Допустимое использование и злоупотребления

Этот документ опубликован на нескольких языках. В случае расхождений между языковыми версиями обязательной является польская версия.

Версия 1.0 · Последнее обновление: 16 октября 2026 г.

formexposed просматривает сторонние сайты и на подтверждённых доменах отправляет тестовые сообщения в контактные формы. Такой инструмент можно обратить и против других. На этой странице описано, для чего предназначен formexposed, что запрещено, как мы технически ограничиваем злоупотребления и что происходит, если кто-то нарушает правила. Она распространяется на всех, кто пользуется formexposed: как на клиентов с учётной записью, так и на посетителей, использующих бесплатную проверку без учётной записи.

Поставщик — LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Польша. Для Клиентов эта страница является частью договора: Условия использования относят её к договорным документам. Для бесплатной проверки и других свободно доступных инструментов она действует как часть правил, которые Условия использования устанавливают для этих инструментов. Если эта страница противоречит Условиям использования, приоритет имеют Условия использования. Примеры («такие как», «например») поясняют правило; они его не расширяют и не ограничивают.

1. Для чего предназначен formexposed

formexposed проверяет, защищена ли контактная форма от автоматизированного спама, надёжно ли она работает и бережно ли обращается с данными. В частности, разрешается:

проверять и отслеживать собственный сайт или сайт клиента и использовать результаты для его защиты;
использовать бесплатную проверку без учётной записи, чтобы получить первое впечатление о любом общедоступном сайте только в режиме чтения — так, как его видит посетитель;
агентствам на тарифе Business — проводить пассивную проверку сайта потенциального клиента и законным образом предоставлять находки его оператору (см. раздел 3.5);
делиться отчётами с людьми, которые отвечают за сайт или занимаются его сопровождением;
использовать API, плагин и расширения в пределах их документации и ограничений;
размещать значок на домене, для которого он был выдан.

Критерий прост: formexposed призван помогать операторам сайтов защищать собственные формы. Всё, что причиняет вред третьему лицу, не давшему на это согласия, к этому не относится.

2. Чего formexposed намеренно не умеет

Чтобы сервис был бесполезен как инструмент для атак, мы его ограничили. Эти ограничения действуют для всех пользователей, и пользователи не могут их снять:

Без подтверждения контроля над доменом туда ничего не отправляется; единственное исключение — собственные тестовые и демонстрационные домены formexposed, которые мы проверяем внутри компании. Бесплатная проверка, проверка потенциальных клиентов и наше исследование считывают только то, что видит посетитель.
Даже на подтверждённых доменах мы отправляем сообщения только в распознанную общую контактную форму — не более пяти помеченных тестовых отправок за проверку. Мы никогда не отправляем формы заказа, бронирования, входа, регистрации, рассылки, поддержки, оплаты или загрузки файлов, формы с обязательными данными, такими как номер телефона или почтовый адрес, а также формы на сайтах, которые мы по домену или заголовку страницы распознаём как сайты органа власти, суда, университета, школы или медицинского учреждения.
Проверка на внедрение заголовков — это чистое обнаружение: тестовое значение никогда не содержит реального получателя. Проверка валидации электронной почты использует только адрес, оканчивающийся на .invalid, который не может существовать.
Мы не решаем CAPTCHA. На подтверждённых доменах мы лишь проверяем, принимает ли форма отправку без токена CAPTCHA или с выдуманным токеном. Если форма входа для сканирования после входа содержит CAPTCHA, проверка останавливается.
Краулер обращается только к публичным адресам через обычные веб-порты. Внутренние сети, локальные адреса и другие порты заблокированы, в том числе для перенаправлений и встроенного контента.
Поиск открытых файлов (например, забытого файла конфигурации) выполняется только для подтверждённых доменов, поскольку запрос таких путей на сторонних сайтах равносилен атаке.

Эти ограничения описывают, как устроен сервис. Сканер распознаёт, является ли форма общей контактной формой и принадлежит ли сайт одному из перечисленных учреждений, по признакам страницы, таким как имена полей, подписи, домен и заголовок страницы; в отдельных случаях это распознавание может быть ошибочным. Поэтому описание не является гарантией для Клиентов или третьих лиц, что определённая форма никогда не будет затронута. Тот, кто не хочет, чтобы его сайт проверялся, может исключить его через opt-out (раздел 6.1).

3. Что запрещено

3.1 Зондирование или атака сторонних сайтов

Использование formexposed для поиска уязвимостей на сторонних сайтах с последующей атакой на них, их перегрузкой или эксплуатацией — например, намеренное заваливание незащищённой формы спамом.
Передача результатов, отчётов или скриншотов стороннего сайта лицам, которые хотят использовать их для атаки.
Использование сервиса против сайтов, оператор которых явно его исключил, например путём перехода на другое написание домена.

Тот, кто без разрешения шпионит за сторонними системами или атакует их, может также совершить уголовное преступление (в Польше, например, согласно ст. 267–269b Уголовного кодекса Польши (Kodeks karny), в Германии, например, согласно §§ 202a–202d и § 303b StGB, Уголовного кодекса Германии). То, что информация получена из отчёта formexposed, ничего не меняет.

3.2 Обход ограничений и мер защиты

Обход ограничений бесплатной проверки, например с помощью множества сеансов браузера, смены IP-адресов, прокси-серверов, цепочек VPN или нескольких учётных записей.
Автоматизированные запросы к бесплатной проверке, проверке заголовков или форме opt-out. Для автоматизации существует API.
Обход reCAPTCHA, проверки времени заполнения и других мер защиты наших собственных форм.
Обход ограничений тарифа путём распределения использования между несколькими бесплатными учётными записями.

3.3 Получение подтверждения обманным путём

Подтверждение домена, оператором которого Вы не являетесь и по поручению оператора которого не действуете, — даже если у Вас технически есть доступ к DNS, серверу или CMS, например как у бывшего поставщика услуг, хостинг-провайдера или сотрудника.
Предоставление подтверждения через сторонний контент, например через функцию комментариев или область загрузки стороннего сайта, в которую может писать любой.
Сохранение домена в учётной записи после прекращения полномочий. По окончании поручения Клиент удаляет домен.

Подтверждение — это ворота к активным проверкам. Тот, кто получает его обманным путём, заставляет formexposed отправлять данные в чужую форму — это самое серьёзное злоупотребление, которое допускает сервис, и мы относимся к нему соответственно.

3.4 Злоупотребление тестовыми отправками

Использование тестовых отправок как канала для спама или уведомлений, например подтверждение домена с целью завалить его получателей тестовыми письмами.
Запуск проверок домена, в частности ручных, с целью нагрузить получателя писем из формы, а не проверить форму.
Настройка тестовых отправок на домене без обеспечения того, чтобы люди, которые получают и обрабатывают там письма из форм (например, отдел продаж), знали, что могут приходить помеченные тестовые отправки.

3.5 Использование проверки потенциальных клиентов для нежелательной рекламы

Проверка потенциальных клиентов позволяет агентству провести пассивную проверку сайта потенциального клиента. Мы не пишем оператору; ссылку агентство передаёт само. Как оно это делает — его собственное дело и его собственная ответственность. Запрещается использовать находки для рекламы, которую закон не допускает без предварительного согласия. Сюда относятся, в частности:

нежелательные электронные письма с находками компаниям или лицам, не давшим согласия (в Польше — ст. 398 польского Закона об электронных коммуникациях (Prawo komunikacji elektronicznej, PKE); в Германии — § 7 UWG, Закона Германии против недобросовестной конкуренции; в обеих странах это распространяется и на предпринимателей);
нежелательные рекламные звонки, если применимое право требует для них согласия;
сообщения, в которых находки используются для давления, нагнетания страха или создания впечатления, что formexposed проверил сайт по поручению органа власти или оператора.

По-прежнему разрешается показать находки оператору в разговоре, о котором оператор сам попросил, и направить их оператору, если он дал согласие на их получение или право, применимое к такому обращению, прямо допускает их направление без согласия. Агентство само проверяет, так ли это; того, что оно работает с оператором по другому вопросу, самого по себе недостаточно.

3.6 Злоупотребление отчётами, API, плагином и значком

Систематический сбор отчётов, угадывание или перебор адресов отчётов либо массовое получение отчётов с целью накопления данных о сторонних сайтах.
Публикация отчётов о сторонних сайтах с целью выставить их операторов в неблагоприятном свете.
Передача API-ключей, секретов плагина или учётных данных, обход ограничений API или его использование для сторонних доменов.
Изменение или имитация значка, его размещение на ином домене, чем тот, для которого он был выдан, или использование его для заявления о сертификации, которую formexposed не предоставляет. Значок показывает «защищено» только пока домен подтверждён, мониторинг работает, а последняя проверка свежая и благоприятная; в противном случае он показывает нейтральное «Проверка контактной формы». Самодельная графика с тем же утверждением вводит посетителей в заблуждение.
Сохранение учётных данных для сканирования после входа для учётной записи, которая не была специально создана как тестовая, или для стороннего сайта.

4. Как formexposed предотвращает и выявляет злоупотребления

Следующие меры реализованы в коде. Точные пороговые значения мы не раскрываем, поскольку они меняются и поскольку это облегчило бы злоупотребления.

4.1 Бесплатная проверка

Аварийный выключатель. Мы можем в любой момент приостановить бесплатную проверку. Opt-out это не затрагивает, и он работает и во время приостановки.
reCAPTCHA для проверки, проверки заголовков и opt-out, с отдельными порогами для каждой формы, а также ловушка и проверка времени заполнения в этих формах.
Лимиты на IP-адрес, на сеанс и на день. Подсчитываются принятые проверки. Общий дневной лимит защищает от волн запросов.
Много доменов с одного адреса. Тот, кто пытается за короткое время проверить много разных доменов с одного IP-адреса, блокируется. Здесь учитывается каждая попытка, в том числе отклонённая: это типичная схема, с помощью которой кто-то использует formexposed для прощупывания чужих сайтов.
Один домен в неделю. Тот, кто повторно вводит домен в течение недели, видит существующий отчёт; повторная проверка не проводится.
Очень молодые домены и домены, возраст которых невозможно определить, без учётной записи не проверяются. Их часто регистрируют для мошенничества.
Только публичные цели. Имя, указывающее на внутренний или зарезервированный адрес, отклоняется — перед заданием и повторно при каждом отдельном запросе краулера.

4.2 Мониторинг

Подозрительные закономерности — много доменов с одного адреса, много запросов за несколько минут, много отклонённых попыток в одном сеансе, скопления opt-out из одной страны, достижение дневного лимита — мы фиксируем как аномалию. Новая аномалия вызывает уведомление для нас, без домена и без IP-адреса; подробности мы видим только в области администрирования. Какие данные мы для этого храним и как долго, указано в Политике конфиденциальности.

4.3 Подтверждение как ворота

Активные проверки, мониторинг, сканирование после входа, браузерные сценарии и поиск открытых файлов выполняются для клиентов только для доменов, по которым предоставлено подтверждение контроля: DNS-записью, мета-тегом, файлом на сервере или через плагин. Перед каждым заданием сканер сам повторно проверяет, отнесён ли домен к подтверждённым; если нет, активная проверка переходит в режим только чтения, а браузерный сценарий не выполняется. Активные проверки также можно отключить для всего сервиса.

4.4 Тестовые отправки

Каждая тестовая отправка помечена: в имени отправителя «FormExposed Security Scanner», в теме «[formexposed.com] Automated security test — no action required» и в тексте — ссылкой на страницу о FormExposedBot, на opt-out и идентификатором сканирования. Язык зависит от целевой страницы (немецкий, английский или польский). За одну проверку в одну форму направляется не более пяти отправок. После этого числа сканер останавливается. Другие обязательные поля он заполняет текстом «FormExposed security test»; он отмечает флажки, без которых форму невозможно отправить, например согласие. Пометка показывает, что за отправкой не стоит ни человек, ни заявление человека.

4.5 Краулер

FormExposedBot идентифицирует себя собственным user-agent, считывает robots.txt перед каждой проверкой и не проводит проверку, если Disallow для него или для всех программ распространяется на главную страницу; заблокированные подпути в отдельности он в настоящее время не учитывает. Лёгкие запросы без браузера, такие как пульс формы или проверка заголовков, robots.txt не считывают. Он не проверяет домены из нашего списка исключений (opt-out) и их вариант с www — даже по поручению платящих клиентов с подтверждённым доменом; их текущий мониторинг прекращается со следующей запланированной проверкой. Подробности — на странице о FormExposedBot.

5. Последствия нарушения

Мы реагируем соразмерно: выбираем самую мягкую меру, которая прекращает нарушение и предотвращает дальнейший вред третьим лицам и сервису, ограничиваем её затронутой учётной записью, доменом или функцией и снимаем её, как только отпадает основание. Возможные меры:

прервать отдельные проверки и временно заблокировать IP-адреса или сеансы;
удалить домен из учётной записи, отозвать его подтверждение или внести его в список исключений;
заблокировать отдельные функции, такие как активные проверки, проверка потенциальных клиентов, API или значок;
заблокировать учётную запись и расторгнуть договор по уважительной причине, как предусмотрено Условиями использования;
требовать возмещения ущерба в соответствии с положениями закона и, в той мере, в какой это допустимо по закону, уведомить затронутых операторов сайтов, правоохранительные органы или CERT Polska при наличии конкретных признаков уголовного преступления или атаки на третьих лиц.

Автоматические лимиты бесплатной проверки и наших собственных форм (раздел 4.1) не являются мерой против конкретного лица. Они действуют для всех по фиксированным правилам и прекращаются по истечении соответствующего периода или как только мы разберём аномалию.

Предварительное выслушивание. Прежде чем заблокировать учётную запись, домен или функцию Клиента, удалить домен из его учётной записи, отозвать его подтверждение или расторгнуть договор, мы сообщаем Клиенту в текстовой форме, какое поведение мы считаем недопустимым, на какое правило этой страницы или Условий использования мы ссылаемся и какую меру рассматриваем. Клиент может высказаться или устранить нарушение в течение семи дней; только после этого мы принимаем решение. Перед расторжением по уважительной причине вместо этого действует более длительный срок для устранения, предусмотренный для этого Условиями использования; блокировка из-за неуплаты регулируется исключительно Условиями использования.

Срочные случаи. Без предварительного выслушивания мы действуем только в том случае, если ожидание создало бы серьёзную угрозу для третьих лиц или сервиса, в частности при наличии конкретных признаков подтверждения, полученного обманным путём, при проверках или тестовых отправках вопреки заявленной воле оператора сайта, при атаке на третьих лиц через сервис, при уведомлении о серьёзном нарушении закона контентом в клиентском портале или отчёте white-label, а также если этого требует орган власти, суд или закон. В этом случае мы сначала ограничиваем меру затронутым доменом, функцией или контентом, сообщаем о ней Клиенту с обоснованием в текстовой форме без неоправданной задержки и не позднее следующего рабочего дня, если это не лишает меру смысла и не запрещено законом, а выслушивание проводим после этого.

Возражения. Любой, кто считает меру необоснованной, в том числе без учётной записи, может заявить возражение в текстовой форме по адресу contact@lukaswojcik.com. Мы рассматриваем возражение и отвечаем в течение 14 дней с обоснованием; если оно обоснованно, мы немедленно снимаем меру. Порядок, описанный на странице Жалобы, и обращение в суд остаются доступными. Если мы ограничиваем контент Клиента после уведомления о незаконном контенте, мы дополнительно предоставляем обоснование согласно ст. 17 Регламента (ЕС) 2022/2065 (Закон о цифровых услугах, DSA) и указываем эти средства правовой защиты. Влияет ли блокировка на обязанность оплаты и когда возможно расторжение по уважительной причине, регулируется Условиями использования.

6. Если это касается Вас

6.1 Вы не хотите, чтобы formexposed проверял Ваш сайт

Введите свой домен на странице Исключить свой домен или заблокируйте FormExposedBot для главной страницы в своём robots.txt. И то, и другое действует без обращения к нам для каждой проверки, начинающейся после этого. Текущий мониторинг в учётной записи клиента прекращается со следующей запланированной проверкой; до этого ещё могут поступать лёгкие запросы, такие как пульс формы, и эти лёгкие запросы не считывают robots.txt. Если Вы хотите, чтобы и они прекратились раньше, также напишите нам. Что именно исключается, описано на странице opt-out.

6.2 Вы получили неожиданную тестовую отправку

Тестовые отправки направляются только на домены, по которым Клиент предоставил подтверждение контроля, и на собственные тестовые и демонстрационные домены formexposed. Они выполняются по инициативе этого Клиента. Если Вы этого не поручали, возможно, домен добавило Ваше агентство, Ваш хостинг-провайдер или коллега — или кто-то получил подтверждение обманным путём. Быстрее всего прекратить дальнейшие тестовые отправки можно самостоятельно через opt-out: тестовые отправки происходят только во время проверки, а после внесения записи ни одна новая проверка домена не начинается. Также напишите нам по адресу contact@lukaswojcik.com и укажите идентификатор сканирования из сообщения. Мы проверим, кто подтвердил домен, внесём домен в список исключений до выяснения обстоятельств, если Вы ещё не сделали этого сами, и попросим Клиента обосновать свои полномочия. Кто подтвердил домен, мы сообщим Вам только в той мере, в какой это допускает законодательство о защите данных.

6.3 Вы подозреваете, что кто-то использует formexposed против Вас

Напишите на contact@lukaswojcik.com, по возможности указав время, домен и — из журналов Вашего сервера — запросы с user-agent FormExposedBot. Вы также можете связаться с нами через страницу контактов. Мы подтвердим получение и сообщим, что предприняли. Таким же образом Вы можете сообщить о незаконном контенте в клиентском портале или отчёте white-label; что должно содержать такое уведомление согласно ст. 16 DSA, указано в разделе Выходные данные. Там же указано наше контактное лицо согласно ст. 11 и 12 DSA.

6.4 Вы нашли уязвимость в самом formexposed

Пожалуйста, сообщите о ней через нашу страницу для сообщений об уязвимостях (также по адресу /.well-known/security.txt). Там объясняется, как мы обрабатываем сообщения и что обещаем исследователям. Пожалуйста, не проводите при этом тестирование на сторонних сайтах, в том числе через formexposed.

7. Сотрудничество с органами власти

Мы сотрудничаем с правоохранительными органами, надзорными органами и такими организациями, как CERT Polska, когда речь идёт о злоупотреблении сервисом или атаках на третьих лиц. Мы передаём данные только при наличии правового основания, если запрашивающий орган компетентен и запрос оформлен в предписанной форме. Мы рассматриваем каждый запрос в отдельности и передаём только то, что он действительно требует. Мы информируем затронутых Клиентов, если это не запрещено законом или органом власти.

Мы не храним больше данных ради возможности предоставлять сведения органам власти, чем необходимо для работы сервиса и защиты от злоупотреблений. То, что удалено по истечении сроков, указанных в Политике конфиденциальности, мы также не можем передать.

8. Изменения

Мы обновляем эту страницу, когда меняется сервис или схемы злоупотреблений. Для Клиентов действуют правила об изменениях, установленные в Условиях использования; новые запреты и более строгие последствия применяются к ним только после этой процедуры. Поведение мы оцениваем по редакции, действовавшей на момент совершения действий. Вопросы об этой странице: contact@lukaswojcik.com.

Чем мы можем помочь?