formexposed
Začnite

Dopustna uporaba in zloraba

Ta dokument je objavljen v več jezikih. V primeru neskladja med jezikovnimi različicami je zavezujoča poljska različica.

Različica 1.0 · Zadnja posodobitev: 16. oktober 2026

formexposed pregleduje spletna mesta tretjih oseb in na potrjenih domenah pošilja testne oddaje v kontaktne obrazce. Tako orodje je mogoče obrniti tudi proti drugim. Ta stran določa, čemu je formexposed namenjen, kaj je prepovedano, kako zlorabo tehnično omejujemo in kaj se zgodi, če nekdo krši pravila. Velja za vse, ki uporabljajo formexposed: za stranke z računom in za obiskovalce, ki uporabljajo brezplačno preverjanje brez računa.

Ponudnik je LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poljska. Za stranke je ta stran del pogodbe: Pogoji uporabe jo uvrščajo med pogodbene dokumente. Za brezplačno preverjanje in druga prosto dostopna orodja velja kot del pravil, ki jih Pogoji uporabe določajo za ta orodja. Če je ta stran v nasprotju s Pogoji uporabe, imajo prednost Pogoji uporabe. Primeri (»kot je«, »na primer«) ponazarjajo pravilo; ga niti ne razširjajo niti ne omejujejo.

1. Čemu je formexposed namenjen

formexposed preverja, ali je kontaktni obrazec zaščiten pred avtomatizirano neželeno pošto, ali deluje zanesljivo in ali s podatki ravna skrbno. Zlasti je dovoljeno:

  • preverjati in spremljati svoje spletno mesto ali spletno mesto naročnika ter rezultate uporabiti za njegovo zavarovanje;
  • uporabiti brezplačno preverjanje brez računa, da dobite prvi vtis o katerem koli javno dostopnem spletnem mestu samo z branjem – tako, kot ga vidi obiskovalec;
  • kot agencija v paketu Business dati pasivno preveriti spletno mesto potencialne stranke in ugotovitve na zakonit način posredovati upravljavcu (glej razdelek 3.5);
  • deliti poročila z osebami, ki so odgovorne za spletno mesto ali skrbijo zanj;
  • uporabljati API, vtičnik in razširitve v okviru njihove dokumentacije in omejitev;
  • prikazovati značko na domeni, za katero je bila izdana.

Merilo je preprosto: formexposed naj upravljavcem spletnih mest pomaga zaščititi lastne obrazce. Vse, kar škodi tretji osebi, ki se s tem ni strinjala, ni del tega.

2. Česa formexposed namerno ne zmore

Da storitev ne bi bila uporabna kot orodje za napade, smo jo omejili. Te omejitve veljajo za vse uporabnike in jih uporabniki ne morejo odkleniti:

  • Brez dokaza nadzora nad domeno se tam ničesar ne odda; edina izjema so lastne testne in predstavitvene domene formexposed, ki jih preverjamo interno. Brezplačno preverjanje, preverjanje potencialnih strank in naša študija berejo le to, kar vidi obiskovalec.
  • Tudi na potrjenih domenah oddajamo le v prepoznan splošni kontaktni obrazec, največ pet označenih testnih oddaj na preverjanje. Nikoli ne oddajamo obrazcev za naročilo, rezervacijo, prijavo, registracijo, e-novice, podporo, plačilo ali nalaganje, obrazcev z obveznimi podatki, kot sta telefonska številka ali poštni naslov, ali obrazcev na spletnih mestih, ki jih po domeni ali naslovu strani prepoznamo kot javni organ, sodišče, univerzo, šolo ali zdravstveno ustanovo.
  • Preverjanje vrivanja v glave je čisto zaznavanje: testna vrednost nikoli ne vsebuje resničnega prejemnika. Preverjanje validacije e-poštnega naslova uporablja le naslov s končnico .invalid, ki ne more obstajati.
  • CAPTCHA ne rešujemo. Na potrjenih domenah le preverimo, ali obrazec sprejme oddajo brez žetona CAPTCHA ali z izmišljenim žetonom. Če ima obrazec za prijavo za pregled za prijavo CAPTCHA, se preverjanje ustavi.
  • Pajek zahteva le javne naslove prek običajnih spletnih vrat. Notranja omrežja, lokalni naslovi in druga vrata so blokirani, tudi pri preusmeritvah in vdelani vsebini.
  • Iskanje izpostavljenih datotek (na primer pozabljene konfiguracijske datoteke) teče le za potrjene domene, ker zahtevanje takih poti na spletnih mestih tretjih oseb pomeni napad.

Te omejitve opisujejo, kako je storitev zgrajena. Pregledovalnik prepozna, ali je obrazec splošni kontaktni obrazec in ali spletno mesto pripada eni od navedenih ustanov, na podlagi značilnosti strani, kot so imena polj, oznake, domena in naslov strani; v posameznih primerih je to prepoznavanje lahko napačno. Opis zato strankam ali tretjim osebam ne jamči, da določen obrazec nikoli ne bo zajet. Kdor ne želi, da se njegovo spletno mesto preverja, ga lahko izključi prek opt-outa (razdelek 6.1).

3. Kaj je prepovedano

3.1 Pregledovanje ali napadanje spletnih mest tretjih oseb

  • Uporaba formexposed za iskanje ranljivosti na spletnih mestih tretjih oseb in njihovo nato napadanje, preobremenjevanje ali izkoriščanje – na primer namerno zasipavanje nezaščitenega obrazca z neželeno pošto.
  • Posredovanje rezultatov, poročil ali posnetkov zaslona spletnega mesta tretje osebe ljudem, ki jih želijo uporabiti za napad.
  • Uporaba storitve proti spletnim mestom, katerih upravljavec jo je očitno izključil, na primer s prehodom na drugačen zapis domene.

Kdor brez pooblastila vohuni za sistemi tretjih oseb ali jih napada, lahko stori tudi kaznivo dejanje (na Poljskem na primer po členih 267 do 269b poljskega Kazenskega zakonika (Kodeks karny), v Nemčiji na primer po §§ 202a do 202d in § 303b StGB, nemškega Kazenskega zakonika). Dejstvo, da informacije izvirajo iz poročila formexposed, ne spremeni ničesar.

3.2 Izogibanje omejitvam in zaščitnim ukrepom

  • Izogibanje omejitvam brezplačnega preverjanja, na primer z več sejami brskalnika, menjavanjem naslovov IP, posredniškimi strežniki, verigami VPN ali več računi.
  • Avtomatizirano poizvedovanje brezplačnega preverjanja, preverjanja glav ali obrazca za opt-out. Za avtomatizacijo obstaja API.
  • Izogibanje reCAPTCHA, preverjanju časa in drugim zaščitnim ukrepom naših lastnih obrazcev.
  • Izogibanje omejitvam paketa z razdelitvijo uporabe na več brezplačnih računov.

3.3 Pridobivanje potrditve z zavajanjem

  • Potrjevanje domene, katere niste niti upravljavec niti Vas upravljavec ni angažiral – tudi če imate tehnični dostop do DNS, strežnika ali CMS, na primer kot nekdanji izvajalec storitev, ponudnik gostovanja ali zaposleni.
  • Zagotavljanje dokaza prek vsebine tretjih oseb, na primer prek funkcije komentarjev ali področja za nalaganje na spletnem mestu tretje osebe, v katerega lahko piše vsakdo.
  • Puščanje domene v računu po prenehanju pooblastila. Ko se sodelovanje konča, stranka domeno odstrani.

Potrditev je vstopna točka do aktivnih preverjanj. Kdor jo pridobi z zavajanjem, doseže, da formexposed oddaja v obrazec tretje osebe – to je najhujša zloraba, ki jo storitev omogoča, in tako jo tudi obravnavamo.

3.4 Zloraba testnih oddaj

  • Uporaba testnih oddaj kot kanala za neželeno pošto ali obveščanje, na primer s potrjevanjem domene, da bi njene prejemnike obremenili s testnimi e-poštnimi sporočili.
  • Sprožanje preverjanj domene, zlasti ročnih preverjanj, z namenom obremeniti prejemnika e-poštnih sporočil obrazca namesto preverjanja obrazca.
  • Nastavitev testnih oddaj na domeni, ne da bi zagotovili, da osebe, ki tam prejemajo in obravnavajo e-poštna sporočila obrazca (na primer prodajna ekipa), vedo, da lahko prispejo označene testne oddaje.

3.5 Uporaba preverjanja potencialnih strank za nezaželeno oglaševanje

Preverjanje potencialnih strank agenciji omogoča, da da pasivno preveriti spletno mesto morebitnega naročnika. Upravljavcu ne pišemo mi; povezavo posreduje agencija sama. Kako to stori, je njena stvar in njena odgovornost. Prepovedano je ugotovitve uporabiti za oglaševanje, ki ga zakon brez predhodne privolitve ne dovoljuje. To zajema zlasti:

  • nezaželena e-poštna sporočila z ugotovitvami podjetjem ali osebam, ki niso dale privolitve (na Poljskem člen 398 poljskega zakona o elektronskih komunikacijah (Prawo komunikacji elektronicznej, PKE); v Nemčiji § 7 UWG, nemškega zakona proti nepošteni konkurenci – v obeh državah to velja tudi za podjetja);
  • nezaželene oglaševalske klice, kolikor veljavno pravo zanje zahteva privolitev;
  • sporočila, ki ugotovitve uporabljajo za ustvarjanje pritiska, zbujanje strahu ali vtisa, da je formexposed spletno mesto preveril v imenu organa ali upravljavca.

Še naprej je dovoljeno ugotovitve pokazati upravljavcu v pogovoru, ki ga je upravljavec zahteval, in mu jih poslati, če je v prejem privolil ali pravo, ki se uporablja za tak pristop, izrecno dovoljuje pošiljanje brez privolitve. Ali je tako, preveri agencija sama; dejstvo, da z upravljavcem sodeluje pri drugi zadevi, samo po sebi ne zadostuje.

3.6 Zloraba poročil, API, vtičnika in značke

  • Sistematično zbiranje poročil, ugibanje ali preizkušanje naslovov poročil ali pridobivanje poročil v velikem številu, da bi zbirali podatke o spletnih mestih tretjih oseb.
  • Objavljanje poročil o spletnih mestih tretjih oseb, da bi njihove upravljavce izpostavili.
  • Posredovanje ključev API, skrivnosti vtičnika ali poverilnic, izogibanje omejitvam API ali njegova uporaba za domene tretjih oseb.
  • Spreminjanje ali posnemanje značke, njeno prikazovanje na drugi domeni, kot je tista, za katero je bila izdana, ali njena uporaba za zatrjevanje certifikata, ki ga formexposed ne podeljuje. Značka kaže »zaščiteno« le, dokler je domena potrjena, spremljanje teče in je zadnje preverjanje nedavno in ugodno; sicer kaže nevtralno »Preverjanje kontaktnega obrazca«. Lastnoročno izdelana grafika z isto izjavo zavaja obiskovalce.
  • Shranjevanje poverilnic za pregled za prijavo za račun, ki ni bil ustvarjen posebej kot testni račun, ali za spletno mesto tretje osebe.

4. Kako formexposed preprečuje in zaznava zlorabo

Naslednji ukrepi so izvedeni v kodi. Natančnih pragov ne razkrivamo, ker se spreminjajo in ker bi olajšali zlorabo.

4.1 Brezplačno preverjanje

  • Stikalo za izklop. Brezplačno preverjanje lahko kadar koli začasno ustavimo. Opt-out to ne prizadene in deluje tudi med premorom.
  • reCAPTCHA za preverjanje, preverjanje glav in opt-out, z ločenimi pragovi za vsak obrazec, ter past in preverjanje časa v teh obrazcih.
  • Omejitve na naslov IP, na sejo in na dan. Šteje se sprejeta preverjanja. Skupna dnevna omejitev ščiti pred valovi.
  • Veliko domen z enega naslova. Kdor v kratkem času z enega naslova IP poskuša preveriti veliko različnih domen, je blokiran. Tu šteje vsak poskus, tudi zavrnjeni: to je tipičen vzorec, s katerim nekdo s formexposed tipa po tujih straneh.
  • Ena domena na teden. Kdor domeno v enem tednu vnese znova, vidi obstoječe poročilo; ponovno se ne preveri.
  • Zelo mlade domene in domene, katerih starosti ni mogoče ugotoviti, se brez računa ne preverjajo. Pogosto so registrirane za goljufije.
  • Le javni cilji. Ime, ki kaže na notranji ali rezerviran naslov, se zavrne – pred opravilom in znova pri vsaki posamezni zahtevi pajka.

4.2 Nadzor

Sumljive vzorce – veliko domen z enega naslova, veliko zahtev v nekaj minutah, veliko zavrnjenih poskusov v eni seji, kopičenje opt-outov iz ene države, dosežena dnevna omejitev – beležimo kot nepravilnost. Nova nepravilnost sproži obvestilo nam, brez domene in brez naslova IP; podrobnosti vidimo le v skrbniškem področju. Katere podatke za to shranjujemo in kako dolgo, je navedeno v Politiki zasebnosti.

4.3 Potrditev kot vstopna točka

Aktivna preverjanja, spremljanje, pregled za prijavo, poteki v brskalniku in iskanje izpostavljenih datotek za stranke tečejo le za domene, za katere je bil zagotovljen dokaz nadzora: z zapisom DNS, meta oznako, datoteko na strežniku ali prek vtičnika. Pred vsakim opravilom pregledovalnik sam znova preveri, ali je domena označena kot potrjena; če ni, se aktivno preverjanje vrne na preverjanje samo z branjem, potek v brskalniku pa se ne izvede. Aktivna preverjanja je mogoče izklopiti tudi za celotno storitev.

4.4 Testne oddaje

Vsaka testna oddaja je označena: v imenu pošiljatelja »FormExposed Security Scanner«, v zadevi »[formexposed.com] Automated security test — no action required« in v besedilu s sklicem na stran o FormExposedBot, na opt-out in z ID-jem pregleda. Jezik je odvisen od ciljne strani (nemščina, angleščina ali poljščina). Na preverjanje gre v posamezen obrazec največ pet oddaj. Po tem številu se pregledovalnik ustavi. Druga obvezna polja izpolni z »FormExposed security test«; označi potrditvena polja, brez katerih obrazca ni mogoče oddati, na primer za privolitev. Označevanje kaže, da za tem ne stoji nobena oseba in nobena izjava osebe.

4.5 Pajek

FormExposedBot se predstavi z lastnim uporabniškim agentom, pred vsakim preverjanjem prebere robots.txt in ne preverja, če Disallow zanj ali za vse programe zajema domačo stran; blokiranih podpoti trenutno ne upošteva posamično. Lahke zahteve brez brskalnika, kot sta utrip obrazca ali preverjanje glav, robots.txt ne berejo. Ne preverja domen na našem seznamu izključitev (opt-out) ali njihove različice z www, niti v imenu plačujočih strank s potrjeno domeno; njihovo tekoče spremljanje se konča z naslednjim predvidenim preverjanjem. Podrobnosti so na strani o FormExposedBot.

5. Posledice kršitve

Odzovemo se sorazmerno: izberemo najblažji ukrep, ki ustavi kršitev in prepreči nadaljnjo škodo tretjim osebam in storitvi, ga omejimo na prizadeti račun, domeno ali funkcijo in ga odpravimo, takoj ko razlog zanj preneha. Možni ukrepi so:

  • prekinitev posameznih preverjanj in začasna blokada naslovov IP ali sej;
  • odstranitev domene iz računa, preklic njene potrditve ali njena uvrstitev na seznam izključitev;
  • blokada posameznih funkcij, kot so aktivna preverjanja, preverjanje potencialnih strank, API ali značka;
  • blokada računa in odpoved pogodbe iz utemeljenega razloga, kot določajo Pogoji uporabe;
  • uveljavljanje odškodnine v skladu z zakonskimi določbami in, kolikor je to pravno dopustno, obveščanje prizadetih upravljavcev spletnih mest, organov kazenskega pregona ali CERT Polska, če obstajajo konkretni znaki kaznivega dejanja ali napada na tretje osebe.

Samodejne omejitve brezplačnega preverjanja in naših lastnih obrazcev (razdelek 4.1) niso ukrep proti določeni osebi. Za vse veljajo po fiksnih pravilih in se končajo z iztekom ustreznega obdobja ali takoj, ko nepravilnost razrešimo.

Predhodno zaslišanje. Preden stranki blokiramo račun, domeno ali funkcijo, odstranimo domeno iz njenega računa, prekličemo njeno potrditev ali odpovemo pogodbo, stranko v besedilni obliki obvestimo, katero ravnanje ji očitamo, na katero pravilo te strani ali Pogojev uporabe se sklicujemo in kateri ukrep preučujemo. Stranka lahko v sedmih dneh poda pripombe ali odpravi kršitev; šele nato odločimo. Pred odpovedjo iz utemeljenega razloga namesto tega velja daljši rok za odpravo, ki ga za to določajo Pogoji uporabe; za blokado zaradi neplačila veljajo izključno Pogoji uporabe.

Nujni primeri. Brez predhodnega zaslišanja ukrepamo le, če bi čakanje resno ogrozilo tretje osebe ali storitev, zlasti ob konkretnih znakih potrditve, pridobljene z zavajanjem, pri preverjanjih ali testnih oddajah proti izraženi volji upravljavca spletnega mesta, pri napadu na tretje osebe prek storitve, pri prijavi, ki kaže na resno kršitev zakona z vsebino v portalu za naročnike ali poročilu z lastno blagovno znamko (white-label), ali če to zahtevajo organ, sodišče ali zakon. V tem primeru ukrep najprej omejimo na prizadeto domeno, funkcijo ali vsebino, stranko o njem z obrazložitvijo nemudoma, najpozneje pa naslednji delovni dan, obvestimo v besedilni obliki, kolikor to ne izniči njegovega namena in ni prepovedano z zakonom, zaslišanje pa izvedemo naknadno.

Ugovori. Kdor meni, da ukrep ni upravičen, tudi brez računa, mu lahko ugovarja v besedilni obliki na contact@lukaswojcik.com. Ugovor preučimo in nanj z obrazložitvijo odgovorimo v 14 dneh; če je upravičen, ukrep takoj odpravimo. Postopek pod Pritožbe in sodna pot ostajata odprta. Če po prijavi nezakonite vsebine omejimo vsebino stranke, dodatno podamo obrazložitev po členu 17 Uredbe (EU) 2022/2065 (Akt o digitalnih storitvah, DSA) in navedemo ta pravna sredstva. Ali blokada vpliva na obveznost plačila in kdaj je mogoča odpoved iz utemeljenega razloga, urejajo Pogoji uporabe.

6. Če ste prizadeti

6.1 Ne želite, da formexposed preverja Vaše spletno mesto

Vnesite svojo domeno na strani Izključite svojo domeno ali v svoji datoteki robots.txt blokirajte FormExposedBot za domačo stran. Oboje začne učinkovati, ne da bi se morali obrniti na nas, za vsako preverjanje, ki se začne pozneje. Tekoče spremljanje v računu stranke se konča z naslednjim predvidenim preverjanjem; do takrat lahko še prihajajo lahke zahteve, kot je utrip obrazca, te lahke zahteve pa robots.txt ne berejo. Če želite, da se tudi te končajo prej, nam še pišite. Kaj točno je izključeno, je opisano na strani za opt-out.

6.2 Prejeli ste testno oddajo, ki je niste pričakovali

Testne oddaje gredo le na domene, za katere je stranka zagotovila dokaz nadzora, in na lastne testne in predstavitvene domene formexposed. Izvedejo se na pobudo te stranke. Če tega niste uredili Vi, je domeno morda dodala Vaša agencija, Vaš ponudnik gostovanja ali sodelavec – ali pa je nekdo potrditev pridobil z zavajanjem. Najhitreje nadaljnje testne oddaje ustavite sami prek opt-outa: testne oddaje se izvedejo le med preverjanjem, po vnosu pa se nobeno nadaljnje preverjanje domene ne začne. Pišite nam tudi na contact@lukaswojcik.com in navedite ID pregleda iz sporočila. Preverili bomo, kdo je domeno potrdil, jo do razjasnitve uvrstili na seznam izključitev, če tega še niste storili sami, in stranko pozvali, naj izkaže svoje pooblastilo. Kdo jo je potrdil, Vam bomo sporočili le, kolikor to dovoljuje zakonodaja o varstvu podatkov.

6.3 Sumite, da nekdo formexposed uporablja proti Vam

Pišite na contact@lukaswojcik.com, po možnosti s časom, domeno in – iz dnevnikov Vašega strežnika – zahtevami z uporabniškim agentom FormExposedBot. Dosežete nas lahko tudi prek kontaktne strani. Potrdili bomo prejem in Vam sporočili, kaj smo storili. Na enak način lahko prijavite nezakonito vsebino v portalu za naročnike ali poročilu z lastno blagovno znamko; kaj mora vsebovati taka prijava po členu 16 DSA, je navedeno v Impresumu. Tam je navedena tudi naša kontaktna točka po členih 11 in 12 DSA.

6.4 Našli ste varnostno ranljivost v samem formexposed

Prijavite jo prek naše strani za prijavo ranljivosti (tudi na /.well-known/security.txt). Tam je pojasnjeno, kako obravnavamo prijave in kaj obljubljamo raziskovalcem. Pri tem ne izvajajte testov na spletnih mestih tretjih oseb, tudi ne prek formexposed.

7. Sodelovanje z organi

Z organi kazenskega pregona, nadzornimi organi in organi, kot je CERT Polska, sodelujemo, kadar gre za zlorabo storitve ali napade na tretje osebe. Podatke izročimo le, če obstaja pravna podlaga, je organ, ki zahteva, pristojen in je zahteva v predpisani obliki. Vsako zahtevo preučimo posebej in izročimo le to, kar dejansko zahteva. Prizadete stranke obvestimo, razen če to prepovedujeta zakon ali organ.

Da bi lahko organom posredovali informacije, ne shranjujemo več, kot je potrebno za delovanje in preprečevanje zlorab. Česar po izteku rokov, navedenih v Politiki zasebnosti, ne hranimo več, tudi ne moremo izročiti.

8. Spremembe

To stran posodobimo, ko se spremenijo storitev ali vzorci zlorab. Za stranke veljajo pravila o spremembah iz Pogojev uporabe; nove prepovedi in strožje posledice zanje veljajo šele po tem postopku. Ravnanje presojamo po različici, ki je veljala v času ravnanja. Vprašanja o tej strani: contact@lukaswojcik.com.