O FormExposedBot

Posledná aktualizácia: 16. októbra 2026

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Token v robots.txt: FormExposedBot

Čo je FormExposedBot

FormExposedBot je crawler služby formexposed. formexposed kontroluje, či sú kontaktné formuláre chránené pred automatizovaným spamom a či spoľahlivo fungujú. Ak ste tento user-agent našli v logoch svojho servera, niekto spustil kontrolu Vašej webovej stránky:

• návštevník formexposed, ktorý zadal Vašu doménu do bezplatnej kontroly – bez účtu, len na čítanie;
• zákazník, ktorý má Vašu doménu vo svojom účte a uvádza, že webovú stránku prevádzkuje alebo spravuje, alebo niekto, kto na Vašu webovú stránku nainštaloval náš plugin;
• agentúra, ktorá dáva Vašu webovú stránku skontrolovať, len na čítanie, ako potenciálneho klienta;
• my sami, pre štúdiu, z ktorej zverejňujeme len agregované údaje bez názvov webových stránok;
• niekto, kto zadal Vašu domovskú stránku do našej bezplatnej kontroly hlavičiek (len hlavičky, bez prehliadača).

Na požiadanie Vám povieme, o ktorý z týchto typov kontroly išlo; kto ju spustil, len v rozsahu, v akom to umožňujú predpisy o ochrane údajov. Konáme pritom z podnetu tejto osoby; pri doménach, pre ktoré zákazník preukázal kontrolu, v mene tohto zákazníka.

Čo sa deje počas kontroly

• Pred kontrolou bot prečíta Váš robots.txt (pozri nižšie).
• Načíta Vašu domovskú stránku a až sedem ďalších stránok na tom istom hostiteľovi (s www. alebo bez, žiadne iné subdomény), spolu najviac osem. Prednosť majú stránky so slovami ako kontakt, impresum alebo podpora. Vynecháva prihlasovacie stránky, stránky účtu, košíka a pokladne, feedy, PDF a obrázky.
• Používa skutočný headless prehliadač so zapnutým JavaScriptom a načítava stránky postupne, nie paralelne. Jedna stránka môže trvať najviac 20 sekúnd; približne po troch minútach sa kontrola zastaví.
• Číta formuláre: názvy a typy polí, popisky, povinné polia, vložené CAPTCHA, skryté pasce, tokeny a hlavičky. Počas tejto kontroly len na čítanie nič nezadáva.
• Pri najviac troch stránkach s formulárom načíta stránku druhýkrát a v cookie lište klikne na „Odmietnuť“ – nikdy na „Prijať“. Tak zistíme, či formulár po odmietnutí stále funguje.
• Pri najviac troch stránkach s formulárom načíta stránku v zobrazení pre telefón, bez klikania. User-agent zostáva rovnaký; nevydávame sa za smartfón.
• Typ formulára určuje pomocou pravidiel a tam, kde nestačia, pomocou jazykového modelu bežiaceho na našom vlastnom serveri. Nič pritom neopustí naše servery.

Bez preukázania kontroly nad doménou (nižšie) FormExposedBot načítava len stránky verejne prístupné bez prihlásenia a nič neodosiela. Neobchádza žiadnu ochranu prístupu, neháda prihlasovacie údaje a nerieši CAPTCHA. Všetko nad tento rámec – testovacie odoslania, hľadanie odhalených súborov a kontrola za prihlásením s testovacím účtom – sa uskutočňuje len pri doménach s týmto preukázaním alebo pri vlastných testovacích a demo doménach formexposed.

Cez bezplatnú kontrolu na našej webovej stránke kontrolujeme tú istú doménu najviac raz za sedem dní; kto ju zadá znova, uvidí existujúcu správu. Zákazníci môžu domény vo svojom účte dať skontrolovať ručne, s čakacou dobou; domény s preukázanou kontrolou sa navyše kontrolujú pravidelne vo frekvencii ich plánu, úplná kontrola najviac raz denne. Ľahké požiadavky bez prehliadača (nižšie) prichádzajú častejšie.

Testovacie odoslania len pre overené domény

Pre zákazníkov sa niečo odošle len vtedy, ak zákazník preukázal, že je oprávnený doménu kontrolovať (DNS záznam, meta tag, súbor alebo plugin); bez tohto preukázania aktívne kontrolujeme len naše vlastné testovacie a demo domény. Aj vtedy platí:

• len jeden formulár na kontrolu, a to len taký, ktorý bol spoľahlivo identifikovaný ako všeobecný kontaktný formulár; jazykový model nikdy nemôže uvoľniť formulár na odoslanie;
• najviac päť odoslaní na kontrolu, napríklad bez odpovede CAPTCHA, s vyplneným poľom pasce alebo so zmeneným tokenom;
• nikdy objednávkové, rezervačné, prihlasovacie, registračné, newsletterové, podporné, platobné formuláre ani formuláre na nahrávanie súborov, nikdy formuláre s povinnými poľami pre telefón, poštovú adresu alebo údaje o firme, nikdy webové stránky, ktoré podľa domény alebo názvu stránky rozpoznáme ako orgán verejnej moci, súd, univerzitu, školu alebo zdravotnícke zariadenie.

Bot rozpoznáva typ formulára a typ webovej stránky podľa znakov stránky; v jednotlivých prípadoch sa toto rozpoznanie môže mýliť. Zoznam opisuje, ako je bot postavený, a nie je zárukou. Ak nechcete testovacie odoslania, vylúčte doménu (nižšie): potom sa nespustí žiadna kontrola, pri ktorej by sa mohlo niečo odoslať.

Každé odoslanie je označené. Meno odosielateľa „FormExposed Security Scanner“, adresa odosielateľa dummy@formexposed.com, predmet „[formexposed.com] Automated security test — no action required“. Text je v jazyku Vašej stránky (nemčina, angličtina alebo poľština); v angličtine:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

Veta „No data was stored“ je príliš široká. Správne je: neukladáme pritom nič od Vašich návštevníkov ani z Vašej poštovej schránky. Na vyhodnotenie testu však ukladáme odpoveď vášho servera na odoslanie, konkrétne stavový kód, prvých 300 znakov stránky s odpoveďou a jej snímku obrazovky (pozri „Čo sa ukladá“).

Ostatné povinné polia bot vyplní textom „FormExposed security test“. Zaškrtne políčka, bez ktorých formulár nemožno odoslať, napríklad pre súhlas. Označenie ukazuje, že za tým nie je žiadna osoba ani prejav vôle osoby.

Kontrola vkladania hlavičiek vkladá len neškodnú hlavičku X-FormExposed-Injection-Test, nikdy príjemcu. Kontrola overovania adresy používa adresu pod .invalid, ktorá nemôže existovať.

Ďalšie požiadavky pre zákazníkov

Pri overených doménach v zákazníckom účte pribúdajú na žiadosť zákazníka:

• Cesty v prehliadači: Prehliadač (Chromium alebo WebKit) otvorí zákazníkom zvolenú stránku s formulárom vo veľkosti telefónu a skontroluje, či sa formulár zobrazí a dá sa ovládať až po tlačidlo odoslania; na to vyplní povinné polia testovacími hodnotami, ktoré neopustia prehliadač. Odosiela len požiadavky GET a HEAD; odoslanie je technicky zablokované.
• Skenovanie za prihlásením: len s testovacím účtom, ktorý si prevádzkovateľ webovej stránky sám vytvoril, najviac päť stránok, bez odosielania, bez snímok obrazovky, nikdy adresy na odhlásenie, vymazanie alebo zrušenie. Ak je pri prihlásení CAPTCHA, bot sa zastaví.
• Ľahké požiadavky bez prehliadača: pulz formulárov (až tri stránky s formulárom, každých 10, 15 alebo 30 minút podľa plánu), kontrola preukázania kontroly, kontrola hlavičiek a hľadanie odhalených súborov. Používajú ten istý user-agent s príponou ako pulse, ownership-verification, headers alebo exposed-files.

Okrem toho si ktokoľvek môže dať načítať hlavičky Vašej domovskej stránky našou bezplatnou kontrolou hlavičiek: po jednej požiadavke cez https a http na Vašu domovskú stránku plus prípadné presmerovania v rámci Vašej domény, bez prehliadača a bez formulára.

Čo sa ukladá

Len to, čo opisuje zistenie: adresy a názvy skontrolovaných stránok, štruktúra formulárov (názvy polí, typy, popisky a podobne, žiadne hodnoty polí; začiatky predvyplnených skrytých polí do 24 znakov a atribútov data- do 60 znakov bot číta len počas kontroly a neukladajú sa), zistené ochranné opatrenia, hlavičky, hostitelia vložených služieb, kontrolné súčty skriptov (nie ich obsah; pri vložených skriptoch aj prvých 80 znakov so znerozpoznateľnenými identifikátormi), názvy nastavených cookies, snímky obrazovky viditeľnej oblasti domovskej stránky a formulárov a po testovacom odoslaní aj stránky s odpoveďou; z tejto odpovede aj stavový kód a prvých 300 znakov. Tieto snímky obrazovky z kontroly nie sú anonymizované; zobrazujú to, čo je vidieť na verejnej stránke. Len cesty v prehliadači vytvárajú malý obrázok formulára so zakrytými vstupnými poľami. Ak formulár obsahuje adresu príjemcu, ukladáme len jej doménu.

Odkiaľ požiadavky prichádzajú

FormExposedBot beží na našich vlastných serveroch v Poľsku. IP adresy nezverejňujeme, pretože sa môžu meniť. Ak chcete vedieť, či požiadavka skutočne prišla od nás, napíšte nám čas a IP adresu zo svojho logu; povieme Vám, či prišla od nás. Na krížovú kontrolu pred upozornením na výpadok môže pribudnúť druhé miesto u iného poskytovateľa; aj ono používa user-agent FormExposedBot.

Ako vylúčiť svoju doménu

robots.txt:

User-agent: FormExposedBot
Disallow: /

Bot najprv hľadá vo Vašom robots.txt skupinu pre FormExposedBot, inak skupinu pre všetkých (*). Ak Disallow pokrýva domovskú stránku, kontrola sa neuskutoční. Ak Váš server na požiadavku o robots.txt odpovie chybou servera alebo vôbec, z opatrnosti tiež nekontrolujeme; ak súbor chýba (404), webová stránka sa považuje za povolenú. Jednotlivé zablokované podadresáre momentálne samostatne nevyhodnocujeme – ak nechcete byť kontrolovaní vôbec, zablokujte domovskú stránku. Ľahké požiadavky bez prehliadača a kontrola hlavičiek robots.txt nečítajú.

Opt-out: Zadajte svoju doménu na stránke Vylúčenie Vašej domény. Platí pre doménu a jej variant s www., nie pre iné subdomény. Účinkuje pre každú kontrolu, ktorá sa začne po zadaní, natrvalo, aj voči platiacim zákazníkom s overenou doménou, a vzťahuje sa aj na kontrolu hlavičiek. Priebežné monitorovanie v zákazníckom účte skončí pri najbližšej splatnej kontrole; dovtedy môžu ešte prichádzať ľahké požiadavky, napríklad pulz formulárov. Ak chcete, aby aj tie skončili skôr, napíšte nám.

Ochrana údajov

Prevádzkovateľom je LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poľsko, contact@lukaswojcik.com. Keď zákazník kontroluje svoju vlastnú doménu, konáme v jeho mene.

• Údaje a zdroj: Osobné údaje získavame len v rozsahu, v akom sa nachádzajú na skontrolovaných stránkach Vašej webovej stránky a sú viditeľné v adrese stránky, názve stránky, popisku formulára alebo na snímke obrazovky, napríklad meno v impresu alebo vedľa formulára. Zdrojom je Vaša webová stránka. Takéto údaje nevyhľadávame.
• Účel a právny základ: bezpečnostné kontroly formulárov; pri bezplatnej kontrole, kontrole potenciálneho klienta a štúdii na základe nášho oprávneného záujmu a záujmu našich používateľov (čl. 6 ods. 1 písm. f) GDPR).
• Príjemcovia: ten, kto správu spustil alebo má odkaz na ňu – odkaz otvorí správu bez prihlásenia; pri doménach v zákazníckom účte aj ciele upozornení, ktoré si zákazník zvolil; zo štúdie len súhrnné čísla. Nie je zapojená žiadna externá služba AI.
• Doba uchovávania: správa bez účtu 30 dní, kontrola potenciálneho klienta 90 dní, kontroly v zákazníckom účte až 13 mesiacov, najnovší výsledok pre každú doménu, kým doména existuje, štúdia do zverejnenia.
• Vaše práva: prístup, oprava, vymazanie, obmedzenie a namietanie podľa čl. 21 GDPR – najrýchlejšie cez opt-out – a právo podať sťažnosť dozornému orgánu, pre nás predseda Úradu na ochranu osobných údajov (Prezes Urzędu Ochrony Danych Osobowych) vo Varšave.

Všetko ostatné nájdete v Zásadách ochrany osobných údajov. Ako postupujeme pri zneužití, upravuje dokument Prijateľné používanie a zneužitie.

Kontakt

Otázky alebo sťažnosti: contact@lukaswojcik.com alebo cez kontaktnú stránku. Uveďte prosím svoju doménu a, ak je k dispozícii, ID skenu alebo odkaz na správu. Bezpečnostné zraniteľnosti v samotnej službe formexposed nahláste prosím cez našu stránku na hlásenie zraniteľností.