Utilização Aceitável e Abuso

Este documento é publicado em várias línguas. Em caso de divergência entre as versões linguísticas, prevalece a versão polaca.

Versão 1.0 · Última atualização: 16 de outubro de 2026

O formexposed analisa sítios Web de terceiros e, em domínios verificados, envia submissões de teste para formulários de contacto. Uma ferramenta deste tipo também pode ser virada contra outros. Esta página estabelece para que serve o formexposed, o que é proibido, como limitamos tecnicamente a utilização abusiva e o que acontece se alguém infringir as regras. Aplica-se a todos os que utilizam o formexposed: tanto a clientes com conta como a visitantes que utilizam a verificação gratuita sem conta.

O prestador é LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polónia. Para os Clientes, esta página faz parte do contrato: os Termos de Serviço incluem-na entre os documentos contratuais. Para a verificação gratuita e as outras ferramentas de acesso livre, aplica-se como parte das regras que os Termos de Serviço estabelecem para essas ferramentas. Em caso de conflito entre esta página e os Termos de Serviço, prevalecem os Termos de Serviço. Os exemplos («como», «por exemplo») ilustram uma regra; não a alargam nem a restringem.

1. Para que serve o formexposed

O formexposed verifica se um formulário de contacto está protegido contra spam automatizado, se funciona de forma fiável e se trata os dados com cuidado. É permitido, em particular:

• verificar e monitorizar o seu próprio sítio Web ou o sítio Web de um cliente e utilizar os resultados para o proteger;
• utilizar a verificação gratuita sem conta para obter uma primeira impressão, apenas de leitura, de qualquer sítio Web acessível ao público – tal como um visitante o vê;
• enquanto agência no plano Business, mandar verificar passivamente o sítio Web de um potencial cliente e disponibilizar as constatações ao operador de forma lícita (ver secção 3.5);
• partilhar relatórios com as pessoas responsáveis pelo sítio Web ou que dele cuidam;
• utilizar a API, o plugin e as extensões dentro da respetiva documentação e dos respetivos limites;
• apresentar o selo no domínio para o qual foi emitido.

O critério é simples: o formexposed destina-se a ajudar os operadores de sítios Web a proteger os seus próprios formulários. Tudo o que prejudique um terceiro que não tenha dado o seu acordo não faz parte disso.

2. O que o formexposed deliberadamente não consegue fazer

Para que o serviço não tenha utilidade como ferramenta de ataque, limitámo-lo. Estes limites aplicam-se a todos os utilizadores e não podem ser desbloqueados por eles:

• Sem prova de controlo sobre um domínio, nada é submetido nesse domínio; as únicas exceções são os domínios de teste e de demonstração do próprio formexposed, que verificamos internamente. A verificação gratuita, a verificação de potenciais clientes e o nosso estudo leem apenas o que um visitante vê.
• Mesmo em domínios verificados, submetemos apenas a um formulário de contacto geral reconhecido, no máximo cinco submissões de teste identificadas como tal por verificação. Nunca submetemos formulários de encomenda, reserva, início de sessão, registo, newsletter, suporte, pagamento ou carregamento de ficheiros, formulários com dados obrigatórios como número de telefone ou endereço postal, nem formulários em sítios Web que, pelo domínio ou pelo título da página, reconheçamos como pertencentes a uma autoridade pública, tribunal, universidade, escola ou instituição de saúde.
• A verificação de injeção de cabeçalhos é pura deteção: o valor de teste nunca contém um destinatário real. A verificação da validação de e-mail utiliza apenas um endereço terminado em .invalid, que não pode existir.
• Não resolvemos CAPTCHAs. Em domínios verificados, verificamos apenas se um formulário aceita uma submissão sem token CAPTCHA ou com um token inventado. Se o formulário de início de sessão para a verificação por trás do início de sessão tiver um CAPTCHA, a verificação para.
• O crawler solicita apenas endereços públicos através das portas Web habituais. As redes internas, os endereços locais e as outras portas estão bloqueados, incluindo para redirecionamentos e conteúdos incorporados.
• A procura de ficheiros expostos (como um ficheiro de configuração esquecido) só é efetuada em domínios verificados, porque solicitar esses caminhos em sítios Web de terceiros equivale a um ataque.

Estes limites descrevem a forma como o serviço está construído. O scanner reconhece se um formulário é um formulário de contacto geral e se um sítio Web pertence a uma das instituições enumeradas a partir de características da página, como nomes de campos, etiquetas, domínio e título da página; em casos individuais, este reconhecimento pode estar errado. A descrição não constitui, por isso, uma garantia perante Clientes ou terceiros de que um determinado formulário nunca será abrangido. Quem não quiser que o seu sítio Web seja verificado pode excluí-lo através do opt-out (secção 6.1).

3. O que é proibido

3.1 Sondar ou atacar sítios Web de terceiros

• Utilizar o formexposed para encontrar vulnerabilidades em sítios Web de terceiros e depois atacá-los, sobrecarregá-los ou explorá-los – por exemplo, inundar deliberadamente de spam um formulário desprotegido.
• Transmitir resultados, relatórios ou capturas de ecrã de um sítio Web de terceiros a pessoas que os pretendam utilizar para um ataque.
• Utilizar o serviço contra sítios Web cujo operador o excluiu de forma evidente, por exemplo recorrendo a uma grafia diferente do domínio.

Quem espiar ou atacar sistemas de terceiros sem autorização pode também cometer um crime (na Polónia, por exemplo, nos termos dos Art. 267 a 269b do Código Penal polaco (Kodeks karny), na Alemanha, por exemplo, nos termos dos §§ 202a a 202d e do § 303b StGB, o Código Penal alemão). O facto de as informações provirem de um relatório do formexposed não altera nada.

3.2 Contornar limites e salvaguardas

• Contornar os limites da verificação gratuita, por exemplo através de muitas sessões de navegador, mudança de endereços IP, proxies, cadeias de VPN ou várias contas.
• Consultar de forma automatizada a verificação gratuita, a verificação de cabeçalhos ou o formulário de opt-out. A API existe para a automatização.
• Contornar o reCAPTCHA, a verificação de tempo e as outras medidas de proteção dos nossos próprios formulários.
• Contornar os limites dos planos repartindo a utilização por várias contas gratuitas.

3.3 Obter a verificação por engano

• Verificar um domínio do qual não é o operador nem foi contratado pelo operador – mesmo que tenha tecnicamente acesso ao DNS, ao servidor ou ao CMS, por exemplo enquanto antigo prestador de serviços, fornecedor de alojamento ou trabalhador.
• Fornecer a prova através de conteúdos de terceiros, por exemplo através de uma função de comentários ou de uma área de carregamento do sítio Web de terceiros onde qualquer pessoa possa escrever.
• Deixar um domínio na conta depois de a autorização ter terminado. Quando o mandato termina, o Cliente remove o domínio.

A verificação é a porta de entrada para as verificações ativas. Quem a obtiver por engano faz com que o formexposed submeta um formulário de terceiros – é a utilização abusiva mais grave que o serviço permite, e tratamo-la como tal.

3.4 Utilizar abusivamente as submissões de teste

• Utilizar as submissões de teste como canal de spam ou de notificação, por exemplo verificando um domínio para sobrecarregar os respetivos destinatários com e-mails de teste.
• Desencadear verificações de um domínio, em particular verificações manuais, com o objetivo de sobrecarregar o destinatário dos e-mails do formulário em vez de verificar o formulário.
• Configurar submissões de teste num domínio sem garantir que as pessoas que aí recebem e tratam os e-mails do formulário (por exemplo, uma equipa de vendas) sabem que podem chegar submissões de teste identificadas como tal.

3.5 Utilizar a verificação de potenciais clientes para publicidade não solicitada

A verificação de potenciais clientes permite a uma agência mandar verificar passivamente o sítio Web de um potencial cliente. Não escrevemos ao operador; é a própria agência que transmite a ligação. A forma como o faz é assunto seu e da sua exclusiva responsabilidade. É proibido utilizar as constatações para publicidade que a lei não permita sem consentimento prévio. Isto inclui, em particular:

• e-mails não solicitados com as constatações a empresas ou pessoas que não deram o seu consentimento (na Polónia, Art. 398 da lei polaca das comunicações eletrónicas (Prawo komunikacji elektronicznej, PKE); na Alemanha, § 7 UWG, a lei alemã contra a concorrência desleal – em ambos os países, isto aplica-se também a empresas);
• chamadas publicitárias não solicitadas, na medida em que a lei aplicável exija consentimento para as mesmas;
• mensagens que utilizem as constatações para exercer pressão, alimentar receios ou criar a impressão de que o formexposed verificou o sítio Web por conta de uma autoridade ou do operador.

Continua a ser permitido mostrar as constatações ao operador numa conversa que este tenha solicitado e enviá-las ao operador se este tiver consentido em recebê-las ou se a lei aplicável ao contacto permitir expressamente o envio sem consentimento. É a própria agência que verifica se é esse o caso; o facto de trabalhar com o operador noutro assunto não é, por si só, suficiente.

3.6 Utilizar abusivamente relatórios, API, plugin e selo

• Recolher sistematicamente relatórios, adivinhar ou experimentar endereços de relatórios ou obter relatórios em grande número para acumular dados sobre sítios Web de terceiros.
• Publicar relatórios sobre sítios Web de terceiros para expor os respetivos operadores.
• Transmitir chaves de API, segredos do plugin ou credenciais, contornar os limites da API ou utilizá-la para domínios de terceiros.
• Alterar ou imitar o selo, apresentá-lo num domínio diferente daquele para o qual foi emitido ou utilizá-lo para alegar uma certificação que o formexposed não concede. O selo só indica «protegido» enquanto o domínio estiver verificado, a monitorização estiver em curso e a última verificação for recente e favorável; caso contrário, apresenta a indicação neutra «Verificação do formulário de contacto». Uma imagem feita pelo próprio com a mesma afirmação engana os visitantes.
• Guardar credenciais para a verificação por trás do início de sessão relativas a uma conta que não tenha sido criada especificamente como conta de teste, ou relativas a um sítio Web de terceiros.

4. Como o formexposed previne e deteta a utilização abusiva

As medidas seguintes estão implementadas no código. Não divulgamos os limiares exatos, porque se alteram e porque facilitariam a utilização abusiva.

4.1 Verificação gratuita

• Interruptor de emergência. Podemos suspender a verificação gratuita a qualquer momento. O opt-out não é afetado e funciona também durante uma suspensão.
• reCAPTCHA para a verificação, a verificação de cabeçalhos e o opt-out, com limiares separados por formulário, a que acrescem um campo-armadilha e uma verificação de tempo nesses formulários.
• Limites por endereço IP, por sessão e por dia. As verificações aceites são contabilizadas. Um limite diário global protege contra vagas.
• Muitos domínios a partir de um endereço. Quem tentar verificar muitos domínios diferentes a partir de um endereço IP num curto espaço de tempo é bloqueado. Aqui conta cada tentativa, incluindo uma rejeitada: é o padrão típico de quem utiliza o formexposed para sondar sítios de terceiros.
• Um domínio por semana. Quem voltar a introduzir um domínio no prazo de uma semana vê o relatório existente; o domínio não é verificado novamente.
• Domínios muito recentes e domínios cuja antiguidade não possa ser determinada não são verificados sem conta. São frequentemente registados para fins fraudulentos.
• Apenas destinos públicos. Um nome que aponte para um endereço interno ou reservado é rejeitado – antes da tarefa e novamente em cada pedido individual do crawler.

4.2 Monitorização

Registamos como anomalia padrões suspeitos – muitos domínios a partir de um endereço, muitos pedidos em poucos minutos, muitas tentativas rejeitadas numa sessão, acumulações de opt-outs a partir de um país, atingir o limite diário. Uma nova anomalia desencadeia uma notificação para nós, sem domínio e sem endereço IP; só vemos os pormenores na área de administração. Os dados que guardamos para o efeito e durante quanto tempo constam da Política de Privacidade.

4.3 A verificação como porta de entrada

As verificações ativas, a monitorização, a verificação por trás do início de sessão, os percursos no navegador e a procura de ficheiros expostos só são executados, para os clientes, em domínios para os quais tenha sido fornecida prova de controlo: através de registo DNS, meta tag, ficheiro no servidor ou do plugin. Antes de cada tarefa, o próprio scanner verifica novamente se o domínio está classificado como verificado; se não estiver, uma verificação ativa passa a ser apenas de leitura, e um percurso no navegador não é efetuado. As verificações ativas podem também ser desativadas para todo o serviço.

4.4 Submissões de teste

Cada submissão de teste é identificada: no nome do remetente «FormExposed Security Scanner», no assunto «[formexposed.com] Automated security test — no action required» e no texto, com uma referência à página sobre o FormExposedBot e ao opt-out e com o ID da verificação. A língua depende da página de destino (alemão, inglês ou polaco). Por verificação, são enviadas no máximo cinco submissões para um mesmo formulário. O scanner para ao atingir esse número. Preenche os outros campos obrigatórios com «FormExposed security test»; assinala as caixas de verificação sem as quais o formulário não pode ser submetido, por exemplo as de consentimento. A identificação mostra que não existe por trás nenhuma pessoa nem nenhuma declaração de uma pessoa.

4.5 O crawler

O FormExposedBot identifica-se com o seu próprio user-agent, lê o robots.txt antes de cada verificação e não efetua a verificação se um Disallow para ele ou para todos os programas abranger a página inicial; atualmente, não respeita individualmente subcaminhos bloqueados. Os pedidos ligeiros sem navegador, como o pulso do formulário ou a verificação de cabeçalhos, não leem o robots.txt. Não verifica domínios que constem da nossa lista de exclusão (opt-out) nem a respetiva variante www, nem sequer por conta de clientes pagantes com domínio verificado; a monitorização em curso desses domínios termina com a verificação seguinte prevista. Os pormenores constam da página sobre o FormExposedBot.

5. Consequências de uma infração

Reagimos de forma proporcionada: escolhemos a medida menos gravosa que faça cessar a infração e evite danos adicionais a terceiros e ao serviço, limitamo-la à conta, ao domínio ou à função em causa e levantamo-la logo que o motivo deixe de existir. As medidas possíveis são:

• interromper verificações individuais e bloquear temporariamente endereços IP ou sessões;
• remover um domínio de uma conta, revogar a sua verificação ou colocá-lo na lista de exclusão;
• bloquear funções individuais, como as verificações ativas, a verificação de potenciais clientes, a API ou o selo;
• bloquear a conta e resolver o contrato com justa causa, conforme previsto nos Termos de Serviço;
• exigir uma indemnização por danos nos termos das disposições legais e, na medida em que a lei o permita, notificar os operadores de sítios Web afetados, as autoridades de aplicação da lei ou o CERT Polska, se houver indícios concretos de um crime ou de um ataque a terceiros.

Os limites automáticos da verificação gratuita e dos nossos próprios formulários (secção 4.1) não são uma medida contra uma pessoa específica. Aplicam-se a todos segundo regras fixas e terminam quando expira o período em causa ou logo que tenhamos resolvido uma anomalia.

Audição prévia. Antes de bloquearmos a conta, um domínio ou uma função de um Cliente, removermos um domínio da sua conta, revogarmos a sua verificação ou resolvermos o contrato, informamos o Cliente, em forma de texto, de qual a conduta que censuramos, em que regra desta página ou dos Termos de Serviço nos baseamos e que medida estamos a ponderar. O Cliente pode pronunciar-se ou sanar a infração no prazo de sete dias; só então decidimos. Antes de uma resolução com justa causa, aplica-se em vez disso o prazo mais longo para sanar a infração que os Termos de Serviço preveem para o efeito; um bloqueio por falta de pagamento rege-se exclusivamente pelos Termos de Serviço.

Casos urgentes. Só atuamos sem audição prévia se a espera puser seriamente em risco terceiros ou o serviço, em particular quando haja indícios concretos de verificação obtida por engano, no caso de verificações ou submissões de teste contra a vontade declarada do operador do sítio Web, no caso de um ataque a terceiros através do serviço, no caso de uma notificação que indique uma violação grave da lei por conteúdos num portal do cliente ou num relatório white-label, ou se uma autoridade, um tribunal ou a lei o exigirem. Nesse caso, limitamos inicialmente a medida ao domínio, à função ou ao conteúdo em causa, informamos o Cliente da mesma, de forma fundamentada e em forma de texto, sem demora injustificada e, o mais tardar, no dia útil seguinte, na medida em que tal não frustre a sua finalidade e não seja proibido por lei, e realizamos a audição posteriormente.

Oposições. Quem considerar uma medida injustificada, incluindo sem conta, pode opor-se-lhe em forma de texto através de contact@lukaswojcik.com. Analisamos a oposição e respondemos no prazo de 14 dias, de forma fundamentada; se for justificada, levantamos imediatamente a medida. O procedimento descrito em Reclamações e o recurso aos tribunais continuam abertos. Se restringirmos conteúdos de um Cliente na sequência de uma notificação de conteúdos ilegais, fornecemos adicionalmente uma exposição de motivos nos termos do Art. 17 do Regulamento (UE) 2022/2065 (Regulamento dos Serviços Digitais, DSA) e indicamos estas vias de recurso. Se um bloqueio afeta a obrigação de pagamento e quando é possível a resolução com justa causa rege-se pelos Termos de Serviço.

6. Se for afetado

6.1 Não quer que o formexposed verifique o seu sítio Web

Introduza o seu domínio na página Excluir o seu domínio ou bloqueie o FormExposedBot para a página inicial no seu robots.txt. Ambos produzem efeitos, sem que tenha de nos contactar, para todas as verificações que se iniciem posteriormente. A monitorização em curso numa conta de cliente termina com a verificação seguinte prevista; até lá, podem ainda chegar pedidos ligeiros, como o pulso do formulário, e esses pedidos ligeiros não leem o robots.txt. Se pretender que também estes terminem mais cedo, escreva-nos igualmente. O que é exatamente excluído está descrito na página de opt-out.

6.2 Recebeu uma submissão de teste que não esperava

As submissões de teste são enviadas apenas para domínios relativamente aos quais um Cliente forneceu prova de controlo e para os domínios de teste e de demonstração do próprio formexposed. São efetuadas por iniciativa desse Cliente. Se não foi o próprio a providenciá-lo, talvez a sua agência, o seu fornecedor de alojamento ou um colega tenha adicionado o domínio – ou alguém obteve a verificação por engano. A forma mais rápida de impedir novas submissões de teste é fazê-lo o próprio através do opt-out: as submissões de teste só ocorrem durante uma verificação, e após a inscrição não se inicia mais nenhuma verificação do domínio. Escreva-nos também para contact@lukaswojcik.com e indique o ID da verificação que consta da mensagem. Verificaremos quem verificou o domínio, colocaremos o domínio na lista de exclusão até ao esclarecimento, caso ainda não o tenha feito, e pediremos ao Cliente que comprove a sua autorização. Só lhe diremos quem o verificou na medida em que a legislação de proteção de dados o permita.

6.3 Suspeita que alguém está a utilizar o formexposed contra si

Escreva para contact@lukaswojcik.com, idealmente com a hora, o domínio e – a partir dos registos do seu servidor – os pedidos com o user-agent FormExposedBot. Também pode contactar-nos através da página de contacto. Confirmaremos a receção e dir-lhe-emos o que fizemos. Pode denunciar da mesma forma conteúdos ilegais num portal do cliente ou num relatório white-label; o que essa notificação nos termos do Art. 16 do DSA deve conter consta do Aviso Legal. O nosso ponto de contacto nos termos dos Art. 11 e 12 do DSA também aí está indicado.

6.4 Encontrou uma vulnerabilidade de segurança no próprio formexposed

Comunique-a através da nossa página de comunicação de vulnerabilidades (também em /.well-known/security.txt). Aí se explica como tratamos as comunicações e o que prometemos aos investigadores. Ao fazê-lo, não efetue testes em sítios Web de terceiros, incluindo através do formexposed.

7. Cooperação com as autoridades

Cooperamos com as autoridades de aplicação da lei, as autoridades de controlo e organismos como o CERT Polska quando estejam em causa a utilização abusiva do serviço ou ataques a terceiros. Só entregamos dados se existir uma base jurídica, se o organismo requerente for competente e se o pedido revestir a forma prescrita. Analisamos cada pedido individualmente e entregamos apenas o que este efetivamente exige. Informamos os Clientes afetados, salvo se a lei ou a autoridade o proibirem.

Não guardamos mais dados para poder prestar informações às autoridades do que o necessário para o funcionamento e a prevenção de abusos. Aquilo que tiver sido apagado após o termo dos prazos indicados na Política de Privacidade também não o podemos entregar.

8. Alterações

Atualizamos esta página quando o serviço ou os padrões de utilização abusiva se alteram. Para os Clientes, aplicam-se as regras sobre alterações dos Termos de Serviço; as novas proibições e as consequências mais severas só se lhes aplicam após esse procedimento. Avaliamos uma conduta de acordo com a versão em vigor no momento da conduta. Perguntas sobre esta página: contact@lukaswojcik.com.