Uso Aceitável e Abuso

Este documento é publicado em vários idiomas. Em caso de divergência entre as versões, a versão em polonês é vinculante.

Versão 1.0 · Última atualização: 16 de outubro de 2026

formexposed examina sites de terceiros e, em domínios verificados, faz envios de teste a formulários de contato. Uma ferramenta assim também pode ser usada contra outras pessoas. Esta página estabelece para que serve formexposed, o que é proibido, como limitamos tecnicamente o uso indevido e o que acontece se alguém violar as regras. Ela se aplica a todos que usam formexposed: tanto a clientes com conta quanto a visitantes que usam a verificação gratuita sem conta.

O prestador é LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polônia. Para os Clientes, esta página integra o contrato: os Termos de Serviço a incluem entre os documentos contratuais. Para a verificação gratuita e as demais ferramentas de acesso livre, ela se aplica como parte das regras estabelecidas pelos Termos de Serviço para essas ferramentas. Se houver conflito entre esta página e os Termos de Serviço, prevalecem os Termos de Serviço. Exemplos (“como”, “por exemplo”) ilustram uma regra; não a ampliam nem a restringem.

1. Para que serve formexposed

formexposed verifica se um formulário de contato está protegido contra spam automatizado, se funciona de modo confiável e se trata os dados com cuidado. Em particular, é permitido:

verificar e monitorar seu próprio site ou o site de um cliente e usar os resultados para protegê-lo;
usar a verificação gratuita sem conta para obter uma primeira impressão, somente de leitura, de qualquer site acessível publicamente — como um visitante o vê;
como agência no plano Business, solicitar uma verificação passiva do site de um potencial cliente e disponibilizar as constatações ao responsável pelo site de forma lícita (veja a seção 3.5);
compartilhar relatórios com as pessoas responsáveis pelo site ou que cuidam dele;
usar a API, o plugin e as extensões dentro de sua documentação e de seus limites;
exibir o selo no domínio para o qual foi emitido.

O critério é simples: formexposed se destina a ajudar responsáveis por sites a proteger seus próprios formulários. Qualquer coisa que prejudique um terceiro que não tenha concordado com isso não faz parte dessa finalidade.

2. O que formexposed deliberadamente não pode fazer

Para que o serviço não seja útil como ferramenta de ataque, nós o limitamos. Esses limites se aplicam a todos os usuários e não podem ser liberados por eles:

Sem comprovação de controle de um domínio, nada é enviado nele; as únicas exceções são os próprios domínios de teste e demonstração de formexposed, que verificamos internamente. A verificação gratuita, a verificação de potenciais clientes e nosso estudo leem apenas o que um visitante vê.
Mesmo em domínios verificados, enviamos apenas a um formulário de contato geral reconhecido, no máximo cinco envios de teste identificados por verificação. Nunca enviamos formulários de pedido, agendamento, login, cadastro, newsletter, suporte, pagamento ou upload, formulários com dados obrigatórios como telefone ou endereço postal, nem formulários em sites que reconhecemos pelo domínio ou título da página como autoridade pública, tribunal, universidade, escola ou instituição de saúde.
A verificação de injeção em cabeçalhos é puramente uma detecção: o valor de teste nunca contém um destinatário real. A verificação de validação de e-mail usa apenas um endereço terminado em .invalid, que não pode existir.
Não resolvemos CAPTCHAs. Em domínios verificados, verificamos apenas se um formulário aceita um envio sem token de CAPTCHA ou com um token inventado. Se o formulário de login da verificação atrás do login contiver um CAPTCHA, a verificação será interrompida.
O rastreador solicita apenas endereços públicos pelas portas web usuais. Redes internas, endereços locais e outras portas são bloqueados, inclusive em redirecionamentos e conteúdo incorporado.
A busca de arquivos expostos (como um arquivo de configuração esquecido) é executada apenas para domínios verificados, porque solicitar esses caminhos em sites de terceiros constitui um ataque.

Esses limites descrevem como o serviço foi implementado. O verificador reconhece se um formulário é um formulário de contato geral e se um site pertence a uma das instituições listadas a partir de características da página, como nomes de campos, rótulos, domínio e título da página; em casos individuais, esse reconhecimento pode estar errado. Portanto, a descrição não é uma garantia aos Clientes ou a terceiros de que determinado formulário nunca será abrangido. Quem não quiser que seu site seja verificado pode excluí-lo pela exclusão das verificações (seção 6.1).

3. O que é proibido

3.1 Sondar ou atacar sites de terceiros

Usar formexposed para encontrar vulnerabilidades em sites de terceiros e depois atacá-los, sobrecarregá-los ou explorá-los — por exemplo, inundar deliberadamente um formulário desprotegido com spam.
Repassar resultados, relatórios ou capturas de tela de um site de terceiros a pessoas que queiram usá-los para um ataque.
Usar o serviço contra sites cujo responsável evidentemente o excluiu, por exemplo, mudando para outra grafia do domínio.

Quem espiona ou ataca sistemas de terceiros sem autorização também pode cometer um crime (na Polônia, por exemplo, nos termos do Art. 267 a 269b do Código Penal Polonês (Kodeks karny); na Alemanha, por exemplo, nos termos dos §§ 202a a 202d e § 303b StGB, o Código Penal Alemão). O fato de a informação vir de um relatório de formexposed não muda nada.

3.2 Contornar limites e salvaguardas

Contornar os limites da verificação gratuita, por exemplo, com muitas sessões de navegador, mudanças de endereço IP, proxies, cadeias de VPN ou várias contas.
Consultar a verificação gratuita, a verificação de cabeçalhos ou o formulário de exclusão das verificações de forma automatizada. A API existe para automação.
Contornar o reCAPTCHA, a verificação de tempo e as demais medidas de proteção dos nossos próprios formulários.
Contornar limites de planos dividindo o uso entre várias contas gratuitas.

3.3 Obter verificação por fraude

Verificar um domínio do qual você não é responsável nem foi contratado pelo responsável — mesmo que tecnicamente tenha acesso ao DNS, servidor ou CMS, por exemplo, como antigo prestador de serviço, provedor de hospedagem ou funcionário.
Fornecer comprovação por conteúdo de terceiros, por exemplo, por uma função de comentários ou área de upload do site de terceiros em que qualquer pessoa possa escrever.
Deixar um domínio na conta após o fim da autorização. Quando a prestação de serviços termina, o Cliente remove o domínio.

A verificação é a porta de entrada para as verificações ativas. Quem a obtém por fraude faz formexposed enviar dados a um formulário de terceiros — esse é o uso indevido mais grave que o serviço permite, e o tratamos como tal.

3.4 Usar indevidamente os envios de teste

Usar envios de teste como canal de spam ou notificação, por exemplo, verificando um domínio para sobrecarregar seus destinatários com e-mails de teste.
Acionar verificações de um domínio, em particular verificações manuais, com o objetivo de sobrecarregar o destinatário dos e-mails do formulário em vez de verificar o formulário.
Configurar envios de teste em um domínio sem garantir que as pessoas que recebem e tratam os e-mails de formulários ali (por exemplo, uma equipe de vendas) saibam que podem chegar envios de teste identificados.

3.5 Usar a verificação de potenciais clientes para publicidade não solicitada

A verificação de potenciais clientes permite que uma agência solicite uma verificação passiva do site de um possível cliente. Não escrevemos ao responsável pelo site; a própria agência repassa o link. A forma de fazer isso é assunto e responsabilidade dela. É proibido usar as constatações para publicidade que a lei não permita sem consentimento prévio. Isso inclui, em particular:

e-mails não solicitados com as constatações para empresas ou pessoas que não consentiram (na Polônia, Art. 398 da Lei Polonesa de Comunicações Eletrônicas (Prawo komunikacji elektronicznej, PKE); na Alemanha, § 7 UWG, a Lei Alemã contra a Concorrência Desleal — nos dois países, isso também se aplica a empresas);
ligações publicitárias não solicitadas, na medida em que a legislação aplicável exija consentimento para elas;
mensagens que usem as constatações para pressionar, provocar medo ou criar a impressão de que formexposed verificou o site em nome de uma autoridade ou do responsável pelo site.

Continua permitido mostrar as constatações ao responsável pelo site em uma conversa solicitada por ele e enviá-las se ele tiver consentido em recebê-las ou se a legislação aplicável à abordagem permitir expressamente o envio sem consentimento. A própria agência verifica se esse é o caso; o fato de trabalhar com o responsável em outro assunto não é, por si só, suficiente.

3.6 Usar indevidamente relatórios, API, plugin e selo

Coletar relatórios sistematicamente, adivinhar ou testar endereços de relatórios ou consultar relatórios em grande quantidade para acumular dados sobre sites de terceiros.
Publicar relatórios sobre sites de terceiros para expor seus responsáveis.
Repassar chaves de API, segredos de plugins ou credenciais, contornar os limites da API ou usá-la para domínios de terceiros.
Alterar ou imitar o selo, exibi-lo em um domínio diferente daquele para o qual foi emitido ou usá-lo para alegar uma certificação que formexposed não concede. O selo mostra “protegido” apenas enquanto o domínio estiver verificado, o monitoramento estiver ativo e a última verificação for recente e favorável; caso contrário, mostra a indicação neutra “Verificação do formulário de contato”. Uma imagem criada por conta própria com a mesma afirmação engana os visitantes.
Armazenar credenciais para a verificação atrás do login de uma conta que não tenha sido criada especificamente como conta de teste ou de um site de terceiros.

4. Como formexposed previne e detecta uso indevido

As medidas a seguir estão implementadas no código. Não divulgamos os limites exatos porque mudam e porque facilitariam o uso indevido.

4.1 Verificação gratuita

Interruptor de emergência. Podemos pausar a verificação gratuita a qualquer momento. A exclusão das verificações não é afetada e também funciona durante uma pausa.
reCAPTCHA para a verificação, a verificação de cabeçalhos e a exclusão das verificações, com limites separados por formulário, além de uma armadilha e uma verificação de tempo nesses formulários.
Limites por endereço IP, por sessão e por dia. As verificações aceitas são contadas. Um limite diário global protege contra ondas de requisições.
Muitos domínios de um único endereço. Quem tenta verificar muitos domínios diferentes a partir de um endereço IP em pouco tempo é bloqueado. Aqui, cada tentativa conta, inclusive uma rejeitada: esse é o padrão típico de quem usa formexposed para sondar sites de terceiros.
Um domínio por semana. Quem inserir novamente um domínio dentro de uma semana verá o relatório existente; ele não será verificado de novo.
Domínios muito recentes e domínios cuja idade não pode ser determinada não são verificados sem conta. Eles são frequentemente registrados para fraude.
Apenas destinos públicos. Um nome que aponta para um endereço interno ou reservado é rejeitado — antes do trabalho e novamente em cada requisição individual do rastreador.

4.2 Monitoramento

Registramos padrões suspeitos — muitos domínios de um endereço, muitas requisições em poucos minutos, muitas tentativas rejeitadas em uma sessão, concentração de exclusões das verificações de um país, atingimento do limite diário — como anomalia. Uma nova anomalia gera uma notificação para nós, sem domínio e sem endereço IP; vemos os detalhes apenas na área administrativa. Os dados que armazenamos para isso e por quanto tempo estão descritos na Política de Privacidade.

4.3 Verificação como porta de entrada

Verificações ativas, monitoramento, verificação atrás do login, fluxos de navegação e busca de arquivos expostos são executados, para clientes, somente em domínios cujo controle foi comprovado: por registro DNS, meta tag, arquivo no servidor ou pelo plugin. Antes de cada trabalho, o próprio verificador confere novamente se o domínio está classificado como verificado; se não estiver, uma verificação ativa reverte para somente leitura, e um fluxo de navegação não é realizado. As verificações ativas também podem ser desativadas para todo o serviço.

4.4 Envios de teste

Todo envio de teste é identificado: no nome do remetente, “FormExposed Security Scanner”, no assunto, “[formexposed.com] Automated security test — no action required”, e no texto, com uma referência à página sobre FormExposedBot, à exclusão das verificações e com o ID da verificação. O idioma depende da página de destino (alemão, inglês ou polonês). Por verificação, no máximo cinco envios são feitos a um único formulário. O verificador para após essa quantidade. Ele preenche outros campos obrigatórios com “FormExposed security test”; marca caixas de seleção sem as quais o formulário não pode ser enviado, por exemplo, para consentimento. A identificação mostra que não há uma pessoa nem uma declaração de uma pessoa por trás do envio.

4.5 O rastreador

FormExposedBot se identifica com seu próprio user-agent, lê robots.txt antes de cada verificação e não verifica se um Disallow para ele ou para todos os programas abranger a página inicial; atualmente, ele não observa subcaminhos bloqueados individualmente. Requisições leves sem navegador, como a verificação de disponibilidade do formulário ou a verificação de cabeçalhos, não leem robots.txt. Ele não verifica domínios da nossa lista de exclusão nem sua variante www, nem mesmo em nome de clientes pagantes com domínio verificado; o monitoramento em andamento deles termina na próxima verificação devida. Os detalhes estão na página sobre FormExposedBot.

5. Consequências de uma violação

Respondemos de forma proporcional: escolhemos a medida menos severa que interrompa a violação e evite outros danos a terceiros e ao serviço, limitamos essa medida à conta, ao domínio ou à função afetada e a retiramos assim que seu motivo deixar de existir. As medidas possíveis são:

interromper verificações individuais e bloquear temporariamente endereços IP ou sessões;
remover um domínio de uma conta, revogar sua verificação ou colocá-lo na lista de exclusão;
bloquear funções individuais, como verificações ativas, verificação de potenciais clientes, API ou selo;
bloquear a conta e encerrar o contrato por justa causa, conforme previsto nos Termos de Serviço;
exigir reparação de danos conforme as disposições legais e, na medida legalmente permitida, notificar os responsáveis pelos sites afetados, as autoridades de investigação criminal ou o CERT Polska se houver indícios concretos de crime ou ataque a terceiros.

Os limites automáticos da verificação gratuita e dos nossos próprios formulários (seção 4.1) não são uma medida contra uma pessoa específica. Aplicam-se a todos segundo regras fixas e terminam quando o período relevante expira ou assim que resolvemos uma anomalia.

Manifestação prévia. Antes de bloquear a conta, o domínio ou uma função de um Cliente, remover um domínio de sua conta, revogar sua verificação ou encerrar o contrato, informamos o Cliente em forma textual sobre a conduta que contestamos, a regra desta página ou dos Termos de Serviço em que nos baseamos e a medida que estamos considerando. O Cliente pode se manifestar ou sanar a violação em sete dias; só então decidimos. Antes do encerramento por justa causa, aplica-se, em seu lugar, o prazo mais longo para correção previsto nos Termos de Serviço para isso; um bloqueio por falta de pagamento é regido exclusivamente pelos Termos de Serviço.

Casos urgentes. Só agimos sem manifestação prévia se a espera colocar seriamente em risco terceiros ou o serviço, em particular quando houver indícios concretos de verificação obtida por fraude, em caso de verificações ou envios de teste contra a vontade declarada do responsável pelo site, em caso de ataque a terceiros pelo serviço, em caso de notificação que indique grave violação da lei por conteúdo em um portal de clientes ou relatório com a marca do cliente, ou se uma autoridade, tribunal ou a lei assim exigir. Nesse caso, inicialmente limitamos a medida ao domínio, à função ou ao conteúdo afetado, informamos o Cliente sobre ela, com os motivos, em forma textual sem demora injustificada e, no máximo, no dia útil seguinte, na medida em que isso não frustre sua finalidade nem seja proibido por lei, e permitimos a manifestação posteriormente.

Contestações. Quem considerar uma medida injustificada, inclusive sem conta, pode contestá-la em forma textual em contact@lukaswojcik.com. Examinamos a contestação e respondemos em 14 dias, com os motivos; se for procedente, retiramos a medida imediatamente. O procedimento de Reclamações e o recurso ao Judiciário permanecem disponíveis. Se restringirmos conteúdo de um Cliente após uma notificação de conteúdo ilegal, também forneceremos uma fundamentação nos termos do Art. 17 do Regulamento (UE) 2022/2065 (Regulamento dos Serviços Digitais, DSA) e indicaremos esses meios de recurso. Se um bloqueio afeta a obrigação de pagar e quando é possível o encerramento por justa causa são questões regidas pelos Termos de Serviço.

6. Se você for afetado

6.1 Você não quer que formexposed verifique seu site

Insira seu domínio na página Excluir seu domínio das verificações ou bloqueie FormExposedBot para a página inicial em seu robots.txt. Ambos têm efeito, sem necessidade de nos contatar, para toda verificação iniciada depois disso. O monitoramento em andamento em uma conta de cliente termina na próxima verificação devida; até lá, ainda podem ocorrer requisições leves, como a verificação de disponibilidade do formulário, e essas requisições leves não leem o robots.txt. Se quiser que elas também terminem antes, escreva para nós. A página de exclusão das verificações descreve exatamente o que é excluído.

6.2 Você recebeu um envio de teste que não esperava

Envios de teste chegam apenas a domínios cujo controle um Cliente comprovou e aos próprios domínios de teste e demonstração de formexposed. Eles ocorrem por iniciativa desse Cliente. Se você não organizou isso, talvez sua agência, seu provedor de hospedagem ou um colega tenha adicionado o domínio — ou alguém tenha obtido a verificação por fraude. A forma mais rápida de interromper outros envios de teste é agir por conta própria pela exclusão das verificações: envios de teste só ocorrem durante uma verificação e, após o registro, nenhuma nova verificação do domínio é iniciada. Escreva também para contact@lukaswojcik.com e informe o ID da verificação presente na mensagem. Verificaremos quem verificou o domínio, colocaremos o domínio na lista de exclusão até o esclarecimento, se você ainda não o tiver feito, e pediremos ao Cliente que comprove sua autorização. Só informaremos quem o verificou na medida permitida pela legislação de proteção de dados.

6.3 Você suspeita que alguém está usando formexposed contra você

Escreva para contact@lukaswojcik.com, de preferência com o horário, o domínio e — a partir dos logs do seu servidor — as requisições com o user-agent FormExposedBot. Você também pode nos contatar pela página de contato. Confirmaremos o recebimento e informaremos o que fizemos. Você pode denunciar conteúdo ilegal em um portal de clientes ou relatório com a marca do cliente da mesma forma; as Informações Legais indicam o que uma notificação nos termos do Art. 16 DSA deve conter. Nosso ponto de contato nos termos dos Art. 11 e 12 DSA também está indicado ali.

6.4 Você encontrou uma vulnerabilidade de segurança no próprio formexposed

Informe-a pela nossa página de comunicação de vulnerabilidades (também em /.well-known/security.txt). Ela explica como tratamos relatos e o que prometemos a pesquisadores. Não faça testes em sites de terceiros nesse processo, nem mesmo por formexposed.

7. Cooperação com autoridades

Cooperamos com autoridades de investigação criminal, autoridades de controle e entidades como CERT Polska em casos de uso indevido do serviço ou ataques a terceiros. Só entregamos dados se houver uma base legal, a entidade solicitante for competente e a solicitação estiver na forma exigida. Examinamos cada solicitação individualmente e entregamos apenas o que ela efetivamente exige. Informamos os Clientes afetados, salvo se a lei ou a autoridade proibir.

Não armazenamos mais dados para poder prestar informações a autoridades do que o necessário para a operação e a prevenção de abuso. Também não podemos entregar o que foi excluído após os prazos indicados na Política de Privacidade.

8. Alterações

Atualizamos esta página quando o serviço ou os padrões de uso indevido mudam. Para os Clientes, aplicam-se as regras sobre alterações dos Termos de Serviço; novas proibições e consequências mais severas só se aplicam a eles após esse procedimento. Avaliamos a conduta conforme a versão em vigor no momento em que ela ocorreu. Perguntas sobre esta página: contact@lukaswojcik.com.

Como podemos ajudar?