formexposed
Začať

Prípustné používanie a zneužitie

Tento dokument je zverejnený vo viacerých jazykoch. V prípade akéhokoľvek rozporu medzi jazykovými verziami je záväzná poľská verzia.

Verzia 1.0 · Posledná aktualizácia: 16. októbra 2026

formexposed sa pozerá na webové stránky tretích strán a na overených doménach posiela testovacie odoslania do kontaktných formulárov. Takýto nástroj sa dá obrátiť aj proti iným. Táto stránka stanovuje, na čo formexposed slúži, čo je zakázané, ako technicky obmedzujeme zneužitie a čo sa stane, ak niekto poruší pravidlá. Vzťahuje sa na každého, kto používa formexposed: na zákazníkov s účtom aj na návštevníkov, ktorí používajú bezplatnú kontrolu bez účtu.

Poskytovateľom je LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poľsko. Pre zákazníkov je táto stránka súčasťou zmluvy: Podmienky používania ju zaraďujú medzi zmluvné dokumenty. Pre bezplatnú kontrolu a ostatné voľne dostupné nástroje platí ako súčasť pravidiel, ktoré pre tieto nástroje stanovujú Podmienky používania. Ak je táto stránka v rozpore s Podmienkami používania, majú prednosť Podmienky používania. Príklady („napríklad“, „ako je“) ilustrujú pravidlo; ani ho nerozširujú, ani neobmedzujú.

1. Na čo formexposed slúži

formexposed kontroluje, či je kontaktný formulár chránený pred automatizovaným spamom, či funguje spoľahlivo a či s údajmi zaobchádza starostlivo. Povolené je najmä:

  • kontrolovať a monitorovať vlastnú webovú stránku alebo webovú stránku klienta a využívať výsledky na jej zabezpečenie;
  • používať bezplatnú kontrolu bez účtu na získanie prvého dojmu o akejkoľvek verejne dostupnej webovej stránke, len na čítanie – tak, ako ju vidí návštevník;
  • ako agentúra v pláne Business nechať pasívne skontrolovať webovú stránku potenciálneho klienta a sprístupniť zistenia prevádzkovateľovi zákonným spôsobom (pozri oddiel 3.5);
  • zdieľať správy s ľuďmi, ktorí sú za webovú stránku zodpovední alebo sa o ňu starajú;
  • používať API, plugin a rozšírenia v rámci ich dokumentácie a limitov;
  • zobrazovať odznak na doméne, pre ktorú bol vydaný.

Meradlo je jednoduché: formexposed má pomáhať prevádzkovateľom webových stránok chrániť ich vlastné formuláre. Čokoľvek, čo poškodzuje tretiu stranu, ktorá s tým nesúhlasila, k tomu nepatrí.

2. Čo formexposed zámerne nedokáže

Aby služba nebola užitočná ako nástroj na útoky, obmedzili sme ju. Tieto obmedzenia platia pre všetkých používateľov a používatelia ich nemôžu odomknúť:

  • Bez preukázania kontroly nad doménou sa na nej nič neodosiela; jedinou výnimkou sú vlastné testovacie a demonštračné domény formexposed, ktoré kontrolujeme interne. Bezplatná kontrola, kontrola potenciálneho klienta a naša štúdia čítajú len to, čo vidí návštevník.
  • Aj na overených doménach odosielame len do rozpoznaného všeobecného kontaktného formulára, najviac päť označených testovacích odoslaní na kontrolu. Nikdy neodosielame formuláre objednávok, rezervácií, prihlásenia, registrácie, newslettera, podpory, platieb alebo nahrávania súborov, formuláre s povinnými údajmi, ako je telefónne číslo alebo poštová adresa, ani formuláre na webových stránkach, ktoré podľa domény alebo názvu stránky rozpoznáme ako orgán verejnej moci, súd, univerzitu, školu alebo zdravotnícke zariadenie.
  • Kontrola vkladania do hlavičiek (header injection) je čistá detekcia: testovacia hodnota nikdy neobsahuje skutočného príjemcu. Kontrola validácie e-mailu používa len adresu končiacu na .invalid, ktorá nemôže existovať.
  • CAPTCHA neriešime. Na overených doménach len kontrolujeme, či formulár prijme odoslanie bez tokenu CAPTCHA alebo s vymysleným tokenom. Ak prihlasovací formulár pre kontrolu za prihlásením obsahuje CAPTCHA, kontrola sa zastaví.
  • Crawler požaduje len verejné adresy cez bežné webové porty. Interné siete, lokálne adresy a iné porty sú blokované, a to aj pri presmerovaniach a vloženom obsahu.
  • Vyhľadávanie odhalených súborov (napríklad zabudnutého konfiguračného súboru) prebieha len pre overené domény, pretože požadovanie takýchto ciest na webových stránkach tretích strán sa rovná útoku.

Tieto obmedzenia opisujú, ako je služba postavená. Skener rozpoznáva, či je formulár všeobecným kontaktným formulárom a či webová stránka patrí niektorej z uvedených inštitúcií, podľa znakov stránky, ako sú názvy polí, popisky, doména a názov stránky; v jednotlivých prípadoch sa toto rozpoznanie môže mýliť. Opis preto nie je zárukou pre zákazníkov ani tretie strany, že určitý formulár nebude nikdy zahrnutý. Kto nechce, aby bola jeho webová stránka kontrolovaná, môže ju vylúčiť cez opt-out (oddiel 6.1).

3. Čo je zakázané

3.1 Skúmanie webových stránok tretích strán alebo útoky na ne

  • Používať formexposed na hľadanie zraniteľností na webových stránkach tretích strán a následne na ne útočiť, preťažovať ich alebo ich zneužívať – napríklad úmyselne zahltiť nechránený formulár spamom.
  • Odovzdávať výsledky, správy alebo snímky obrazovky webovej stránky tretej strany osobám, ktoré ich chcú použiť na útok.
  • Používať službu proti webovým stránkam, ktorých prevádzkovateľ ju zjavne vylúčil, napríklad prechodom na iný zápis domény.

Kto bez oprávnenia sleduje systémy tretích strán alebo na ne útočí, môže sa dopustiť aj trestného činu (v Poľsku napríklad podľa čl. 267 až 269b poľského Trestného zákona (Kodeks karny), v Nemecku napríklad podľa §§ 202a až 202d a § 303b StGB, nemeckého Trestného zákonníka). Skutočnosť, že informácie pochádzajú zo správy formexposed, na tom nič nemení.

3.2 Obchádzanie limitov a ochranných opatrení

  • Obchádzať limity bezplatnej kontroly, napríklad prostredníctvom mnohých relácií prehliadača, meniacich sa IP adries, proxy serverov, reťazcov VPN alebo viacerých účtov.
  • Automatizovane dopytovať bezplatnú kontrolu, kontrolu hlavičiek alebo formulár opt-out. Na automatizáciu slúži API.
  • Obchádzať reCAPTCHA, kontrolu časovania a ostatné ochranné opatrenia našich vlastných formulárov.
  • Obchádzať limity plánov rozdelením používania medzi viacero bezplatných účtov.

3.3 Získanie overenia podvodom

  • Overiť doménu, ktorej nie ste prevádzkovateľom ani Vás prevádzkovateľ nepoveril – aj keď máte technický prístup k DNS, serveru alebo CMS, napríklad ako bývalý poskytovateľ služieb, poskytovateľ hostingu alebo zamestnanec.
  • Poskytnúť dôkaz prostredníctvom obsahu tretích strán, napríklad cez funkciu komentárov alebo oblasť na nahrávanie súborov webovej stránky tretej strany, do ktorej môže zapisovať ktokoľvek.
  • Ponechať doménu v účte po skončení oprávnenia. Keď sa poverenie skončí, zákazník doménu odstráni.

Overenie je bránou k aktívnym kontrolám. Kto ho získa podvodom, necháva formexposed odosielať do formulára tretej strany – to je najzávažnejšie zneužitie, ktoré služba umožňuje, a tak k nemu aj pristupujeme.

3.4 Zneužívanie testovacích odoslaní

  • Používať testovacie odoslania ako kanál na spam alebo oznámenia, napríklad overením domény s cieľom zaťažiť jej príjemcov testovacími e-mailmi.
  • Spúšťať kontroly domény, najmä manuálne kontroly, s cieľom zaťažiť príjemcu e-mailov z formulára, a nie skontrolovať formulár.
  • Nastaviť testovacie odoslania na doméne bez toho, aby ste zabezpečili, že ľudia, ktorí tam e-maily z formulára prijímajú a spracúvajú (napríklad obchodný tím), vedia, že môžu prichádzať označené testovacie odoslania.

3.5 Používanie kontroly potenciálneho klienta na nevyžiadanú reklamu

Kontrola potenciálneho klienta umožňuje agentúre nechať pasívne skontrolovať webovú stránku potenciálneho klienta. Prevádzkovateľovi nepíšeme; odkaz mu odovzdá agentúra sama. Ako to urobí, je jej vecou a jej zodpovednosťou. Je zakázané používať zistenia na reklamu, ktorú zákon bez predchádzajúceho súhlasu nepovoľuje. Patria sem najmä:

  • nevyžiadané e-maily so zisteniami spoločnostiam alebo osobám, ktoré neudelili súhlas (v Poľsku čl. 398 poľského zákona o elektronických komunikáciách (Prawo komunikacji elektronicznej, PKE); v Nemecku § 7 UWG, nemecký zákon proti nekalej súťaži – v oboch krajinách to platí aj pre podnikateľov);
  • nevyžiadané reklamné hovory, pokiaľ rozhodné právo na ne vyžaduje súhlas;
  • správy, ktoré zistenia využívajú na vyvíjanie tlaku, vyvolávanie strachu alebo na vytváranie dojmu, že formexposed skontroloval webovú stránku v mene orgánu alebo prevádzkovateľa.

Naďalej je povolené ukázať zistenia prevádzkovateľovi v rozhovore, o ktorý prevádzkovateľ požiadal, a poslať mu ich, ak s ich prijímaním súhlasil alebo ak právo rozhodné pre oslovenie výslovne povoľuje ich zaslanie bez súhlasu. Agentúra si sama overí, či je to tak; skutočnosť, že s prevádzkovateľom spolupracuje v inej veci, sama osebe nestačí.

3.6 Zneužívanie správ, API, pluginu a odznaku

  • Systematicky zhromažďovať správy, hádať alebo skúšať adresy správ alebo vo veľkom množstve načítavať správy s cieľom hromadiť údaje o webových stránkach tretích strán.
  • Zverejňovať správy o webových stránkach tretích strán s cieľom zosmiešniť ich prevádzkovateľov.
  • Odovzdávať API kľúče, tajné kľúče pluginu alebo prihlasovacie údaje, obchádzať limity API alebo ho používať pre domény tretích strán.
  • Meniť alebo napodobňovať odznak, zobrazovať ho na inej doméne, než pre ktorú bol vydaný, alebo ho používať na tvrdenie o certifikácii, ktorú formexposed neudeľuje. Odznak zobrazuje „chránené“ len dovtedy, kým je doména overená, prebieha monitorovanie a posledná kontrola je aktuálna a priaznivá; inak zobrazuje neutrálne „Kontrola kontaktného formulára“. Vlastnoručne vytvorená grafika s rovnakým tvrdením klame návštevníkov.
  • Ukladať prihlasovacie údaje pre kontrolu za prihlásením pre účet, ktorý nebol vytvorený špeciálne ako testovací účet, alebo pre webovú stránku tretej strany.

4. Ako formexposed predchádza zneužitiu a odhaľuje ho

Nasledujúce opatrenia sú implementované v kóde. Presné hraničné hodnoty nezverejňujeme, pretože sa menia a pretože by zneužitie uľahčili.

4.1 Bezplatná kontrola

  • Núdzový vypínač. Bezplatnú kontrolu môžeme kedykoľvek pozastaviť. Opt-out tým nie je dotknutý a funguje aj počas pozastavenia.
  • reCAPTCHA pre kontrolu, kontrolu hlavičiek a opt-out, so samostatnými hraničnými hodnotami pre každý formulár, a okrem toho pasca a kontrola časovania v týchto formulároch.
  • Limity na IP adresu, reláciu a deň. Počítajú sa prijaté kontroly. Celkový denný limit chráni pred vlnami.
  • Mnoho domén z jednej adresy. Kto sa pokúsi v krátkom čase skontrolovať z jednej IP adresy mnoho rôznych domén, je zablokovaný. Tu sa počíta každý pokus, aj odmietnutý: je to typický vzorec, ktorým niekto pomocou formexposed oťukáva cudzie stránky.
  • Jedna doména za týždeň. Kto zadá doménu znova v priebehu týždňa, uvidí existujúcu správu; doména sa znova nekontroluje.
  • Veľmi mladé domény a domény, ktorých vek sa nedá zistiť, sa bez účtu nekontrolujú. Často sa registrujú na podvody.
  • Len verejné ciele. Názov, ktorý odkazuje na internú alebo rezervovanú adresu, sa odmietne – pred úlohou a znova pri každej jednotlivej požiadavke crawlera.

4.2 Monitorovanie

Nápadné vzorce – mnoho domén z jednej adresy, mnoho požiadaviek v priebehu niekoľkých minút, mnoho odmietnutých pokusov v jednej relácii, nahromadenie opt-outov z jednej krajiny, dosiahnutie denného limitu – zaznamenávame ako anomáliu. Nová anomália spustí oznámenie pre nás, bez domény a bez IP adresy; podrobnosti vidíme len v administrácii. Aké údaje na tento účel ukladáme a ako dlho, je uvedené v Zásadách ochrany osobných údajov.

4.3 Overenie ako brána

Aktívne kontroly, monitorovanie, kontrola za prihlásením, prechody prehliadačom a vyhľadávanie odhalených súborov prebiehajú v prípade zákazníkov len pre domény, pre ktoré bolo poskytnuté preukázanie kontroly: záznamom DNS, meta značkou, súborom na serveri alebo prostredníctvom pluginu. Pred každou úlohou skener sám znova overí, či je doména vedená ako overená; ak nie je, aktívna kontrola sa zmení na kontrolu len na čítanie a prechod prehliadačom sa nevykoná. Aktívne kontroly možno vypnúť aj pre celú službu.

4.4 Testovacie odoslania

Každé testovacie odoslanie je označené: v mene odosielateľa „FormExposed Security Scanner“, v predmete „[formexposed.com] Automated security test — no action required“ a v texte odkazom na stránku o FormExposedBot, na opt-out a s ID kontroly. Jazyk závisí od cieľovej stránky (nemčina, angličtina alebo poľština). Na jednu kontrolu idú do jedného formulára najviac päť odoslaní. Po dosiahnutí tohto počtu sa skener zastaví. Ostatné povinné polia vypĺňa textom „FormExposed security test“; zaškrtáva políčka, bez ktorých formulár nemožno odoslať, napríklad pre súhlas. Označenie ukazuje, že za tým nie je žiadna osoba ani prejav vôle osoby.

4.5 Crawler

FormExposedBot sa identifikuje vlastným user-agentom, pred každou kontrolou číta robots.txt a nekontroluje, ak sa Disallow preň alebo pre všetky programy vzťahuje na domovskú stránku; zablokované podcesty v súčasnosti jednotlivo nezohľadňuje. Ľahké požiadavky bez prehliadača, ako je pulz formulára alebo kontrola hlavičiek, robots.txt nečítajú. Nekontroluje domény na našom zozname vylúčených (opt-out) ani ich variant s www, a to ani v mene platiacich zákazníkov s overenou doménou; ich prebiehajúce monitorovanie skončí pri najbližšej plánovanej kontrole. Podrobnosti sú na stránke o FormExposedBot.

5. Dôsledky porušenia

Reagujeme primerane: volíme najmiernejšie opatrenie, ktoré porušenie zastaví a zabráni ďalšej škode tretím stranám a službe, obmedzíme ho na dotknutý účet, doménu alebo funkciu a zrušíme ho, len čo pominie jeho dôvod. Možné opatrenia sú:

  • prerušiť jednotlivé kontroly a dočasne zablokovať IP adresy alebo relácie;
  • odstrániť doménu z účtu, zrušiť jej overenie alebo ju zaradiť na zoznam vylúčených;
  • zablokovať jednotlivé funkcie, ako sú aktívne kontroly, kontrola potenciálneho klienta, API alebo odznak;
  • zablokovať účet a vypovedať zmluvu zo závažného dôvodu, ako stanovujú Podmienky používania;
  • uplatniť náhradu škody v súlade so zákonnými ustanoveniami a, v rozsahu, v akom je to právne prípustné, informovať dotknutých prevádzkovateľov webových stránok, orgány činné v trestnom konaní alebo CERT Polska, ak existujú konkrétne náznaky trestného činu alebo útoku na tretie strany.

Automatické limity bezplatnej kontroly a našich vlastných formulárov (oddiel 4.1) nie sú opatrením proti konkrétnej osobe. Platia pre všetkých podľa pevne stanovených pravidiel a skončia uplynutím príslušného obdobia alebo hneď, ako anomáliu vyriešime.

Predchádzajúce vypočutie. Skôr ako zablokujeme účet, doménu alebo funkciu zákazníka, odstránime doménu z jeho účtu, zrušíme jej overenie alebo vypovieme zmluvu, informujeme zákazníka v textovej forme o tom, aké správanie mu vytýkame, na ktoré pravidlo tejto stránky alebo Podmienok používania sa odvolávame a aké opatrenie zvažujeme. Zákazník sa môže do siedmich dní vyjadriť alebo porušenie odstrániť; až potom rozhodneme. Pred výpoveďou zo závažného dôvodu sa namiesto toho uplatní dlhšia lehota na nápravu, ktorú na tento účel stanovujú Podmienky používania; zablokovanie z dôvodu neplatenia sa riadi výlučne Podmienkami používania.

Naliehavé prípady. Bez predchádzajúceho vypočutia konáme len vtedy, ak by čakanie vážne ohrozilo tretie strany alebo službu, najmä ak existujú konkrétne náznaky overenia získaného podvodom, v prípade kontrol alebo testovacích odoslaní proti vyjadrenej vôli prevádzkovateľa webovej stránky, v prípade útoku na tretie strany prostredníctvom služby, v prípade oznámenia poukazujúceho na závažné porušenie práva obsahom v klientskom portáli alebo v správe white-label, alebo ak to vyžaduje orgán, súd alebo zákon. V takom prípade opatrenie najprv obmedzíme na dotknutú doménu, funkciu alebo obsah, informujeme o ňom zákazníka s odôvodnením v textovej forme bez zbytočného odkladu, najneskôr nasledujúci pracovný deň, pokiaľ to nezmarí jeho účel a nie je to zákonom zakázané, a vypočutie uskutočníme dodatočne.

Námietky. Kto považuje opatrenie za neopodstatnené, a to aj bez účtu, môže proti nemu podať námietku v textovej forme na contact@lukaswojcik.com. Námietku preskúmame a do 14 dní na ňu s odôvodnením odpovieme; ak je opodstatnená, opatrenie okamžite zrušíme. Postup podľa časti Sťažnosti a cesta na súd zostávajú otvorené. Ak obmedzíme obsah zákazníka na základe oznámenia o nezákonnom obsahu, poskytneme navyše odôvodnenie podľa čl. 17 nariadenia (EÚ) 2022/2065 (akt o digitálnych službách, DSA) a uvedieme tieto prostriedky nápravy. Či zablokovanie ovplyvňuje povinnosť platiť a kedy je možná výpoveď zo závažného dôvodu, upravujú Podmienky používania.

6. Ak ste dotknutí

6.1 Nechcete, aby formexposed kontroloval Vašu webovú stránku

Zadajte svoju doménu na stránke Vylúčenie Vašej domény alebo vo svojom súbore robots.txt zablokujte FormExposedBot pre domovskú stránku. Oboje nadobudne účinnosť bez toho, aby ste nás museli kontaktovať, pre každú kontrolu, ktorá sa začne potom. Prebiehajúce monitorovanie v zákazníckom účte skončí pri najbližšej plánovanej kontrole; dovtedy môžu ešte prichádzať ľahké požiadavky, ako je pulz formulára, a tieto ľahké požiadavky robots.txt nečítajú. Ak chcete, aby aj tieto skončili skôr, napíšte nám aj Vy. Čo presne sa vylučuje, je opísané na stránke opt-out.

6.2 Dostali ste testovacie odoslanie, ktoré ste neočakávali

Testovacie odoslania idú len na domény, pre ktoré zákazník poskytol preukázanie kontroly, a na vlastné testovacie a demonštračné domény formexposed. Uskutočňujú sa na podnet tohto zákazníka. Ak ste to nezariadili Vy, možno doménu pridala Vaša agentúra, Váš poskytovateľ hostingu alebo kolega – alebo niekto získal overenie podvodom. Najrýchlejšie zastavíte ďalšie testovacie odoslania sami cez opt-out: testovacie odoslania sa uskutočňujú len počas kontroly a po zápise sa už žiadna ďalšia kontrola domény nezačne. Napíšte nám aj na contact@lukaswojcik.com a uveďte ID kontroly zo správy. Overíme, kto doménu overil, zaradíme doménu do vyjasnenia na zoznam vylúčených, ak ste to ešte neurobili, a požiadame zákazníka, aby preukázal svoje oprávnenie. Kto doménu overil, Vám povieme len v rozsahu, v akom to dovoľujú predpisy o ochrane osobných údajov.

6.3 Máte podozrenie, že niekto používa formexposed proti Vám

Napíšte na contact@lukaswojcik.com, ideálne s časom, doménou a – z denníkov Vášho servera – požiadavkami s user-agentom FormExposedBot. Kontaktovať nás môžete aj cez kontaktnú stránku. Potvrdíme prijatie a oznámime Vám, čo sme urobili. Rovnakým spôsobom môžete nahlásiť nezákonný obsah v klientskom portáli alebo v správe white-label; čo má takéto oznámenie podľa čl. 16 DSA obsahovať, je uvedené v časti Impresum. Je tam uvedené aj naše kontaktné miesto podľa čl. 11 a 12 DSA.

6.4 Našli ste bezpečnostnú zraniteľnosť v samotnom formexposed

Nahláste ju prosím cez našu stránku na nahlasovanie zraniteľností (aj na /.well-known/security.txt). Vysvetľuje, ako s hláseniami zaobchádzame a čo sľubujeme výskumníkom. Pri tom prosím netestujte na webových stránkach tretích strán, ani prostredníctvom formexposed.

7. Spolupráca s orgánmi

Spolupracujeme s orgánmi činnými v trestnom konaní, dozornými orgánmi a subjektmi, ako je CERT Polska, ak ide o zneužitie služby alebo útoky na tretie strany. Údaje odovzdávame len vtedy, ak existuje právny základ, žiadajúci subjekt je príslušný a žiadosť má predpísanú formu. Každú žiadosť posudzujeme individuálne a odovzdávame len to, čo skutočne vyžaduje. Dotknutých zákazníkov informujeme, pokiaľ to zákon alebo orgán nezakazuje.

Na to, aby sme mohli poskytovať informácie orgánom, neuchovávame viac, ako je potrebné na prevádzku a ochranu pred zneužitím. Čo bolo vymazané po uplynutí lehôt uvedených v Zásadách ochrany osobných údajov, nemôžeme ani odovzdať.

8. Zmeny

Túto stránku aktualizujeme, keď sa zmení služba alebo vzorce zneužívania. Pre zákazníkov platia pravidlá o zmenách uvedené v Podmienkach používania; nové zákazy a prísnejšie dôsledky sa na nich vzťahujú až po tomto postupe. Správanie posudzujeme podľa znenia, ktoré platilo v čase daného správania. Otázky k tejto stránke: contact@lukaswojcik.com.