Sobre o FormExposedBot

Última atualização: 16 de outubro de 2026

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Token no robots.txt: FormExposedBot

O que é o FormExposedBot

O FormExposedBot é o crawler do formexposed. O formexposed verifica se os formulários de contacto estão protegidos contra spam automatizado e se funcionam de forma fiável. Se encontrou este user-agent nos registos do seu servidor, alguém iniciou uma verificação do seu sítio web:

• um visitante do formexposed que introduziu o seu domínio na verificação gratuita – sem conta, apenas em modo de leitura;
• um cliente que tem o seu domínio na respetiva conta e declara que gere ou mantém o sítio web, ou alguém que instalou o nosso plugin no seu sítio web;
• uma agência que mandou verificar o seu sítio web, apenas em modo de leitura, como potencial cliente;
• nós próprios, para um estudo do qual publicamos apenas números agregados, sem os nomes dos sítios web;
• alguém que introduziu a sua página inicial na nossa verificação gratuita de cabeçalhos (apenas cabeçalhos, sem navegador).

Mediante pedido, informamos qual destes tipos correspondeu a uma verificação; quem a iniciou, apenas na medida em que a legislação de proteção de dados o permita. Ao fazê-lo, atuamos por iniciativa dessa pessoa; no caso de domínios para os quais um cliente apresentou prova de controlo, em nome desse cliente.

O que acontece durante uma verificação

• Antes da verificação, o bot lê o seu robots.txt (ver abaixo).
• Carrega a sua página inicial e até sete outras páginas no mesmo anfitrião (com ou sem www., sem outros subdomínios), no máximo oito no total. As páginas com palavras como contacto, informação legal ou apoio têm prioridade. Ignora páginas de início de sessão, conta, carrinho e finalização de compra, feeds, PDF e imagens.
• Utiliza um verdadeiro navegador headless com JavaScript ativado e carrega as páginas uma após a outra, não em paralelo. Uma página pode demorar no máximo 20 segundos; ao fim de cerca de três minutos, a verificação termina.
• Lê os formulários: nomes e tipos de campos, etiquetas, campos obrigatórios, CAPTCHA incorporados, armadilhas ocultas, tokens e cabeçalhos. Durante esta verificação apenas de leitura, não introduz nada.
• Em no máximo três páginas com formulário, carrega a página uma segunda vez e clica em “Rejeitar” no banner de cookies – nunca em “Aceitar”. Isto mostra-nos se o formulário continua a funcionar após uma rejeição.
• Em no máximo três páginas com formulário, carrega a página numa vista de telemóvel, sem clicar. O user-agent mantém-se o mesmo; não nos fazemos passar por um smartphone.
• Determina o tipo de formulário com regras e, quando estas não bastam, com um modelo de linguagem executado no nosso próprio servidor. Neste processo, nada sai dos nossos servidores.

Sem prova de controlo sobre o domínio (abaixo), o FormExposedBot obtém apenas páginas acessíveis publicamente sem início de sessão e não submete nada. Não contorna qualquer proteção de acesso, não adivinha credenciais de acesso e não resolve CAPTCHA. Tudo o que vá além disso – submissões de teste, a procura de ficheiros expostos e a verificação por detrás de um início de sessão com uma conta de teste – ocorre apenas para domínios com esta prova ou para os próprios domínios de teste e demonstração do formexposed.

Através da verificação gratuita no nosso sítio web, verificamos o mesmo domínio no máximo uma vez a cada sete dias; quem o introduzir novamente vê o relatório existente. Os clientes podem mandar verificar manualmente os domínios da sua conta, com um tempo de espera; os domínios com prova de controlo são também verificados regularmente com a frequência do respetivo plano, sendo uma verificação completa no máximo uma vez por dia. Os pedidos leves feitos sem navegador (abaixo) são mais frequentes.

Submissões de teste apenas para domínios verificados

No caso dos clientes, só é submetido algo se um cliente tiver provado que tem o direito de controlar o domínio (registo DNS, meta tag, ficheiro ou plugin); sem esta prova, verificamos ativamente apenas os nossos próprios domínios de teste e demonstração. Mesmo assim:

• apenas um formulário por verificação, e apenas um que tenha sido identificado com segurança como formulário de contacto geral; o modelo de linguagem nunca pode libertar um formulário para submissão;
• no máximo cinco submissões por verificação, por exemplo sem resposta ao CAPTCHA, com o campo-armadilha preenchido ou com um token alterado;
• nunca formulários de encomenda, reserva, início de sessão, registo, newsletter, apoio, pagamento ou carregamento de ficheiros, nunca formulários com campos obrigatórios para telefone, endereço postal ou dados da empresa, nunca sítios web que reconheçamos, pelo domínio ou pelo título da página, como sendo de uma autoridade pública, tribunal, universidade, escola ou instituição de saúde.

O bot reconhece o tipo de formulário e o tipo de sítio web a partir de características da página; em casos pontuais, este reconhecimento pode estar errado. A lista descreve a forma como o bot está construído e não constitui uma garantia. Se não pretender submissões de teste, exclua o domínio (abaixo): nesse caso, não será iniciada qualquer verificação em que algo possa ser submetido.

Todas as submissões são identificadas. Nome do remetente “FormExposed Security Scanner”, endereço do remetente dummy@formexposed.com, assunto “[formexposed.com] Automated security test — no action required”. O texto está na língua da sua página (alemão, inglês ou polaco); em inglês:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

A frase “No data was stored” é demasiado abrangente. O correto é: neste processo, não armazenamos nada dos seus visitantes nem da sua caixa de correio. No entanto, para avaliar o teste, armazenamos a resposta do seu servidor à submissão, nomeadamente o código de estado, os primeiros 300 caracteres da página de resposta e uma captura de ecrã da mesma (ver “O que é armazenado”).

O bot preenche os restantes campos obrigatórios com “FormExposed security test”. Assinala as caixas de verificação sem as quais o formulário não pode ser submetido, por exemplo para consentimento. A identificação mostra que não existe nenhuma pessoa nem nenhuma declaração de uma pessoa por detrás disso.

A verificação de injeção de cabeçalhos insere apenas um cabeçalho inofensivo X-FormExposed-Injection-Test, nunca um destinatário. A verificação da validação de endereços utiliza um endereço em .invalid, que não pode existir.

Pedidos adicionais para clientes

Para domínios verificados numa conta de cliente, acrescem os seguintes, a pedido do cliente:

• Percursos no navegador: um navegador (Chromium ou WebKit) abre uma página de formulário escolhida pelo cliente em tamanho de telemóvel e verifica se o formulário aparece e pode ser utilizado até ao botão de envio; para isso, preenche os campos obrigatórios com valores de teste que não saem do navegador. Envia apenas pedidos GET e HEAD; a submissão está tecnicamente bloqueada.
• Análise por detrás do início de sessão: apenas com uma conta de teste que o próprio operador do sítio web criou, no máximo cinco páginas, sem submeter, sem capturas de ecrã, nunca endereços de terminar sessão, eliminação ou cancelamento. Se o início de sessão tiver um CAPTCHA, o bot para.
• Pedidos leves sem navegador: pulso de formulários (até três páginas de formulário, a cada 10, 15 ou 30 minutos, consoante o plano), verificação da prova de controlo, verificação de cabeçalhos e procura de ficheiros expostos. Utilizam o mesmo user-agent com um sufixo como pulse, ownership-verification, headers ou exposed-files.

Além disso, qualquer pessoa pode mandar obter os cabeçalhos da sua página inicial com a nossa verificação gratuita de cabeçalhos: um pedido via https e outro via http à sua página inicial, mais eventuais redirecionamentos dentro do seu domínio, sem navegador e sem formulário.

O que é armazenado

Apenas o que descreve o resultado: endereços e títulos das páginas verificadas, a estrutura dos formulários (nomes e tipos de campos, etiquetas e semelhantes, sem valores de campos; os inícios de campos ocultos pré-preenchidos até 24 caracteres e de atributos data- até 60 caracteres são lidos pelo bot apenas durante a verificação e não são armazenados), as medidas de proteção detetadas, os cabeçalhos, os anfitriões dos serviços incorporados, somas de verificação dos scripts (não o seu conteúdo; no caso de scripts incorporados, também os primeiros 80 caracteres, com os identificadores tornados irreconhecíveis), os nomes dos cookies definidos, capturas de ecrã da área visível da página inicial e dos formulários e, após uma submissão de teste, da página de resposta; dessa resposta, também o código de estado e os primeiros 300 caracteres. Estas capturas de ecrã da verificação não são ocultadas; mostram o que se pode ver na página pública. Apenas os percursos no navegador produzem uma pequena imagem do formulário com os campos de introdução tapados. Se um formulário contiver um endereço de destinatário, armazenamos apenas o respetivo domínio.

De onde vêm os pedidos

O FormExposedBot é executado nos nossos próprios servidores na Polónia. Não publicamos os endereços IP porque podem mudar. Se quiser saber se um pedido veio realmente de nós, escreva-nos indicando a hora e o endereço IP que constam do seu registo; dir-lhe-emos se veio de nós. Para a verificação cruzada antes de um alerta de indisponibilidade, pode ser acrescentada uma segunda localização com outro fornecedor; também esta utiliza o user-agent FormExposedBot.

Como excluir o seu domínio

robots.txt:

User-agent: FormExposedBot
Disallow: /

O bot procura primeiro no seu robots.txt um grupo para o FormExposedBot e, caso não exista, o grupo para todos (*). Se um Disallow abranger a página inicial, não é realizada qualquer verificação. Se o seu servidor responder ao pedido do robots.txt com um erro de servidor ou não responder de todo, também não verificamos, por precaução; se o ficheiro não existir (404), o sítio web é tratado como permitido. Atualmente, não avaliamos separadamente subdiretórios bloqueados individualmente – se não quiser ser verificado de todo, bloqueie a página inicial. Os pedidos leves sem navegador e a verificação de cabeçalhos não leem o robots.txt.

Opt-out: introduza o seu domínio na página Excluir o seu domínio. A exclusão aplica-se ao domínio e à sua variante www., não a outros subdomínios. Produz efeitos em todas as verificações iniciadas após o registo, de forma permanente, também em relação a clientes pagantes com um domínio verificado, e abrange igualmente a verificação de cabeçalhos. A monitorização em curso numa conta de cliente termina com a próxima verificação prevista; até lá, podem ainda ocorrer pedidos leves, como o pulso de formulários. Se pretender que também estes terminem mais cedo, escreva-nos.

Proteção de dados

O responsável pelo tratamento é LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, contact@lukaswojcik.com. Quando um cliente verifica o seu próprio domínio, atuamos em nome desse cliente.

• Dados e origem: recolhemos dados pessoais apenas na medida em que constem das páginas verificadas do seu sítio web e se tornem visíveis num endereço de página, num título de página, numa etiqueta de formulário ou numa captura de ecrã, como um nome na informação legal ou junto ao formulário. A origem é o seu sítio web. Não procuramos esses dados.
• Finalidade e fundamento jurídico: verificações de segurança de formulários; na verificação gratuita, na verificação de potenciais clientes e no estudo, com base no nosso interesse legítimo e no interesse dos nossos utilizadores (Art. 6(1)(f) do RGPD).
• Destinatários: quem iniciou o relatório ou dispõe da respetiva ligação – a ligação abre o relatório sem início de sessão; no caso de domínios numa conta de cliente, também os destinos de alerta escolhidos pelo cliente; do estudo, apenas totais. Não intervém qualquer serviço externo de IA.
• Prazo de conservação: relatório sem conta 30 dias, verificação de potenciais clientes 90 dias, verificações numa conta de cliente até 13 meses, o resultado mais recente de cada domínio enquanto o domínio existir, estudo até à publicação.
• Os seus direitos: acesso, retificação, apagamento, limitação e oposição nos termos do Art. 21 do RGPD – mais rapidamente através do opt-out – e o direito de apresentar reclamação a uma autoridade de controlo, no nosso caso o Presidente do Gabinete de Proteção de Dados Pessoais (Prezes Urzędu Ochrony Danych Osobowych) em Varsóvia.

Tudo o resto consta da Política de Privacidade. A forma como lidamos com utilizações abusivas é descrita em Utilização Aceitável e Abuso.

Contacto

Questões ou reclamações: contact@lukaswojcik.com ou através da página de contacto. Indique o seu domínio e, se disponível, o ID da análise ou a ligação do relatório. Comunique vulnerabilidades de segurança no próprio formexposed através da nossa página de comunicação de vulnerabilidades.