formexposed
Kom igång

Tillåten användning och missbruk

Det här dokumentet publiceras på flera språk. Vid avvikelser mellan språkversionerna är den polska versionen bindande.

Version 1.0 · Senast uppdaterad: 16 oktober 2026

formexposed tittar på tredje parts webbplatser och skickar, på verifierade domäner, testinskick till kontaktformulär. Ett sådant verktyg kan också vändas mot andra. Den här sidan anger vad formexposed är till för, vad som är förbjudet, hur vi tekniskt begränsar missbruk och vad som händer om någon bryter mot reglerna. Den gäller alla som använder formexposed: kunder med konto liksom besökare som använder gratisgranskningen utan konto.

Leverantör är LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polen. För kunder är den här sidan en del av avtalet: användarvillkoren räknar den till avtalsdokumenten. För gratisgranskningen och de övriga fritt tillgängliga verktygen gäller den som en del av de regler som användarvillkoren fastställer för dessa verktyg. Om den här sidan strider mot användarvillkoren har användarvillkoren företräde. Exempel (”såsom”, ”till exempel”) illustrerar en regel; de varken utvidgar eller begränsar den.

1. Vad formexposed är till för

formexposed kontrollerar om ett kontaktformulär är skyddat mot automatiserad spam, om det fungerar tillförlitligt och om det hanterar data varsamt. Det är särskilt tillåtet:

  • att granska och övervaka din egen webbplats eller en kunds webbplats och använda resultaten för att säkra den;
  • att använda gratisgranskningen utan konto för att få ett första, rent läsande intryck av vilken offentligt tillgänglig webbplats som helst – så som en besökare ser den;
  • som byrå i Business-planen att låta en potentiell kunds webbplats granskas passivt och att göra fynden tillgängliga för den som driver webbplatsen på ett lagligt sätt (se avsnitt 3.5);
  • att dela rapporter med de personer som ansvarar för webbplatsen eller sköter den;
  • att använda API:et, pluginet och tilläggen inom ramen för deras dokumentation och begränsningar;
  • att visa märket på den domän för vilken det utfärdades.

Måttstocken är enkel: formexposed ska hjälpa webbplatsägare att skydda sina egna formulär. Allt som skadar en tredje part som inte har samtyckt till det hör inte dit.

2. Vad formexposed medvetet inte kan göra

För att tjänsten inte ska vara användbar som angreppsverktyg har vi begränsat den. Dessa begränsningar gäller alla användare och kan inte låsas upp av användare:

  • Utan bevis på kontroll över en domän skickas ingenting där; de enda undantagen är formexposeds egna test- och demodomäner, som vi granskar internt. Gratisgranskningen, granskningen av potentiella kunder och vår studie läser bara det som en besökare ser.
  • Även på verifierade domäner skickar vi bara till ett igenkänt allmänt kontaktformulär, högst fem märkta testinskick per granskning. Vi skickar aldrig till beställnings-, boknings-, inloggnings-, registrerings-, nyhetsbrevs-, support-, betalnings- eller uppladdningsformulär, formulär med obligatoriska uppgifter som telefonnummer eller postadress, eller formulär på webbplatser som vi utifrån domänen eller sidtiteln känner igen som en myndighet, domstol, högskola, skola eller vårdinrättning.
  • Kontrollen av header-injektion är ren identifiering: testvärdet innehåller aldrig en riktig mottagare. Kontrollen av e-postvalidering använder bara en adress som slutar på .invalid, som inte kan existera.
  • Vi löser inga CAPTCHA. På verifierade domäner kontrollerar vi bara om ett formulär godtar ett inskick utan CAPTCHA-token eller med en påhittad. Om inloggningsformuläret för granskningen bakom inloggningen har en CAPTCHA avbryts granskningen.
  • Crawlern begär bara offentliga adresser via de vanliga webbportarna. Interna nätverk, lokala adresser och andra portar blockeras, även vid omdirigeringar och inbäddat innehåll.
  • Sökningen efter exponerade filer (till exempel en bortglömd konfigurationsfil) körs bara för verifierade domäner, eftersom det att begära sådana sökvägar på tredje parts webbplatser är liktydigt med ett angrepp.

Dessa begränsningar beskriver hur tjänsten är uppbyggd. Skannern känner igen om ett formulär är ett allmänt kontaktformulär och om en webbplats tillhör någon av de uppräknade institutionerna utifrån sidans kännetecken som fältnamn, etiketter, domän och sidtitel; i enskilda fall kan denna igenkänning vara fel. Beskrivningen är därför ingen garanti gentemot kunder eller tredje part att ett visst formulär aldrig kommer att omfattas. Den som inte vill att hens webbplats granskas kan undanta den via opt-out (avsnitt 6.1).

3. Vad som är förbjudet

3.1 Att undersöka eller angripa tredje parts webbplatser

  • Att använda formexposed för att hitta sårbarheter på tredje parts webbplatser och sedan angripa, överbelasta eller utnyttja dem – till exempel att medvetet översvämma ett oskyddat formulär med spam.
  • Att lämna vidare resultat, rapporter eller skärmbilder av en tredje parts webbplats till personer som vill använda dem för ett angrepp.
  • Att använda tjänsten mot webbplatser vars ägare uppenbart har undantagit dem, till exempel genom att byta till en annan stavning av domänen.

Den som utan behörighet spionerar på eller angriper tredje parts system kan dessutom begå ett brott (i Polen till exempel enligt Art. 267–269b i den polska strafflagen (Kodeks karny), i Tyskland till exempel enligt §§ 202a–202d och § 303b StGB, den tyska strafflagen). Att informationen kommer från en rapport från formexposed ändrar ingenting.

3.2 Att kringgå gränser och skyddsåtgärder

  • Att kringgå gränserna för gratisgranskningen, till exempel genom många webbläsarsessioner, växlande IP-adresser, proxyservrar, VPN-kedjor eller flera konton.
  • Att automatiserat anropa gratisgranskningen, header-kontrollen eller opt-out-formuläret. För automatisering finns API:et.
  • Att kringgå reCAPTCHA, tidskontrollen och de övriga skyddsåtgärderna i våra egna formulär.
  • Att kringgå planbegränsningar genom att fördela användningen på flera gratiskonton.

3.3 Att skaffa verifiering genom vilseledande

  • Att verifiera en domän som du varken driver eller har fått i uppdrag att sköta av den som driver den – även om du tekniskt har åtkomst till DNS, server eller CMS, till exempel som tidigare tjänsteleverantör, webbhotell eller anställd.
  • Att lämna beviset via tredje parts innehåll, till exempel via en kommentarsfunktion eller ett uppladdningsområde på tredje parts webbplats som vem som helst kan skriva till.
  • Att låta en domän ligga kvar i kontot efter att behörigheten har upphört. När uppdraget upphör tar kunden bort domänen.

Verifieringen är porten till de aktiva granskningarna. Den som skaffar den genom vilseledande får formexposed att skicka till en tredje parts formulär – det är det allvarligaste missbruk som tjänsten möjliggör, och vi behandlar det därefter.

3.4 Att missbruka testinskick

  • Att använda testinskick som spam- eller aviseringskanal, till exempel genom att verifiera en domän för att belasta dess mottagare med testmejl.
  • Att utlösa granskningar av en domän, särskilt manuella granskningar, i syfte att belasta mottagaren av formulärmejlen snarare än att kontrollera formuläret.
  • Att sätta upp testinskick på en domän utan att se till att de personer som tar emot och hanterar formulärmejlen där (till exempel ett säljteam) vet att märkta testinskick kan komma.

3.5 Att använda granskningen av potentiella kunder för oönskad reklam

Granskningen av potentiella kunder gör det möjligt för en byrå att låta en potentiell kunds webbplats granskas passivt. Vi skriver inte till den som driver webbplatsen; byrån lämnar själv vidare länken. Hur den gör det är dess egen sak och dess eget ansvar. Det är förbjudet att använda fynden för reklam som lagen inte tillåter utan föregående samtycke. Det omfattar särskilt:

  • oombedda e-postmeddelanden med fynden till företag eller personer som inte har samtyckt (i Polen Art. 398 i den polska lagen om elektronisk kommunikation (Prawo komunikacji elektronicznej, PKE); i Tyskland § 7 UWG, den tyska lagen mot otillbörlig konkurrens – i båda länderna gäller detta även företag);
  • oombedda reklamsamtal, i den mån tillämplig lag kräver samtycke för dem;
  • meddelanden som använder fynden för att utöva press, skapa rädsla eller ge intrycket att formexposed har granskat webbplatsen på uppdrag av en myndighet eller av den som driver den.

Det är fortfarande tillåtet att visa fynden för den som driver webbplatsen i ett samtal som denne har begärt, och att skicka dem till denne om hen har samtyckt till att ta emot dem eller om den lag som gäller för kontakten uttryckligen tillåter att de skickas utan samtycke. Byrån kontrollerar själv om så är fallet; att den samarbetar med den som driver webbplatsen i ett annat ärende räcker inte i sig.

3.6 Att missbruka rapporter, API, plugin och märke

  • Att systematiskt samla in rapporter, gissa eller prova rapportadresser eller hämta rapporter i stora mängder för att samla data om tredje parts webbplatser.
  • Att publicera rapporter om tredje parts webbplatser för att hänga ut dem som driver dem.
  • Att lämna vidare API-nycklar, pluginhemligheter eller inloggningsuppgifter, kringgå API:ets begränsningar eller använda det för tredje parts domäner.
  • Att ändra eller efterlikna märket, visa det på en annan domän än den för vilken det utfärdades eller använda det för att påstå en certifiering som formexposed inte utfärdar. Märket visar ”skyddat” bara så länge domänen är verifierad, övervakningen är igång och den senaste granskningen är aktuell och positiv; annars visar det det neutrala ”Kontroll av kontaktformulär”. En egengjord grafik med samma budskap vilseleder besökarna.
  • Att spara inloggningsuppgifter för granskningen bakom inloggningen för ett konto som inte uttryckligen har skapats som testkonto, eller för en tredje parts webbplats.

4. Hur formexposed förebygger och upptäcker missbruk

Följande åtgärder är implementerade i koden. Vi avslöjar inte de exakta tröskelvärdena, eftersom de ändras och eftersom de skulle underlätta missbruk.

4.1 Gratisgranskning

  • Nödstopp. Vi kan när som helst pausa gratisgranskningen. Opt-out påverkas inte och fungerar även under en paus.
  • reCAPTCHA för granskningen, header-kontrollen och opt-out, med separata tröskelvärden per formulär, samt en fälla och en tidskontroll i dessa formulär.
  • Gränser per IP-adress, per session och per dag. Godtagna granskningar räknas. En övergripande daglig gräns skyddar mot vågor.
  • Många domäner från en adress. Den som försöker granska många olika domäner från en IP-adress inom kort tid blockeras. Här räknas varje försök, även ett avvisat: detta är det typiska mönstret när någon använder formexposed för att kartlägga andras webbplatser.
  • En domän per vecka. Den som anger en domän igen inom en vecka ser den befintliga rapporten; den granskas inte på nytt.
  • Mycket unga domäner och domäner vars ålder inte kan fastställas granskas inte utan konto. De registreras ofta för bedrägerier.
  • Endast offentliga mål. Ett namn som pekar på en intern eller reserverad adress avvisas – före uppdraget och på nytt vid varje enskild förfrågan från crawlern.

4.2 Övervakning

Vi registrerar iögonfallande mönster – många domäner från en adress, många förfrågningar inom några minuter, många avvisade försök i en session, anhopningar av opt-outs från ett land, att den dagliga gränsen nås – som en avvikelse. En ny avvikelse utlöser en avisering till oss, utan domän och utan IP-adress; detaljerna ser vi bara i administrationsområdet. Vilka data vi lagrar för detta och hur länge framgår av integritetspolicyn.

4.3 Verifiering som port

Aktiva granskningar, övervakning, granskningen bakom inloggningen, webbläsarflöden och sökningen efter exponerade filer körs för kunder bara för domäner för vilka bevis på kontroll har lämnats: via DNS-post, metatagg, fil på servern eller via pluginet. Före varje uppdrag kontrollerar skannern själv på nytt om domänen är klassad som verifierad; om den inte är det faller en aktiv granskning tillbaka till den rent läsande, och ett webbläsarflöde genomförs inte. Aktiva granskningar kan också stängas av för hela tjänsten.

4.4 Testinskick

Varje testinskick är märkt: i avsändarnamnet ”FormExposed Security Scanner”, i ämnesraden ”[formexposed.com] Automated security test — no action required” och i texten med en hänvisning till sidan om FormExposedBot, till opt-out och med gransknings-ID. Språket beror på målsidan (tyska, engelska eller polska). Per granskning går högst fem inskick till ett och samma formulär. Skannern stannar efter detta antal. Övriga obligatoriska fält fyller den i med ”FormExposed security test”; den kryssar i kryssrutor utan vilka formuläret inte kan skickas, till exempel för samtycke. Märkningen visar att det inte finns någon person och ingen viljeförklaring från en person bakom.

4.5 Crawlern

FormExposedBot identifierar sig med en egen user-agent, läser robots.txt före varje granskning och granskar inte om ett Disallow för den eller för alla program omfattar startsidan; blockerade undersökvägar beaktar den för närvarande inte individuellt. Lätta förfrågningar utan webbläsare, till exempel formulärpulsen eller header-kontrollen, läser inte robots.txt. Den granskar inte domäner på vår undantagslista (opt-out) eller deras www-variant, inte ens för betalande kunder med verifierad domän; deras pågående övervakning upphör vid nästa planerade granskning. Detaljer finns på sidan om FormExposedBot.

5. Följder av en överträdelse

Vi reagerar proportionerligt: vi väljer den mildaste åtgärd som stoppar överträdelsen och avvärjer ytterligare skada för tredje part och för tjänsten, begränsar den till det berörda kontot, den berörda domänen eller funktionen och häver den så snart skälet för den upphör. Möjliga åtgärder är att:

  • avbryta enskilda granskningar och tillfälligt blockera IP-adresser eller sessioner;
  • ta bort en domän från ett konto, återkalla dess verifiering eller sätta den på undantagslistan;
  • blockera enskilda funktioner, till exempel aktiva granskningar, granskningen av potentiella kunder, API:et eller märket;
  • spärra kontot och säga upp avtalet av synnerliga skäl, enligt användarvillkoren;
  • kräva skadestånd enligt lagens bestämmelser och, i den mån det är rättsligt tillåtet, underrätta berörda webbplatsägare, brottsbekämpande myndigheter eller CERT Polska om det finns konkreta tecken på ett brott eller ett angrepp mot tredje part.

Automatiska gränser för gratisgranskningen och för våra egna formulär (avsnitt 4.1) är ingen åtgärd mot en viss person. De gäller alla enligt fasta regler och upphör när den aktuella perioden löper ut eller så snart vi har utrett en avvikelse.

Föregående hörande. Innan vi spärrar en kunds konto, domän eller funktion, tar bort en domän från kontot, återkallar dess verifiering eller säger upp avtalet, informerar vi kunden i textform om vilket beteende vi invänder mot, vilken regel på den här sidan eller i användarvillkoren vi stöder oss på och vilken åtgärd vi överväger. Kunden kan yttra sig eller åtgärda överträdelsen inom sju dagar; först därefter fattar vi beslut. Före en uppsägning av synnerliga skäl gäller i stället den längre frist för rättelse som användarvillkoren föreskriver för detta; en spärr på grund av utebliven betalning regleras uteslutande av användarvillkoren.

Brådskande fall. Vi agerar utan föregående hörande endast om en väntan allvarligt skulle äventyra tredje part eller tjänsten, särskilt vid konkreta tecken på verifiering som skaffats genom vilseledande, vid granskningar eller testinskick mot webbplatsägarens uttalade vilja, vid ett angrepp mot tredje part via tjänsten, vid en anmälan som tyder på en allvarlig lagöverträdelse genom innehåll i en kundportal eller white label-rapport, eller om en myndighet, en domstol eller lagen kräver det. I så fall begränsar vi först åtgärden till den berörda domänen, funktionen eller det berörda innehållet, informerar kunden om den, med motivering, i textform utan onödigt dröjsmål och senast följande arbetsdag, i den mån detta inte motverkar syftet och inte är förbjudet enligt lag, och genomför hörandet i efterhand.

Invändningar. Den som anser att en åtgärd är obefogad, även utan konto, kan invända mot den i textform till contact@lukaswojcik.com. Vi prövar invändningen och svarar inom 14 dagar med motivering; om den är befogad häver vi åtgärden omedelbart. Förfarandet under Klagomål och möjligheten att vända sig till domstol står fortfarande öppna. Om vi begränsar en kunds innehåll efter en anmälan om olagligt innehåll lämnar vi dessutom en motivering enligt Art. 17 i förordning (EU) 2022/2065 (förordningen om digitala tjänster, DSA) och anger dessa möjligheter till prövning. Om en spärr påverkar betalningsskyldigheten och när en uppsägning av synnerliga skäl är möjlig regleras av användarvillkoren.

6. Om du är berörd

6.1 Du vill inte att formexposed granskar din webbplats

Ange din domän på sidan Undanta din domän eller blockera FormExposedBot för startsidan i din robots.txt. Båda gäller, utan att du behöver kontakta oss, för varje granskning som startar därefter. Pågående övervakning i ett kundkonto upphör vid nästa planerade granskning; fram till dess kan lätta förfrågningar som formulärpulsen fortfarande komma, och dessa lätta förfrågningar läser inte robots.txt. Om du vill att även de ska upphöra tidigare, skriv dessutom till oss. Vad som exakt undantas beskrivs på opt-out-sidan.

6.2 Du har fått ett testinskick som du inte väntade dig

Testinskick går bara till domäner för vilka en kund har lämnat bevis på kontroll, och till formexposeds egna test- och demodomäner. De sker på initiativ av den kunden. Om du inte har ordnat detta kan din byrå, ditt webbhotell eller en kollega ha lagt till domänen – eller så har någon skaffat verifieringen genom vilseledande. Det snabbaste sättet att stoppa ytterligare testinskick är att göra det själv via opt-out: testinskick sker bara under en granskning, och efter registreringen startar ingen ytterligare granskning av domänen. Skriv också till oss på contact@lukaswojcik.com och ange gransknings-ID:t från meddelandet. Vi kontrollerar vem som har verifierat domänen, sätter domänen på undantagslistan i avvaktan på utredning om du inte redan har gjort det, och ber kunden att styrka sin behörighet. Vem som har verifierat den berättar vi för dig bara i den mån dataskyddslagstiftningen tillåter.

6.3 Du misstänker att någon använder formexposed mot dig

Skriv till contact@lukaswojcik.com, helst med tidpunkt, domän och – från dina serverloggar – förfrågningarna med FormExposedBots user-agent. Du kan också nå oss via kontaktsidan. Vi bekräftar mottagandet och berättar vad vi har gjort. Olagligt innehåll i en kundportal eller white label-rapport kan du anmäla på samma sätt; vad en sådan anmälan enligt Art. 16 DSA bör innehålla anges under Företagsuppgifter. Där finns också vår kontaktpunkt enligt Art. 11 och 12 DSA.

6.4 Du har hittat en säkerhetsbrist i själva formexposed

Rapportera den via vår sida för rapportering av sårbarheter (även under /.well-known/security.txt). Där förklaras hur vi hanterar rapporter och vad vi lovar forskare. Testa inte på tredje parts webbplatser i samband med detta, inte heller via formexposed.

7. Samarbete med myndigheter

Vi samarbetar med brottsbekämpande myndigheter, tillsynsmyndigheter och organ som CERT Polska när det gäller missbruk av tjänsten eller angrepp mot tredje part. Vi lämnar ut data endast om det finns en rättslig grund, det begärande organet är behörigt och begäran har föreskriven form. Vi prövar varje begäran individuellt och lämnar bara ut det som den faktiskt kräver. Vi informerar berörda kunder såvida inte lagen eller myndigheten förbjuder det.

Vi lagrar inte mer för att kunna lämna uppgifter till myndigheter än vad som krävs för driften och missbruksskyddet. Det som har raderats efter att de tidsfrister som anges i integritetspolicyn har löpt ut kan vi inte heller lämna ut.

8. Ändringar

Vi uppdaterar den här sidan när tjänsten eller mönstren för missbruk förändras. För kunder gäller reglerna om ändringar i användarvillkoren; nya förbud och strängare följder gäller för dem först efter detta förfarande. Vi bedömer ett beteende enligt den version som gällde vid tidpunkten för beteendet. Frågor om den här sidan: contact@lukaswojcik.com.