Om FormExposedBot

Senast uppdaterad: 16 oktober 2026

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Token i robots.txt: FormExposedBot

Vad FormExposedBot är

FormExposedBot är crawlern för formexposed. formexposed kontrollerar om kontaktformulär är skyddade mot automatiserad spam och fungerar tillförlitligt. Om du har hittat denna user-agent i dina serverloggar har någon startat en kontroll av din webbplats:

• en besökare på formexposed som angav din domän i den kostnadsfria kontrollen – utan konto, endast läsande;
• en kund som har din domän i sitt konto och uppger att hen driver eller förvaltar webbplatsen, eller någon som har installerat vårt plugin på din webbplats;
• en byrå som låter kontrollera din webbplats, endast läsande, som potentiell kund;
• vi själva, för en studie där vi endast publicerar aggregerade siffror utan webbplatsernas namn;
• någon som angav din startsida i vår kostnadsfria headerkontroll (endast headers, utan webbläsare).

På begäran berättar vi vilken av dessa typer en kontroll var; vem som startade den endast i den mån dataskyddslagstiftningen tillåter. Vi agerar då på initiativ av den personen; för domäner där en kund har visat att hen kontrollerar domänen, för den kundens räkning.

Vad som händer vid en kontroll

• Före kontrollen läser boten din robots.txt (se nedan).
• Den laddar din startsida och upp till sju ytterligare sidor på samma värd (med eller utan www., inga andra underdomäner), högst åtta totalt. Sidor med ord som kontakt, företagsinformation eller support kommer först. Den hoppar över inloggnings-, konto-, varukorgs- och kassasidor, flöden, PDF-filer och bilder.
• Den använder en riktig headless-webbläsare med JavaScript aktiverat och laddar sidorna en i taget, inte parallellt. En sida får ta högst 20 sekunder; efter cirka tre minuter avbryts kontrollen.
• Den läser formulären: fältnamn och fälttyper, etiketter, obligatoriska fält, inbäddade CAPTCHA, dolda fällor, tokens och headers. Under denna läsande kontroll fyller den inte i något.
• För högst tre sidor med formulär laddar den sidan en andra gång och klickar på ”Avvisa” i cookiebannern – aldrig ”Acceptera”. Det visar oss om formuläret fortfarande fungerar efter ett avvisande.
• För högst tre sidor med formulär laddar den sidan i mobilvy, utan att klicka. User-agenten förblir densamma; vi utger oss inte för att vara en smartphone.
• Den avgör formulärets typ med regler och, där de inte räcker, med en språkmodell som körs på vår egen server. Ingenting lämnar då våra servrar.

Utan bevis på kontroll över domänen (se nedan) hämtar FormExposedBot endast sidor som är offentligt tillgängliga utan inloggning, och skickar ingenting. Den kringgår inga åtkomstskydd, gissar inga inloggningsuppgifter och löser inga CAPTCHA. Allt utöver detta – testinlämningar, sökning efter exponerade filer och kontrollen bakom en inloggning med ett testkonto – sker endast för domäner med detta bevis eller för formexposeds egna test- och demodomäner.

Via den kostnadsfria kontrollen på vår webbplats kontrollerar vi samma domän högst en gång var sjunde dag; den som anger den igen ser den befintliga rapporten. Kunder kan låta kontrollera domänerna i sitt konto manuellt, med en väntetid; domäner med bevis på kontroll kontrolleras dessutom regelbundet med den frekvens som deras abonnemang anger, en fullständig kontroll högst en gång per dag. De lätta förfrågningarna utan webbläsare (se nedan) kommer oftare.

Testinlämningar endast för verifierade domäner

För kunder skickas något endast om en kund har bevisat att hen har rätt att kontrollera domänen (DNS-post, metatagg, fil eller plugin); utan detta bevis kontrollerar vi aktivt endast våra egna test- och demodomäner. Även då gäller:

• endast ett formulär per kontroll, och endast ett som tillförlitligt har identifierats som ett allmänt kontaktformulär; språkmodellen kan aldrig släppa fram ett formulär för inlämning;
• högst fem inlämningar per kontroll, till exempel utan CAPTCHA-svar, med fällfältet ifyllt eller med ändrad token;
• aldrig beställnings-, boknings-, inloggnings-, registrerings-, nyhetsbrevs-, support-, betalnings- eller uppladdningsformulär, aldrig formulär med obligatoriska fält för telefon, postadress eller företagsuppgifter, aldrig webbplatser som vi utifrån domänen eller sidtiteln känner igen som en myndighet, domstol, högskola, skola eller vårdinrättning.

Boten känner igen formulärtypen och typen av webbplats utifrån sidans egenskaper; i enskilda fall kan denna igenkänning vara fel. Listan beskriver hur boten är byggd och är ingen garanti. Om du inte vill ha testinlämningar kan du undanta domänen (se nedan): då startar ingen kontroll där något skulle kunna skickas.

Varje inlämning är märkt. Avsändarnamn ”FormExposed Security Scanner”, avsändaradress dummy@formexposed.com, ämne ”[formexposed.com] Automated security test — no action required”. Texten är på din sidas språk (tyska, engelska eller polska); på engelska:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

Meningen ”No data was stored” är för vittgående. Det korrekta är: vi sparar ingenting från dina besökare eller från din inkorg i samband med detta. För att utvärdera testet sparar vi dock din servers svar på inlämningen, nämligen statuskoden, de första 300 tecknen av svarssidan och en skärmbild av den (se ”Vad som sparas”).

Boten fyller i övriga obligatoriska fält med ”FormExposed security test”. Den kryssar i kryssrutor utan vilka formuläret inte kan skickas, till exempel för samtycke. Märkningen visar att det inte finns någon person och ingen viljeförklaring från en person bakom.

Kontrollen av header-injektion infogar endast en ofarlig header X-FormExposed-Injection-Test, aldrig en mottagare. Kontrollen av adressvalidering använder en adress under .invalid, som inte kan existera.

Ytterligare förfrågningar för kunder

För verifierade domäner i ett kundkonto tillkommer följande på kundens begäran:

• Webbläsarflöden: En webbläsare (Chromium eller WebKit) öppnar en formulärsida som kunden valt i mobilstorlek och kontrollerar om formuläret visas och kan användas fram till skicka-knappen; för detta fyller den i obligatoriska fält med testvärden som inte lämnar webbläsaren. Den skickar endast GET- och HEAD-förfrågningar; inlämning är tekniskt blockerad.
• Skanning bakom inloggningen: endast med ett testkonto som webbplatsens operatör själv har skapat, högst fem sidor, utan inlämning, utan skärmbilder, aldrig utloggnings-, raderings- eller uppsägningsadresser. Om inloggningen har en CAPTCHA avbryter boten.
• Lätta förfrågningar utan webbläsare: formulärpuls (upp till tre formulärsidor, var 10:e, 15:e eller 30:e minut beroende på abonnemang), kontroll av beviset på kontroll, headerkontroll och sökning efter exponerade filer. De använder samma user-agent med ett tillägg som pulse, ownership-verification, headers eller exposed-files.

Dessutom kan vem som helst låta hämta headers från din startsida med vår kostnadsfria headerkontroll: en förfrågan vardera via https och http till din startsida, plus eventuella omdirigeringar inom din domän, utan webbläsare och utan formulär.

Vad som sparas

Endast det som beskriver resultatet: adresser och titlar på de kontrollerade sidorna, formulärens struktur (fältnamn, typer, etiketter och liknande, inga fältvärden; början av förifyllda dolda fält upp till 24 tecken och av data--attribut upp till 60 tecken läses av boten endast under kontrollen och sparas inte), upptäckta skyddsåtgärder, headers, värdarna för inbäddade tjänster, kontrollsummor för skripten (inte deras innehåll; för inbäddade skript även de första 80 tecknen, med identifierare gjorda oigenkännliga), namnen på satta cookies, skärmbilder av det synliga området av startsidan och av formulären och, efter en testinlämning, av svarssidan; från det svaret även statuskoden och de första 300 tecknen. Dessa skärmbilder från kontrollen maskeras inte; de visar det som syns på den offentliga sidan. Endast webbläsarflöden ger en liten bild av formuläret med inmatningsfälten övertäckta. Om ett formulär innehåller en mottagaradress sparar vi endast dess domän.

Var förfrågningarna kommer ifrån

FormExposedBot körs på våra egna servrar i Polen. Vi publicerar inte IP-adresserna eftersom de kan ändras. Om du vill veta om en förfrågan verkligen kom från oss kan du skriva till oss med tidpunkten och IP-adressen från din logg; vi berättar då om den kom från oss. För kontrollen mot en andra plats innan ett avbrottslarm kan en andra plats hos en annan leverantör tillkomma; även den använder user-agenten FormExposedBot.

Så undantar du din domän

robots.txt:

User-agent: FormExposedBot
Disallow: /

Boten letar först i din robots.txt efter en grupp för FormExposedBot, annars efter gruppen för alla (*). Om en Disallow omfattar startsidan görs ingen kontroll. Om din server svarar på förfrågan efter robots.txt med ett serverfel eller inte alls kontrollerar vi av försiktighetsskäl inte heller; om filen saknas (404) behandlas webbplatsen som tillåten. Vi utvärderar för närvarande inte enskilda blockerade underkataloger separat – om du inte vill bli kontrollerad alls, blockera startsidan. De lätta förfrågningarna utan webbläsare och headerkontrollen läser inte robots.txt.

Opt-out: Ange din domän på sidan Undanta din domän. Det gäller domänen och dess www.-variant, inte andra underdomäner. Det gäller för varje kontroll som startar efter registreringen, permanent, även gentemot betalande kunder med verifierad domän, och omfattar även headerkontrollen. Pågående övervakning i ett kundkonto upphör vid nästa kontroll som ska göras; fram till dess kan lätta förfrågningar som formulärpulsen fortfarande komma. Om du vill att även dessa ska upphöra tidigare kan du skriva till oss.

Dataskydd

Personuppgiftsansvarig är LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polen, contact@lukaswojcik.com. När en kund kontrollerar sin egen domän agerar vi för kundens räkning.

• Uppgifter och källa: Vi samlar in personuppgifter endast i den mån de förekommer på de kontrollerade sidorna på din webbplats och blir synliga i en sidadress, en sidtitel, en formuläretikett eller en skärmbild, till exempel ett namn i företagsinformationen eller bredvid formuläret. Källan är din webbplats. Vi söker inte efter sådana uppgifter.
• Ändamål och rättslig grund: säkerhetskontroller av formulär; för den kostnadsfria kontrollen, kontrollen av potentiella kunder och studien på grundval av vårt berättigade intresse och våra användares intresse (Art. 6(1)(f) GDPR).
• Mottagare: den som startade rapporten eller har länken till den – länken öppnar rapporten utan inloggning; för domäner i ett kundkonto även de larmmottagare som kunden har valt; från studien endast totalsiffror. Ingen extern AI-tjänst är inblandad.
• Lagringstid: rapport utan konto 30 dagar, kontroll av potentiella kunder 90 dagar, kontroller i ett kundkonto upp till 13 månader, det senaste resultatet för varje domän så länge domänen finns kvar, studien fram till publicering.
• Dina rättigheter: tillgång, rättelse, radering, begränsning och invändning enligt Art. 21 GDPR – snabbast via opt-out – samt rätten att lämna in klagomål till en tillsynsmyndighet, för oss ordföranden för den polska dataskyddsmyndigheten (Prezes Urzędu Ochrony Danych Osobowych) i Warszawa.

Allt annat finns i integritetspolicyn. Hur vi hanterar missbruk beskrivs i Godtagbar användning och missbruk.

Kontakt

Frågor eller klagomål: contact@lukaswojcik.com eller via kontaktsidan. Ange din domän och, om du har den, skannings-ID:t eller rapportlänken. Rapportera säkerhetsbrister i själva formexposed via vår sida för rapportering av sårbarheter.