formexposed
Почати

Допустиме використання та зловживання

Цей документ опубліковано кількома мовами. У разі будь-яких розбіжностей між мовними версіями обов’язковою є польська версія.

Версія 1.0 · Останнє оновлення: 16 жовтня 2026 року

formexposed переглядає сторонні сайти, а на підтверджених доменах виконує тестові надсилання в контактні форми. Такий інструмент також можна спрямувати проти інших. Ця сторінка визначає, для чого призначений formexposed, що заборонено, як ми технічно обмежуємо зловживання та що відбувається, якщо хтось порушує правила. Вона поширюється на всіх користувачів formexposed: як на клієнтів з обліковим записом, так і на відвідувачів, які користуються безкоштовною перевіркою без облікового запису.

Постачальник — LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland. Для Клієнтів ця сторінка є частиною договору: Умови надання послуг відносять її до договірних документів. Для безкоштовної перевірки та інших загальнодоступних інструментів вона застосовується як частина правил, установлених Умовами надання послуг для цих інструментів. У разі суперечності між цією сторінкою та Умовами надання послуг переважають Умови надання послуг. Приклади («як-от», «наприклад») ілюструють правило; вони його не розширюють і не обмежують.

1. Для чого призначений formexposed

formexposed перевіряє, чи захищена контактна форма від автоматизованого спаму, чи надійно вона працює та чи обережно поводиться з даними. Зокрема, дозволено:

  • перевіряти власний сайт або сайт клієнта, вести його моніторинг і використовувати результати для його захисту;
  • користуватися безкоштовною перевіркою без облікового запису, щоб отримати перше враження про будь-який загальнодоступний сайт у режимі лише читання — так, як його бачить відвідувач;
  • як агентство на тарифі Business замовляти пасивну перевірку сайту потенційного клієнта та законно надавати результати його оператору (див. розділ 3.5);
  • ділитися звітами з людьми, які відповідають за сайт або обслуговують його;
  • використовувати API, плагін і розширення в межах їхньої документації та лімітів;
  • показувати значок на домені, для якого його видано.

Критерій простий: formexposed має допомагати операторам сайтів захищати власні форми. Усе, що шкодить третій особі, яка на це не погодилася, до цієї мети не належить.

2. Чого formexposed навмисно не може робити

Щоб сервіс був непридатним як інструмент атаки, ми його обмежили. Ці обмеження діють для всіх користувачів, і користувачі не можуть їх зняти:

  • Без підтвердження контролю над доменом туди нічого не надсилається; єдиний виняток — власні тестові та демонстраційні домени formexposed, які ми перевіряємо внутрішньо. Безкоштовна перевірка, перевірка потенційного клієнта й наше дослідження читають лише те, що бачить відвідувач.
  • Навіть на підтверджених доменах ми надсилаємо дані лише в розпізнану загальну контактну форму, щонайбільше п’ять позначених тестових надсилань за перевірку. Ми ніколи не надсилаємо дані у форми замовлення, бронювання, входу, реєстрації, підписки на новини, підтримки, оплати чи завантаження файлів, форми з обов’язковими відомостями на кшталт номера телефону або поштової адреси чи форми на сайтах, які ми за доменом або заголовком сторінки розпізнаємо як орган влади, суд, університет, школу чи заклад охорони здоров’я.
  • Перевірка ін’єкції заголовків є суто виявленням: тестове значення ніколи не містить справжнього одержувача. Перевірка валідації електронної пошти використовує лише адресу із закінченням .invalid, яка не може існувати.
  • Ми не розв’язуємо CAPTCHA. На підтверджених доменах ми лише перевіряємо, чи приймає форма надсилання без токена CAPTCHA або з вигаданим токеном. Якщо форма входу для сканування після входу має CAPTCHA, перевірка зупиняється.
  • Сканер запитує лише публічні адреси через звичайні вебпорти. Внутрішні мережі, локальні адреси та інші порти заблоковано, зокрема для переспрямувань і вбудованого вмісту.
  • Пошук відкритих файлів (як-от забутого конфігураційного файлу) виконується лише для підтверджених доменів, оскільки запити до таких шляхів на сторонніх сайтах становлять атаку.

Ці обмеження описують будову сервісу. Сканер розпізнає, чи є форма загальною контактною формою та чи належить сайт до однієї з перелічених установ, за ознаками сторінки, такими як назви полів, підписи, домен і заголовок сторінки; в окремих випадках розпізнавання може бути помилковим. Тому цей опис не є гарантією Клієнтам або третім особам, що певну форму ніколи не буде охоплено перевіркою. Той, хто не хоче перевірки свого сайту, може виключити його через відмову від сканування (розділ 6.1).

3. Що заборонено

3.1 Зондування або атаки на сторонні сайти

  • Використовувати formexposed для пошуку вразливостей сторонніх сайтів, а потім атакувати, перевантажувати чи експлуатувати їх — наприклад, навмисно засипати незахищену форму спамом.
  • Передавати результати, звіти чи знімки екрана стороннього сайту людям, які хочуть використати їх для атаки.
  • Використовувати сервіс проти сайтів, оператор яких явно виключив їх із перевірок, наприклад переходячи до іншого написання домену.

Той, хто без дозволу шпигує за сторонніми системами або атакує їх, може також вчиняти кримінальне правопорушення (у Польщі, наприклад, за ст. 267–269b польського Кримінального кодексу (Kodeks karny), у Німеччині, наприклад, за §§ 202a–202d і § 303b StGB, німецького Кримінального кодексу). Те, що інформація походить зі звіту formexposed, нічого не змінює.

3.2 Обхід лімітів і заходів захисту

  • Обходити ліміти безкоштовної перевірки, наприклад через численні сесії браузера, змінні IP-адреси, проксі, ланцюжки VPN або кілька облікових записів.
  • Автоматизовано надсилати запити до безкоштовної перевірки, перевірки заголовків або форми відмови від сканування. Для автоматизації існує API.
  • Обходити reCAPTCHA, перевірку часу та інші заходи захисту наших власних форм.
  • Обходити ліміти тарифу шляхом розподілу використання між кількома безкоштовними обліковими записами.

3.3 Обманне отримання підтвердження

  • Підтверджувати домен, оператором якого Ви не є та оператор якого Вас не залучив, — навіть якщо технічно Ви маєте доступ до DNS, сервера або CMS, наприклад як колишній постачальник послуг, хостинг-провайдер чи працівник.
  • Надавати підтвердження через сторонній вміст, наприклад через функцію коментарів або розділ завантаження файлів стороннього сайту, куди може писати будь-хто.
  • Залишати домен в обліковому записі після припинення повноважень. Після завершення доручення Клієнт видаляє домен.

Підтвердження відкриває доступ до активних перевірок. Той, хто отримує його обманом, змушує formexposed надсилати дані в сторонню форму — це найсерйозніше зловживання, яке допускають можливості сервісу, і ми ставимося до нього відповідно.

3.4 Зловживання тестовими надсиланнями

  • Використовувати тестові надсилання як канал спаму чи повідомлень, наприклад підтверджувати домен, щоб обтяжувати його одержувачів тестовими листами.
  • Запускати перевірки домену, зокрема вручну, з метою обтяжити одержувача листів із форми, а не перевірити форму.
  • Налаштовувати тестові надсилання на домені, не переконавшись, що люди, які отримують і опрацьовують там листи з форм (наприклад, відділ продажів), знають про можливе надходження позначених тестових надсилань.

3.5 Використання перевірки потенційного клієнта для небажаної реклами

Перевірка потенційного клієнта дозволяє агентству замовити пасивну перевірку сайту можливого клієнта. Ми не пишемо оператору; агентство самостійно передає посилання. Як воно це робить — його власна справа та відповідальність. Заборонено використовувати результати для реклами, яку закон не дозволяє без попередньої згоди. Це стосується, зокрема:

  • небажаних електронних листів із результатами компаніям або особам, які не надали згоди (у Польщі — ст. 398 польського Закону про електронні комунікації (Prawo komunikacji elektronicznej, PKE); у Німеччині — § 7 UWG, німецького Закону проти недобросовісної конкуренції; в обох країнах це також стосується суб’єктів господарювання);
  • небажаних рекламних дзвінків, якщо застосовне право вимагає згоди на них;
  • повідомлень, які використовують результати для тиску, залякування або створення враження, що formexposed перевірив сайт від імені органу влади чи оператора.

Залишається дозволеним показувати результати оператору в розмові, про яку він сам попросив, і надсилати їх оператору, якщо він погодився на їх отримання або право, застосовне до звернення, прямо дозволяє надсилання без згоди. Агентство самостійно перевіряє, чи це так; сам факт співпраці з оператором в іншій справі недостатній.

3.6 Зловживання звітами, API, плагіном і значком

  • Систематично збирати звіти, вгадувати чи перебирати адреси звітів або отримувати їх у великій кількості для накопичення даних про сторонні сайти.
  • Публікувати звіти про сторонні сайти, щоб виставити їхніх операторів у негативному світлі.
  • Передавати ключі API, секрети плагіна чи облікові дані, обходити ліміти API або використовувати його для сторонніх доменів.
  • Змінювати чи імітувати значок, показувати його на іншому домені, ніж той, для якого його видано, або використовувати для заяви про сертифікацію, якої formexposed не надає. Значок показує «Захищено», лише поки домен підтверджено, моніторинг працює, а остання перевірка свіжа та сприятлива; інакше він показує нейтральне «Перевірка контактної форми». Саморобне зображення з таким самим твердженням вводить відвідувачів в оману.
  • Зберігати для сканування після входу облікові дані облікового запису, який не був спеціально створений як тестовий, або стороннього сайту.

4. Як formexposed запобігає зловживанням і виявляє їх

Наведені нижче заходи реалізовано в коді. Ми не розкриваємо точних порогів, оскільки вони змінюються й полегшили б зловживання.

4.1 Безкоштовна перевірка

  • Аварійне вимкнення. Ми можемо будь-коли призупинити безкоштовну перевірку. Відмова від сканування від цього не залежить і працює також під час призупинення.
  • reCAPTCHA для перевірки, перевірки заголовків і відмови від сканування з окремими порогами для кожної форми, а також пастка й перевірка часу в цих формах.
  • Ліміти за IP-адресою, сесією та днем. Враховуються прийняті перевірки. Загальний денний ліміт захищає від хвиль запитів.
  • Багато доменів з однієї адреси. Того, хто намагається за короткий час перевірити багато різних доменів з однієї IP-адреси, блокують. Тут враховується кожна спроба, зокрема відхилена: це типовий шаблон використання formexposed для зондування сторонніх сайтів.
  • Один домен на тиждень. Той, хто повторно вводить домен протягом тижня, бачить наявний звіт; повторна перевірка не виконується.
  • Дуже нові домени та домени, вік яких неможливо визначити, не перевіряються без облікового запису. Їх часто реєструють для шахрайства.
  • Лише публічні цілі. Ім’я, що вказує на внутрішню чи зарезервовану адресу, відхиляється — до завдання та знову під час кожного окремого запиту сканера.

4.2 Моніторинг

Ми фіксуємо підозрілі шаблони — багато доменів з однієї адреси, багато запитів протягом кількох хвилин, багато відхилених спроб в одній сесії, скупчення відмов від сканування з однієї країни, досягнення денного ліміту — як аномалію. Нова аномалія спричиняє повідомлення нам без домену й без IP-адреси; подробиці ми бачимо лише в адміністративному розділі. Які дані ми для цього зберігаємо та як довго, викладено в Політиці конфіденційності.

4.3 Підтвердження як умова доступу

Активні перевірки, моніторинг, сканування після входу, браузерні сценарії та пошук відкритих файлів виконуються для клієнтів лише на доменах із підтвердженим контролем: за допомогою запису DNS, метатега, файлу на сервері або плагіна. Перед кожним завданням сканер самостійно знову перевіряє, чи класифіковано домен як підтверджений; якщо ні, активна перевірка переходить у режим лише читання, а браузерний сценарій не виконується. Активні перевірки також можна вимкнути для всього сервісу.

4.4 Тестові надсилання

Кожне тестове надсилання позначено: ім’ям відправника «FormExposed Security Scanner», темою «[formexposed.com] Automated security test — no action required» і в тексті — посиланнями на сторінку про FormExposedBot, на відмову від сканування та ідентифікатором сканування. Мова залежить від цільової сторінки (німецька, англійська або польська). За перевірку в одну форму надсилається щонайбільше п’ять повідомлень. Після цієї кількості сканер зупиняється. Інші обов’язкові поля він заповнює значенням «FormExposed security test»; він позначає прапорці, без яких форму неможливо надіслати, наприклад для згоди. Позначення показує, що за надсиланням немає людини та її заяви.

4.5 Сканер

FormExposedBot ідентифікує себе власним user-agent, читає robots.txt перед кожною перевіркою та не перевіряє сайт, якщо Disallow для нього або для всіх програм охоплює головну сторінку; заблоковані підшляхи окремо він наразі не враховує. Легкі запити без браузера, як-от пульс форми чи перевірка заголовків, не читають robots.txt. Він не перевіряє домени з нашого списку виключень (відмова від сканування) або їхній варіант із www, навіть від імені платних клієнтів із підтвердженим доменом; їхній поточний моніторинг завершується з наступною належною перевіркою. Подробиці наведено на сторінці про FormExposedBot.

5. Наслідки порушення

Ми реагуємо пропорційно: вибираємо найм’якший захід, який припиняє порушення та запобігає подальшій шкоді третім особам і сервісу, обмежуємо його відповідним обліковим записом, доменом або функцією та скасовуємо, щойно відпадає його підстава. Можливі заходи:

  • перервати окремі перевірки й тимчасово заблокувати IP-адреси або сесії;
  • видалити домен з облікового запису, відкликати його підтвердження або внести до списку виключень;
  • заблокувати окремі функції, як-от активні перевірки, перевірку потенційного клієнта, API або значок;
  • заблокувати обліковий запис і припинити договір із поважної причини, як передбачено Умовами надання послуг;
  • вимагати відшкодування шкоди відповідно до законодавства та, у дозволених законом межах, повідомити постраждалих операторів сайтів, правоохоронні органи або CERT Polska за наявності конкретних ознак кримінального правопорушення чи атаки на третіх осіб.

Автоматичні ліміти безкоштовної перевірки та наших власних форм (розділ 4.1) не є заходом проти конкретної особи. Вони застосовуються до всіх за фіксованими правилами та закінчуються після спливу відповідного періоду або щойно ми усунемо аномалію.

Попереднє заслуховування. Перш ніж заблокувати обліковий запис, домен чи функцію Клієнта, видалити домен із його облікового запису, відкликати його підтвердження чи припинити договір, ми повідомляємо Клієнта в текстовій формі, проти якої поведінки заперечуємо, на яке правило цієї сторінки або Умов надання послуг посилаємося та який захід розглядаємо. Клієнт може висловитися або усунути порушення протягом семи днів; лише після цього ми ухвалюємо рішення. Перед припиненням із поважної причини натомість застосовується довший строк усунення, передбачений для цього Умовами надання послуг; блокування через несплату регулюється лише Умовами надання послуг.

Невідкладні випадки. Ми діємо без попереднього заслуховування лише якщо очікування серйозно загрожувало б третім особам або сервісу, зокрема за наявності конкретних ознак обманного отримання підтвердження, у разі перевірок чи тестових надсилань проти заявленої волі оператора сайту, атаки на третіх осіб через сервіс, повідомлення про серйозне порушення закону вмістом клієнтського порталу чи звіту під власним брендом або якщо цього вимагає орган влади, суд чи закон. У такому разі ми спочатку обмежуємо захід відповідним доменом, функцією або вмістом, без невиправданої затримки й не пізніше наступного робочого дня повідомляємо Клієнта про нього з обґрунтуванням у текстовій формі, якщо це не перешкоджає його меті та не заборонено законом, і проводимо заслуховування після цього.

Заперечення. Кожен, хто вважає захід необґрунтованим, зокрема без облікового запису, може заперечити проти нього в текстовій формі на contact@lukaswojcik.com. Ми розглядаємо заперечення та відповідаємо протягом 14 днів з обґрунтуванням; якщо воно обґрунтоване, негайно скасовуємо захід. Процедура на сторінці Скарги та звернення до суду залишаються доступними. Якщо ми обмежуємо вміст Клієнта після повідомлення про незаконний вміст, ми додатково надаємо обґрунтування за ст. 17 Регламенту (ЄС) 2022/2065 (Регламент про цифрові послуги, DSA) і зазначаємо ці засоби правового захисту. Чи впливає блокування на обов’язок оплати та коли можливе припинення з поважної причини, визначається Умовами надання послуг.

6. Якщо Ви постраждали

6.1 Ви не хочете, щоб formexposed перевіряв Ваш сайт

Введіть свій домен на сторінці Виключити свій домен або заблокуйте FormExposedBot для головної сторінки у своєму robots.txt. Обидва способи діють без необхідності звертатися до нас для кожної перевірки, що починається після цього. Поточний моніторинг в обліковому записі клієнта завершується з наступною належною перевіркою; до того часу ще можуть надходити легкі запити на кшталт пульсу форми, які не читають robots.txt. Якщо Ви хочете припинити й їх раніше, також напишіть нам. Що саме виключається, описано на сторінці відмови від сканування.

6.2 Ви отримали тестове надсилання, якого не очікували

Тестові надсилання виконуються лише на доменах, для яких Клієнт надав підтвердження контролю, і на власних тестових та демонстраційних доменах formexposed. Вони відбуваються за ініціативою цього Клієнта. Якщо Ви цього не замовляли, можливо, домен додало Ваше агентство, Ваш хостинг-провайдер або колега — чи хтось отримав підтвердження обманом. Найшвидше припинити подальші тестові надсилання можна самостійно через відмову від сканування: тестові надсилання відбуваються лише під час перевірки, а після внесення запису жодна нова перевірка домену не починається. Також напишіть нам на contact@lukaswojcik.com і зазначте ідентифікатор сканування з повідомлення. Ми перевіримо, хто підтвердив домен, внесемо його до списку виключень до з’ясування обставин, якщо Ви ще цього не зробили, і попросимо Клієнта підтвердити свої повноваження. Ми повідомимо Вам, хто його підтвердив, лише в межах, дозволених законодавством про захист даних.

6.3 Ви підозрюєте, що хтось використовує formexposed проти Вас

Напишіть на contact@lukaswojcik.com, бажано із зазначенням часу, домену та — з журналів Вашого сервера — запитів із user-agent FormExposedBot. Ви також можете зв’язатися з нами через сторінку контактів. Ми підтвердимо отримання й повідомимо Вам, що зробили. Так само Ви можете повідомити про незаконний вміст у клієнтському порталі чи звіті під власним брендом; що має містити таке повідомлення за ст. 16 DSA, викладено у Відомостях про постачальника. Там також наведено наш контактний пункт за ст. 11 і 12 DSA.

6.4 Ви знайшли вразливість безпеки в самому formexposed

Повідомте про неї через нашу сторінку повідомлення про вразливості (також за адресою /.well-known/security.txt). Вона пояснює, як ми опрацьовуємо повідомлення та що обіцяємо дослідникам. Не тестуйте при цьому сторонні сайти, зокрема через formexposed.

7. Співпраця з органами влади

Ми співпрацюємо з правоохоронними й наглядовими органами та організаціями на кшталт CERT Polska щодо зловживань сервісом або атак на третіх осіб. Ми передаємо дані лише за наявності правової підстави, компетентності органу-запитувача та належної форми запиту. Ми розглядаємо кожен запит індивідуально та передаємо лише те, чого він фактично вимагає. Ми повідомляємо відповідних Клієнтів, якщо закон або орган влади цього не забороняє.

Ми не зберігаємо більше даних задля можливості надавати інформацію органам влади, ніж потрібно для роботи й запобігання зловживанням. Те, що видалено після спливу строків, зазначених у Політиці конфіденційності, ми також не можемо передати.

8. Зміни

Ми оновлюємо цю сторінку, коли змінюється сервіс або шаблони зловживань. Для Клієнтів діють правила внесення змін з Умов надання послуг; нові заборони й суворіші наслідки застосовуються до них лише після цієї процедури. Ми оцінюємо поведінку за редакцією, що діяла на час такої поведінки. Запитання щодо цієї сторінки: contact@lukaswojcik.com.