy’s, VPN-ketens of meerdere accounts.
• De gratis controle, de headercontrole of het opt-outformulier geautomatiseerd bevragen. Voor automatisering is er de API.
• reCAPTCHA, de tijdcontrole en de andere beveiligingsmaatregelen van onze eigen formulieren omzeilen.
• Abonnementslimieten omzeilen door het gebruik over meerdere gratis accounts te verdelen.

3.3 Verificatie door misleiding verkrijgen

• Een domein verifiëren waarvan u noch de beheerder bent, noch door de beheerder bent ingeschakeld – ook als u technisch toegang hebt tot DNS, server of CMS, bijvoorbeeld als voormalige dienstverlener, hostingprovider of werknemer.
• Het bewijs leveren via content van derden, bijvoorbeeld via een reactiefunctie of een uploadgedeelte van de website van een derde waarin iedereen kan schrijven.
• Een domein in het account laten staan nadat de bevoegdheid is geëindigd. Eindigt de opdracht, dan verwijdert de Klant het domein.

De verificatie is de toegangspoort tot de actieve controles. Wie haar door misleiding verkrijgt, laat formexposed naar het formulier van een derde verzenden – dat is het ernstigste misbruik dat de dienst toelaat, en zo behandelen wij het ook.

3.4 Testinzendingen misbruiken

• Testinzendingen gebruiken als spam- of meldingskanaal, bijvoorbeeld door een domein te verifiëren om de ontvangers ervan met test-e-mails te belasten.
• Controles van een domein, met name handmatige controles, starten met het doel de ontvanger van de formulier-e-mails te belasten in plaats van het formulier te controleren.
• Testinzendingen op een domein instellen zonder ervoor te zorgen dat de mensen die daar de formulier-e-mails ontvangen en afhandelen (bijvoorbeeld een verkoopteam) weten dat er gemarkeerde testinzendingen kunnen binnenkomen.

3.5 De prospectcontrole gebruiken voor ongevraagde reclame

Met de prospectcontrole kan een bureau de website van een potentiële klant passief laten controleren. Wij schrijven de beheerder niet aan; het bureau geeft de link zelf door. Hoe het dat doet, is zijn eigen zaak en zijn eigen verantwoordelijkheid. Het is verboden de bevindingen te gebruiken voor reclame die de wet zonder voorafgaande toestemming niet toestaat. Daaronder valt met name:

• ongevraagde e-mails met de bevindingen aan bedrijven of personen die daarmee niet hebben ingestemd (in Polen Art. 398 van de Poolse wet inzake elektronische communicatie (Prawo komunikacji elektronicznej, PKE); in Duitsland § 7 UWG, de Duitse wet tegen oneerlijke concurrentie – in beide landen geldt dit ook voor ondernemingen);
• ongevraagde reclametelefoontjes, voor zover het toepasselijke recht daarvoor toestemming vereist;
• berichten die de bevindingen gebruiken om druk uit te oefenen, angst aan te wakkeren of de indruk te wekken dat formexposed de website in opdracht van een autoriteit of van de beheerder heeft gecontroleerd.

Toegestaan blijft het de bevindingen aan de beheerder te tonen in een gesprek waarom de beheerder heeft gevraagd, en ze aan de beheerder toe te sturen als die met de ontvangst heeft ingestemd of het op de benadering toepasselijke recht het toesturen zonder toestemming uitdrukkelijk toestaat. Het bureau gaat zelf na of dat het geval is; dat het op een ander gebied met de beheerder samenwerkt, volstaat op zichzelf niet.

3.6 Rapporten, API, plug-in en badge misbruiken

• Systematisch rapporten verzamelen, rapportadressen raden of uitproberen, of rapporten in grote aantallen opvragen om gegevens over websites van derden te verzamelen.
• Rapporten over websites van derden publiceren om de beheerders ervan aan de schandpaal te nagelen.
• API-sleutels, pluginsecrets of inloggegevens doorgeven, de limieten van de API omzeilen of de API gebruiken voor domeinen van derden.
• De badge wijzigen of nabootsen, hem tonen op een ander domein dan dat waarvoor hij is uitgegeven, of hem gebruiken om een certificering te claimen die formexposed niet verleent. De badge toont alleen “beschermd” zolang het domein geverifieerd is, de monitoring loopt en de laatste controle recent en gunstig is; anders toont hij het neutrale “Contactformuliercontrole”. Een zelfgemaakte afbeelding met dezelfde boodschap misleidt bezoekers.
• Inloggegevens voor de scan achter de login opslaan voor een account dat niet speciaal als testaccount is aangemaakt, of voor de website van een derde.

4. Hoe formexposed misbruik voorkomt en opspoort

De volgende maatregelen zijn in de code geïmplementeerd. De exacte drempels maken wij niet bekend, omdat ze veranderen en omdat ze misbruik zouden vergemakkelijken.

4.1 Gratis controle

• Noodschakelaar. Wij kunnen de gratis controle op elk moment pauzeren. De opt-out wordt daardoor niet geraakt en werkt ook tijdens een pauze.
• reCAPTCHA voor de controle, de headercontrole en de opt-out, met afzonderlijke drempels per formulier, plus een valveld en een tijdcontrole in deze formulieren.
• Limieten per IP-adres, per sessie en per dag. Aanvaarde controles worden geteld. Een algemene daglimiet beschermt tegen golven.
• Veel domeinen vanaf één adres. Wie binnen korte tijd vanaf één IP-adres veel verschillende domeinen probeert te controleren, wordt geblokkeerd. Hier telt elke poging, ook een geweigerde: dit is het typische patroon waarmee iemand formexposed gebruikt om websites van derden af te tasten.
• Eén domein per week. Wie een domein binnen een week opnieuw invoert, ziet het bestaande rapport; het wordt niet opnieuw gecontroleerd.
• Zeer jonge domeinen en domeinen waarvan de leeftijd niet kan worden vastgesteld, worden zonder account niet gecontroleerd. Zij worden vaak voor fraude geregistreerd.
• Alleen openbare doelen. Een naam die naar een intern of gereserveerd adres verwijst, wordt geweigerd – vóór de opdracht en opnieuw bij elk afzonderlijk verzoek van de crawler.

4.2 Monitoring

Opvallende patronen – veel domeinen vanaf één adres, veel verzoeken binnen enkele minuten, veel geweigerde pogingen in één sessie, clusters van opt-outs uit één land, het bereiken van de daglimiet – registreren wij als afwijking. Een nieuwe afwijking leidt tot een melding aan ons, zonder domein en zonder IP-adres; de details zien wij alleen in het beheergedeelte. Welke gegevens wij daarvoor opslaan en hoe lang, staat in de Privacyverklaring.

4.3 Verificatie als toegangspoort

Actieve controles, monitoring, de scan achter de login, browsertrajecten en het zoeken naar blootgestelde bestanden worden voor klanten alleen uitgevoerd voor domeinen waarvoor een bewijs van beheer is geleverd: via DNS-record, metatag, bestand op de server of via de plug-in. Vóór elke opdracht controleert de scanner zelf opnieuw of het domein als geverifieerd geldt; is dat niet zo, dan valt een actieve controle terug op de alleen-lezen controle en wordt een browsertraject niet uitgevoerd. Actieve controles kunnen bovendien voor de hele dienst worden uitgeschakeld.

4.4 Testinzendingen

Elke testinzending is gemarkeerd: in de afzendernaam “FormExposed Security Scanner”, in het onderwerp “[formexposed.com] Automated security test — no action required” en in de tekst met een verwijzing naar de pagina over FormExposedBot, naar de opt-out en met de scan-ID. De taal hangt af van de doelpagina (Duits, Engels of Pools). Per controle gaan er maximaal vijf inzendingen naar één formulier. Na dit aantal stopt de scanner. Andere verplichte velden vult hij in met “FormExposed security test”; selectievakjes zonder welke het formulier niet kan worden verzonden, bijvoorbeeld voor toestemming, vinkt hij aan. De markering laat zien dat er geen persoon en geen verklaring van een persoon achter zit.

4.5 De crawler

FormExposedBot maakt zich bekend met een eigen user-agent, leest vóór elke controle robots.txt en controleert niet als een Disallow voor hem of voor alle programma’s de startpagina omvat; geblokkeerde subpaden respecteert hij momenteel niet afzonderlijk. Lichte verzoeken zonder browser, zoals de formulierpuls of de headercontrole, lezen robots.txt niet. Domeinen op onze uitsluitingslijst (opt-out) en hun www-variant controleert hij niet, ook niet in opdracht van betalende klanten met een geverifieerd domein; hun lopende monitoring eindigt met de eerstvolgende geplande controle. Details staan op de pagina over FormExposedBot.

5. Gevolgen van een overtreding

Wij reageren evenredig: wij kiezen de mildste maatregel die de overtreding beëindigt en verdere schade voor derden en voor de dienst afwendt, beperken die tot het betrokken account, domein of de betrokken functie en heffen haar op zodra de reden ervoor vervalt. Mogelijke maatregelen zijn:

• afzonderlijke controles afbreken en IP-adressen of sessies tijdelijk blokkeren;
• een domein uit een account verwijderen, de verificatie ervan intrekken of het op de uitsluitingslijst plaatsen;
• afzonderlijke functies blokkeren, zoals actieve controles, de prospectcontrole, de API of de badge;
• het account blokkeren en de overeenkomst om gewichtige redenen beëindigen, zoals bepaald in de Gebruiksvoorwaarden;
• schadevergoeding vorderen overeenkomstig de wettelijke bepalingen en, voor zover wettelijk toegestaan, de betrokken websitebeheerders, rechtshandhavingsinstanties of CERT Polska inlichten als er concrete aanwijzingen zijn voor een strafbaar feit of een aanval op derden.

Automatische limieten van de gratis controle en van onze eigen formulieren (paragraaf 4.1) zijn geen maatregel tegen een bepaalde persoon. Zij gelden voor iedereen volgens vaste regels en eindigen wanneer de betreffende periode verstrijkt of zodra wij een afwijking hebben afgehandeld.

Voorafgaand horen. Voordat wij het account, een domein of een functie van een Klant blokkeren, een domein uit zijn account verwijderen, de verificatie ervan intrekken of de overeenkomst beëindigen, delen wij de Klant in tekstvorm mee welk gedrag wij hem verwijten, op welke regel van deze pagina of van de Gebruiksvoorwaarden wij ons baseren en welke maatregel wij overwegen. De Klant kan binnen zeven dagen reageren of de overtreding herstellen; pas daarna beslissen wij. Vóór een beëindiging om gewichtige redenen geldt in plaats daarvan de langere hersteltermijn die de Gebruiksvoorwaarden daarvoor bepalen; een blokkering wegens wanbetaling wordt uitsluitend door de Gebruiksvoorwaarden geregeld.

Spoedeisende gevallen. Zonder voorafgaand horen treden wij alleen op als wachten derden of de dienst ernstig in gevaar zou brengen, met name bij concrete aanwijzingen voor een door misleiding verkregen verificatie, bij controles of testinzendingen tegen de kenbare wil van de websitebeheerder in, bij een aanval op derden via de dienst, bij een melding die wijst op een ernstige wetsovertreding door content in een klantportaal of white-labelrapport, of als een autoriteit, een rechter of de wet dat vereist. In dat geval beperken wij de maatregel eerst tot het betrokken domein, de betrokken functie of content, delen wij die de Klant onverwijld en uiterlijk op de volgende werkdag met redenen omkleed in tekstvorm mee, voor zover dat het doel niet ondermijnt en niet wettelijk verboden is, en vindt het horen achteraf plaats.

Bezwaar. Wie een maatregel onterecht vindt, ook zonder account, kan daartegen in tekstvorm bezwaar maken via contact@lukaswojcik.com. Wij onderzoeken het bezwaar en antwoorden binnen 14 dagen met redenen; is het gegrond, dan heffen wij de maatregel onmiddellijk op. De procedure onder Klachten en de gang naar de rechter blijven openstaan. Beperken wij content van een Klant na een melding van illegale content, dan verstrekken wij bovendien een motivering op grond van Art. 17 van Verordening (EU) 2022/2065 (digitaledienstenverordening, DSA) en noemen wij deze rechtsmiddelen. Of een blokkering gevolgen heeft voor de betalingsverplichting en wanneer een beëindiging om gewichtige redenen mogelijk is, wordt geregeld door de Gebruiksvoorwaarden.

6. Als u betrokken bent

6.1 U wilt niet dat formexposed uw website controleert

Voer uw domein in op de pagina Uw domein uitsluiten of blokkeer FormExposedBot voor de startpagina in uw robots.txt. Beide werken, zonder dat u contact met ons hoeft op te nemen, voor elke controle die daarna start. Lopende monitoring in een klantaccount eindigt met de eerstvolgende geplande controle; tot dan kunnen nog lichte verzoeken zoals de formulierpuls binnenkomen, en deze lichte verzoeken lezen de robots.txt niet. Wilt u dat ook die eerder stoppen, schrijf ons dan bovendien. Wat precies wordt uitgesloten, staat op de opt-outpagina.

6.2 U hebt een testinzending ontvangen die u niet verwachtte

Testinzendingen gaan alleen naar domeinen waarvoor een Klant een bewijs van beheer heeft geleverd, en naar de eigen test- en demodomeinen van formexposed. Zij vinden plaats op initiatief van die Klant. Hebt u dit niet geregeld, dan heeft misschien uw bureau, uw hostingprovider of een collega het domein toegevoegd – of heeft iemand de verificatie door misleiding verkregen. De snelste manier om verdere testinzendingen te stoppen, is dat zelf te doen via de opt-out: testinzendingen vinden alleen plaats tijdens een controle, en na de invoer start er geen controle van het domein meer. Schrijf ons daarnaast via contact@lukaswojcik.com en vermeld de scan-ID uit het bericht. Wij gaan na wie het domein heeft geverifieerd, plaatsen het domein in afwachting van opheldering op de uitsluitingslijst als u dat nog niet hebt gedaan, en vragen de Klant zijn bevoegdheid aan te tonen. Wie het domein heeft geverifieerd, vertellen wij u alleen voor zover het gegevensbeschermingsrecht dat toestaat.

6.3 U vermoedt dat iemand formexposed tegen u gebruikt

Schrijf naar contact@lukaswojcik.com, bij voorkeur met het tijdstip, het domein en – uit uw serverlogs – de verzoeken met de user-agent van FormExposedBot. U kunt ons ook bereiken via de contactpagina. Wij bevestigen de ontvangst en laten u weten wat wij hebben gedaan. Illegale content in een klantportaal of white-labelrapport kunt u op dezelfde manier melden; wat zo’n melding op grond van Art. 16 DSA moet bevatten, staat in het Colofon. Daar staat ook ons contactpunt op grond van Art. 11 en 12 DSA.

6.4 U hebt een beveiligingslek in formexposed zelf gevonden

Meld het via onze pagina voor het melden van kwetsbaarheden (ook op /.well-known/security.txt). Daar staat hoe wij met meldingen omgaan en wat wij onderzoekers beloven. Test daarbij niet op websites van derden, ook niet via formexposed.

7. Samenwerking met autoriteiten

Wij werken samen met rechtshandhavingsinstanties, toezichthoudende autoriteiten en instanties zoals CERT Polska wanneer het gaat om misbruik van de dienst of aanvallen op derden. Wij verstrekken gegevens alleen als er een rechtsgrondslag is, de verzoekende instantie bevoegd is en het verzoek de voorgeschreven vorm heeft. Wij onderzoeken elk verzoek afzonderlijk en verstrekken alleen wat het werkelijk vereist. Betrokken Klanten informeren wij, tenzij de wet of de autoriteit dat verbiedt.

Om autoriteiten informatie te kunnen verstrekken, slaan wij niet meer op dan voor de werking en de misbruikpreventie nodig is. Wat na het verstrijken van de in de Privacyverklaring genoemde termijnen is verwijderd, kunnen wij ook niet verstrekken.

8. Wijzigingen

Wij werken deze pagina bij wanneer de dienst of de patronen van misbruik veranderen. Voor Klanten gelden de regels over wijzigingen in de Gebruiksvoorwaarden; nieuwe verboden en strengere gevolgen gelden voor hen pas na die procedure. Gedrag beoordelen wij naar de versie die gold op het moment van het gedrag. Vragen over deze pagina: contact@lukaswojcik.com.