Dopuszczalne użytkowanie i nadużycia

Niniejszy dokument jest publikowany w kilku wersjach językowych. W razie rozbieżności między wersjami językowymi wiążąca jest wersja polska.

Wersja 1.0 · Stan na: 16 października 2026 r.

formexposed ogląda cudze strony internetowe i w zweryfikowanych domenach wysyła zgłoszenia testowe do formularzy kontaktowych. Takie narzędzie można obrócić także przeciwko innym. Ta strona wyjaśnia, do czego służy formexposed, co jest zabronione, jak technicznie ograniczamy nadużycia i co się dzieje, gdy ktoś łamie zasady. Dotyczy wszystkich, którzy korzystają z formexposed: zarówno Klientów z kontem, jak i odwiedzających, którzy korzystają z bezpłatnego sprawdzenia bez konta.

Usługodawcą jest LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polska. Dla Klientów ta strona stanowi część umowy: Regulamin zalicza ją do dokumentów umownych. W odniesieniu do bezpłatnego sprawdzenia i pozostałych ogólnodostępnych narzędzi stanowi ona część zasad, które Regulamin ustanawia dla tych narzędzi. W razie sprzeczności między tą stroną a Regulaminem pierwszeństwo ma Regulamin. Przykłady („np.”, „na przykład”) objaśniają daną zasadę; nie rozszerzają jej ani nie zawężają.

1. Do czego służy formexposed

formexposed sprawdza, czy formularz kontaktowy jest chroniony przed automatycznym spamem, czy działa niezawodnie i czy starannie obchodzi się z danymi. Dozwolone jest w szczególności:

sprawdzanie i monitorowanie własnej strony lub strony zleceniodawcy oraz wykorzystywanie wyników do jej zabezpieczenia;
uzyskanie za pomocą bezpłatnego sprawdzenia bez konta pierwszego, wyłącznie odczytowego obrazu dowolnej publicznie dostępnej strony – takiego, jaki widzi odwiedzający;
zlecanie przez agencję w taryfie Business pasywnego sprawdzenia strony potencjalnego klienta i udostępnianie wyniku jej operatorowi w dozwolony sposób (zob. punkt 3.5);
udostępnianie raportów osobom, które odpowiadają za stronę lub się nią opiekują;
korzystanie z API, wtyczki i rozszerzeń w ramach ich dokumentacji i ograniczeń;
wyświetlanie pieczęci w domenie, dla której została wydana.

Miara jest prosta: formexposed ma pomagać operatorom stron chronić ich własne formularze. Nie mieści się w tym nic, co szkodzi osobie trzeciej, która się na to nie zgodziła.

2. Czego formexposed celowo nie potrafi

Aby usługa nie nadawała się na narzędzie ataku, ograniczyliśmy ją. Te ograniczenia obowiązują wszystkich użytkowników i użytkownicy nie mogą ich odblokować:

Bez potwierdzenia uprawnień do domeny nic nie jest do niej wysyłane; wyjątkiem są wyłącznie własne domeny testowe i demonstracyjne formexposed, które sprawdzamy wewnętrznie. Bezpłatne sprawdzenie, sprawdzenie potencjalnego klienta i nasze badanie odczytują tylko to, co widzi odwiedzający.
Także w zweryfikowanych domenach wysyłamy wyłącznie do rozpoznanego ogólnego formularza kontaktowego, najwyżej pięć oznaczonych zgłoszeń testowych na jedno sprawdzenie. Nigdy nie wysyłamy formularzy zamówień, rezerwacji, logowania, rejestracji, newslettera, wsparcia, płatności ani przesyłania plików, formularzy z obowiązkowymi danymi, takimi jak numer telefonu lub adres, ani formularzy na stronach, które po domenie lub tytule strony rozpoznajemy jako urząd, sąd, uczelnię, szkołę lub placówkę ochrony zdrowia.
Sprawdzenie pod kątem wstrzykiwania nagłówków (header injection) służy wyłącznie wykrywaniu: wartość testowa nigdy nie zawiera prawdziwego odbiorcy. Sprawdzenie walidacji adresu e-mail używa wyłącznie adresu w domenie .invalid, który nie może istnieć.
Nie rozwiązujemy CAPTCHA. W zweryfikowanych domenach sprawdzamy jedynie, czy formularz przyjmie zgłoszenie bez tokenu CAPTCHA lub ze zmyślonym tokenem CAPTCHA. Jeżeli formularz logowania na potrzeby skanu za logowaniem zawiera CAPTCHA, sprawdzenie zostaje przerwane.
Robot wysyła zapytania wyłącznie do adresów publicznych przez standardowe porty WWW. Sieci wewnętrzne, adresy lokalne i inne porty są zablokowane, także przy przekierowaniach i treściach osadzonych.
Wyszukiwanie publicznie dostępnych plików (np. zapomnianego pliku konfiguracyjnego) odbywa się wyłącznie dla zweryfikowanych domen, ponieważ odpytywanie takich ścieżek na cudzych stronach przypomina atak.

Te ograniczenia opisują, jak zbudowana jest usługa. To, czy formularz jest ogólnym formularzem kontaktowym i czy strona należy do jednej z wymienionych instytucji, skaner rozpoznaje po cechach strony, takich jak nazwy pól, etykiety, domena i tytuł strony; w pojedynczych przypadkach rozpoznanie może być błędne. Opis ten nie stanowi zatem zapewnienia wobec Klientów ani osób trzecich, że określony formularz nigdy nie zostanie objęty sprawdzeniem. Kto nie życzy sobie sprawdzania swojej strony, wyklucza ją za pomocą opt-out (punkt 6.1).

3. Co jest zabronione

3.1 Rozpoznawanie lub atakowanie cudzych stron

Korzystanie z formexposed w celu znalezienia luk w cudzych stronach, a następnie ich atakowania, przeciążania lub wykorzystywania – na przykład celowego zalewania niezabezpieczonego formularza spamem.
Przekazywanie wyników, raportów lub zrzutów ekranu dotyczących cudzej strony osobom, które chcą je wykorzystać do ataku.
Używanie usługi wobec stron, których operator w rozpoznawalny sposób ją wykluczył, na przykład przez obejście wykluczenia inną pisownią domeny.

Kto bez uprawnienia rozpoznaje lub atakuje cudze systemy, może ponadto popełnić przestępstwo (w Polsce np. z art. 267–269b Kodeksu karnego (k.k.), w Niemczech np. z § 202a–202d oraz § 303b StGB, czyli niemieckiego kodeksu karnego). Nie zmienia tego fakt, że informacja pochodzi z raportu formexposed.

3.2 Obchodzenie limitów i zabezpieczeń

Obchodzenie limitów bezpłatnego sprawdzenia, na przykład przez wiele sesji przeglądarki, zmienne adresy IP, serwery proxy, łańcuchy VPN lub wiele kont.
Automatyczne odpytywanie bezpłatnego sprawdzenia, sprawdzenia nagłówków lub formularza opt-out. Do automatyzacji służy API.
Obchodzenie reCAPTCHA, kontroli czasu i innych zabezpieczeń naszych własnych formularzy.
Obchodzenie limitów taryf przez rozdzielanie korzystania na wiele bezpłatnych kont.

3.3 Wyłudzenie weryfikacji

Weryfikowanie domeny, której nie jest się operatorem ani na której zlecenie operatora się nie działa – również wtedy, gdy ma się techniczny dostęp do DNS, serwera lub CMS, na przykład jako były usługodawca, dostawca hostingu lub pracownik.
Przedstawianie potwierdzenia za pomocą cudzych treści, na przykład przez funkcję komentarzy lub obszar przesyłania plików na cudzej stronie, w którym każdy może zamieszczać treści.
Pozostawianie domeny na koncie po wygaśnięciu uprawnienia. Gdy zlecenie się kończy, Klient usuwa domenę.

Weryfikacja jest bramą do aktywnych sprawdzeń. Kto ją wyłudza, sprawia, że formexposed wysyła zgłoszenia do cudzego formularza – jest to najpoważniejsze nadużycie, na jakie pozwala usługa, i tak je traktujemy.

3.4 Wykorzystywanie zgłoszeń testowych niezgodnie z przeznaczeniem

Używanie zgłoszeń testowych jako kanału spamu lub powiadomień, na przykład przez weryfikację domeny w celu obciążenia jej odbiorców wiadomościami testowymi.
Wywoływanie sprawdzeń domeny, w szczególności sprawdzeń ręcznych, w celu obciążenia odbiorców wiadomości z formularza zamiast sprawdzenia formularza.
Konfigurowanie zgłoszeń testowych w domenie bez zapewnienia, że osoby, które otrzymują tam i obsługują wiadomości z formularza (np. zespół sprzedaży), wiedzą, że mogą wpływać oznaczone zgłoszenia testowe.

3.5 Wykorzystywanie sprawdzenia potencjalnego klienta do niezamówionej reklamy

Sprawdzenie potencjalnego klienta pozwala agencji zlecić pasywne sprawdzenie strony możliwego klienta. Nie piszemy przy tym do operatora; link przekazuje sama agencja. Sposób, w jaki to robi, jest jej sprawą i jej odpowiedzialnością. Zabronione jest wykorzystywanie wyniku do reklamy, na którą prawo nie zezwala bez uprzedniej zgody. Należą do niej przede wszystkim:

niezamówione e-maile z wynikiem do przedsiębiorstw lub osób, które nie wyraziły zgody (w Polsce art. 398 Prawa komunikacji elektronicznej (PKE); w Niemczech § 7 UWG, czyli niemieckiej ustawy o zwalczaniu nieuczciwej konkurencji – w obu państwach obowiązuje to także wobec przedsiębiorstw);
niezamówione telefony reklamowe, o ile właściwe prawo wymaga na nie zgody;
wiadomości, które za pomocą wyniku wywierają presję, wzbudzają strach lub sprawiają wrażenie, że formexposed sprawdził stronę na zlecenie urzędu lub operatora.

Dozwolone pozostaje pokazanie wyniku operatorowi strony w rozmowie, której sam sobie życzył, oraz przesłanie mu go, jeżeli wyraził zgodę na jego przesłanie lub jeżeli prawo właściwe dla takiego kontaktu wyraźnie zezwala na nie bez zgody. Czy tak jest, agencja sprawdza sama; to, że współpracuje z operatorem w innej sprawie, samo w sobie nie wystarcza.

3.6 Nadużywanie raportów, API, wtyczki i pieczęci

Systematyczne zbieranie raportów, zgadywanie lub przeszukiwanie adresów raportów albo masowe pobieranie raportów w celu gromadzenia danych o cudzych stronach.
Publikowanie raportów dotyczących cudzych stron w celu skompromitowania ich operatorów.
Przekazywanie kluczy API, sekretów wtyczki lub danych dostępowych, obchodzenie limitów API lub używanie go dla cudzych domen.
Modyfikowanie lub podrabianie pieczęci, wyświetlanie jej w innej domenie niż ta, dla której została wydana, albo powoływanie się za jej pomocą na certyfikację, której formexposed nie wystawia. Pieczęć pokazuje „zabezpieczony” tylko dopóty, dopóki domena jest zweryfikowana, monitorowanie działa, a ostatnie sprawdzenie jest aktualne i korzystne; w przeciwnym razie pokazuje neutralnie „Test formularza”. Samodzielnie wykonana grafika z tym samym przekazem wprowadza odwiedzających w błąd.
Zapisywanie danych dostępowych do skanu za logowaniem dla konta, które nie zostało utworzone specjalnie jako konto testowe, albo dla cudzej strony.

4. Jak formexposed zapobiega nadużyciom i je wykrywa

Poniższe środki są wdrożone w kodzie. Nie podajemy dokładnych progów, ponieważ się zmieniają i ułatwiałyby nadużycia.

4.1 Bezpłatne sprawdzenie

Wyłącznik. W każdej chwili możemy wstrzymać bezpłatne sprawdzenie. Nie wpływa to na opt-out, który działa także w czasie przerwy.
reCAPTCHA przy sprawdzeniu, sprawdzeniu nagłówków i opt-out, z własnymi progami dla każdego formularza, a do tego pułapka i kontrola czasu w tych formularzach.
Limity na adres IP, na sesję i na dzień. Zliczane są przyjęte sprawdzenia. Łączny limit dzienny chroni przed falami zapytań.
Wiele domen z jednego adresu. Kto z jednego adresu IP w krótkim czasie chce sprawdzić wiele różnych domen, zostaje zablokowany. Liczy się tu każda próba, także odrzucona: to typowy wzorzec, w którym ktoś używa formexposed do opukiwania cudzych stron.
Jedna domena na tydzień. Kto w ciągu tygodnia ponownie wpisze domenę, zobaczy istniejący raport; sprawdzenie nie jest powtarzane.
Bardzo młodych domen i domen, których wieku nie da się ustalić, nie sprawdzamy bez konta. Często są zakładane w celach oszukańczych.
Tylko cele publiczne. Nazwa wskazująca na adres wewnętrzny lub zarezerwowany jest odrzucana – przed zleceniem i ponownie przy każdym pojedynczym żądaniu robota.

4.2 Obserwacja

Podejrzane wzorce – wiele domen z jednego adresu, wiele żądań w ciągu kilku minut, wiele odrzuconych prób w jednej sesji, nagromadzenie opt-outów z jednego kraju, osiągnięcie limitu dziennego – odnotowujemy jako nieprawidłowość. Nowa nieprawidłowość wywołuje powiadomienie dla nas, bez domeny i bez adresu IP; szczegóły widzimy tylko w panelu administracyjnym. Jakie dane w tym celu przechowujemy i jak długo, opisuje Polityka prywatności.

4.3 Weryfikacja jako brama

Aktywne sprawdzenia, monitorowanie, skan za logowaniem, ścieżki przeglądarki i wyszukiwanie publicznie dostępnych plików działają w przypadku Klientów wyłącznie dla domen, w przypadku których przedstawiono potwierdzenie uprawnień do domeny: rekordem DNS, meta tagiem, plikiem na serwerze lub przez wtyczkę. Przed każdym zleceniem skaner jeszcze raz samodzielnie sprawdza, czy domena jest oznaczona jako zweryfikowana; jeżeli nie, aktywne sprawdzenie przechodzi w tryb wyłącznie odczytu, a ścieżka przeglądarki nie jest wykonywana. Aktywne sprawdzenia można ponadto wyłączyć dla całej usługi.

4.4 Zgłoszenia testowe

Każde zgłoszenie testowe jest oznaczone: w nazwie nadawcy „FormExposed Security Scanner”, w temacie (w wersji polskiej) „[formexposed.com] Automatyczny test bezpieczeństwa — bez działań”, a w treści odesłaniem do strony o FormExposedBot, do opt-out i identyfikatorem skanu. Język zależy od strony docelowej (niemiecki, angielski lub polski). Na jedno sprawdzenie do jednego formularza trafia najwyżej pięć zgłoszeń. Po osiągnięciu tej liczby skaner przerywa działanie. Pozostałe pola obowiązkowe wypełnia tekstem „FormExposed security test”; zaznacza pola wyboru, bez których formularza nie da się wysłać, np. pole zgody. Oznaczenie wskazuje, że za zgłoszeniem nie stoi żadna osoba ani oświadczenie żadnej osoby.

4.5 Robot

FormExposedBot przedstawia się własnym identyfikatorem User-Agent, przed każdym sprawdzeniem odczytuje robots.txt i nie sprawdza strony, jeżeli Disallow dla niego lub dla wszystkich programów obejmuje stronę główną; zablokowanych podścieżek obecnie nie uwzględnia pojedynczo. Lekkie pobrania bez przeglądarki, takie jak puls formularza lub sprawdzenie nagłówków, nie odczytują robots.txt. Domen z naszej listy wykluczeń (opt-out) i ich wariantu www nie sprawdza, także na zlecenie płacących Klientów ze zweryfikowaną domeną; trwające monitorowanie takich domen kończy się przy następnym przypadającym sprawdzeniu. Szczegóły na stronie o FormExposedBot.

5. Konsekwencje naruszenia

Reagujemy proporcjonalnie: wybieramy najłagodniejszy środek, który usuwa naruszenie i zapobiega dalszej szkodzie dla osób trzecich i dla usługi, ograniczamy go do danego konta, danej domeny lub funkcji i uchylamy go, gdy tylko ustanie jego przyczyna. W grę wchodzą:

przerwać pojedyncze sprawdzenia i czasowo zablokować adresy IP lub sesje;
usunąć domenę z konta, cofnąć jej weryfikację lub wpisać ją na listę wykluczeń;
zablokować pojedyncze funkcje, na przykład aktywne sprawdzenia, sprawdzenie potencjalnego klienta, API lub pieczęć;
zablokować konto i wypowiedzieć umowę z ważnej przyczyny, zgodnie z Regulaminem;
żądanie naprawienia szkody zgodnie z przepisami ustawy oraz, w zakresie dopuszczalnym prawnie, poinformowanie operatorów stron, których to dotyczy, organów ścigania lub CERT Polska, jeżeli istnieją konkretne przesłanki wskazujące na przestępstwo lub atak na osoby trzecie.

Automatyczne limity bezpłatnego sprawdzenia i naszych własnych formularzy (punkt 4.1) nie są środkiem skierowanym przeciwko określonej osobie. Działają według stałych reguł wobec wszystkich i wygasają z upływem danego okresu lub gdy tylko wyjaśnimy nieprawidłowość.

Uprzednie wysłuchanie. Zanim zablokujemy konto, domenę lub funkcję Klienta, usuniemy domenę z jego konta, uchylimy jej weryfikację lub wypowiemy umowę, informujemy go w formie dokumentowej, jakie zachowanie kwestionujemy, na jakiej zasadzie tej strony lub Regulaminu się opieramy i jaki środek rozważamy. Klient może w ciągu siedmiu dni zająć stanowisko lub usunąć naruszenie; dopiero potem podejmujemy decyzję. Przed wypowiedzeniem z ważnych przyczyn obowiązuje zamiast tego dłuższy termin na usunięcie naruszenia przewidziany w tym celu w Regulaminie; blokada z powodu braku płatności podlega wyłącznie Regulaminowi.

Przypadki niecierpiące zwłoki. Bez uprzedniego wysłuchania działamy tylko wtedy, gdy zwłoka poważnie zagroziłaby osobom trzecim lub usłudze, w szczególności w razie konkretnych przesłanek wyłudzenia weryfikacji, sprawdzeń lub zgłoszeń testowych wbrew wyrażonej woli operatora strony, ataku na osoby trzecie za pośrednictwem usługi, zgłoszenia wskazującego na poważne naruszenie prawa przez treści w portalu klienta lub raporcie white label albo gdy wymaga tego organ, sąd lub ustawa. Wówczas ograniczamy środek w pierwszej kolejności do danej domeny, funkcji lub treści, informujemy o nim Klienta niezwłocznie, najpóźniej następnego dnia roboczego, w formie dokumentowej wraz z uzasadnieniem, o ile nie udaremni to celu środka i nie jest zakazane przez prawo, a wysłuchanie przeprowadzamy później.

Zastrzeżenia. Kto uważa środek za nieuzasadniony, także bez konta, może wnieść sprzeciw w formie dokumentowej na adres contact@lukaswojcik.com. Rozpatrujemy sprzeciw i odpowiadamy w ciągu 14 dni wraz z uzasadnieniem; jeżeli jest zasadny, niezwłocznie uchylamy środek. Procedura opisana na stronie Reklamacje i droga sądowa pozostają otwarte. Jeżeli ograniczamy treści Klienta w następstwie zgłoszenia nielegalnych treści, dodatkowo przedstawiamy uzasadnienie zgodnie z art. 17 rozporządzenia (UE) 2022/2065 (akt o usługach cyfrowych, DSA) i wskazujemy te środki odwoławcze. Czy blokada wpływa na obowiązek zapłaty i kiedy możliwe jest wypowiedzenie z ważnych przyczyn, określa Regulamin.

6. Jeśli to Ciebie dotyczy

6.1 Nie chcesz, aby formexposed sprawdzał Twoją stronę

Wpisz swoją domenę na stronie Wyklucz swoją domenę albo zablokuj FormExposedBot w swoim pliku robots.txt dla strony głównej. Obie drogi działają bez kontaktu z nami w odniesieniu do każdego sprawdzenia, które rozpocznie się później. Trwające monitorowanie na koncie Klienta kończy się przy następnym przypadającym sprawdzeniu; do tego czasu mogą jeszcze następować lekkie pobrania, takie jak puls formularza, a tych lekkich pobrań plik robots.txt nie obejmuje. Jeżeli i one mają zakończyć się wcześniej, napisz do nas dodatkowo. Co dokładnie zostaje wykluczone, opisuje strona opt-out.

6.2 Otrzymałeś zgłoszenie testowe, którego się nie spodziewałeś

Zgłoszenia testowe trafiają wyłącznie do domen, do których Klient przedstawił potwierdzenie uprawnień, oraz do własnych domen testowych i demonstracyjnych formexposed. Następują one z inicjatywy tego Klienta. Jeżeli to nie Ty to zleciłeś, być może domenę dodała Twoja agencja, Twój dostawca hostingu lub współpracownik – albo ktoś wyłudził weryfikację. Najszybciej zatrzymasz kolejne zgłoszenia testowe samodzielnie za pomocą opt-out: zgłoszenia testowe występują tylko w trakcie sprawdzenia, a po dokonaniu wpisu nie rozpocznie się już żadne sprawdzenie domeny. Napisz też do nas na contact@lukaswojcik.com i podaj identyfikator skanu z wiadomości. Sprawdzimy, kto zweryfikował domenę, do czasu wyjaśnienia wpiszemy domenę na listę wykluczeń, jeżeli jeszcze tego nie zrobiłeś, i wezwiemy Klienta do wykazania uprawnień. Kto dokonał weryfikacji, powiemy Ci tylko w zakresie, w jakim pozwalają na to przepisy o ochronie danych.

6.3 Podejrzewasz, że ktoś używa formexposed przeciwko Tobie

Napisz na contact@lukaswojcik.com, najlepiej podając czas, domenę oraz – z dzienników Twojego serwera – żądania z identyfikatorem User-Agent FormExposedBot. Możesz też skontaktować się z nami przez stronę kontaktową. Potwierdzimy otrzymanie zgłoszenia i poinformujemy Cię, co zrobiliśmy. Nielegalne treści w portalu klienta lub raporcie white label zgłaszasz w ten sam sposób; co powinno zawierać takie zgłoszenie zgodnie z art. 16 DSA, opisuje Nota prawna. Tam znajduje się również nasz punkt kontaktowy zgodnie z art. 11 i 12 DSA.

6.4 Znalazłeś lukę bezpieczeństwa w samym formexposed

Zgłoś ją przez nasz punkt zgłaszania luk bezpieczeństwa (także pod /.well-known/security.txt). Tam opisujemy, jak postępujemy ze zgłoszeniami i co zapewniamy badaczom. Prosimy przy tym nie testować na stronach osób trzecich, również za pośrednictwem formexposed.

7. Współpraca z organami

Współpracujemy z organami ścigania, organami nadzorczymi i podmiotami takimi jak CERT Polska, gdy chodzi o nadużycie usługi lub ataki na osoby trzecie. Dane wydajemy tylko wtedy, gdy istnieje podstawa prawna, organ występujący z żądaniem jest właściwy, a żądanie ma przepisaną formę. Każde żądanie badamy indywidualnie i wydajemy tylko to, czego ono rzeczywiście dotyczy. Klientów, których to dotyczy, informujemy, o ile nie zabrania tego prawo lub organ.

Nie przechowujemy więcej danych na potrzeby udzielania informacji organom, niż jest to konieczne do działania usługi i przeciwdziałania nadużyciom. Tego, co po upływie terminów z Polityki prywatności zostało usunięte, nie możemy też wydać.

8. Zmiany

Dostosowujemy tę stronę, gdy zmienia się usługa lub wzorce nadużyć. Dla Klientów obowiązują zasady zmiany określone w Regulaminie; nowe zakazy i surowsze konsekwencje obowiązują ich dopiero po przeprowadzeniu tej procedury. Zachowanie oceniamy według wersji obowiązującej w chwili tego zachowania. Pytania dotyczące tej strony: contact@lukaswojcik.com.

Jak możemy pomóc?