Giới thiệu FormExposedBot

Cập nhật lần cuối: ngày 16 tháng 10 năm 2026

User-agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Token trong robots.txt: FormExposedBot

FormExposedBot là gì

FormExposedBot là trình thu thập dữ liệu của formexposed. formexposed kiểm tra xem biểu mẫu liên hệ có được bảo vệ khỏi thư rác tự động và hoạt động đáng tin cậy hay không. Nếu Quý khách thấy user-agent này trong nhật ký máy chủ, có người đã bắt đầu kiểm tra website của Quý khách:

• một khách truy cập formexposed đã nhập tên miền của Quý khách vào kiểm tra miễn phí – không có tài khoản, chỉ đọc;
• một khách hàng có tên miền của Quý khách trong tài khoản và tuyên bố rằng họ vận hành hoặc chăm sóc website, hoặc người đã cài tiện ích của chúng tôi trên website của Quý khách;
• một công ty dịch vụ yêu cầu kiểm tra website của Quý khách ở chế độ chỉ đọc với tư cách khách hàng tiềm năng;
• chính chúng tôi, cho một nghiên cứu mà từ đó chỉ công bố số liệu tổng hợp không kèm tên website;
• người đã nhập trang chủ của Quý khách vào công cụ kiểm tra tiêu đề miễn phí của chúng tôi (chỉ tiêu đề, không có trình duyệt).

Theo yêu cầu, chúng tôi sẽ cho Quý khách biết lần kiểm tra thuộc loại nào trong các loại trên; người đã bắt đầu kiểm tra chỉ được tiết lộ trong phạm vi pháp luật bảo vệ dữ liệu cho phép. Khi thực hiện, chúng tôi hành động theo sự khởi xướng của người đó; đối với tên miền mà khách hàng đã cung cấp bằng chứng quyền kiểm soát, chúng tôi hành động thay mặt khách hàng đó.

Điều gì diễn ra trong một lần kiểm tra

• Trước khi kiểm tra, bot đọc robots.txt của Quý khách (xem bên dưới).
• Bot tải trang chủ và tối đa bảy trang khác trên cùng máy chủ (có hoặc không có www., không tải tên miền phụ khác), tổng cộng tối đa tám trang. Các trang có những từ như liên hệ, thông tin nhà cung cấp hoặc hỗ trợ được ưu tiên. Bot bỏ qua trang đăng nhập, tài khoản, giỏ hàng và thanh toán, nguồn cấp dữ liệu, PDF và hình ảnh.
• Bot sử dụng trình duyệt thực không giao diện có bật JavaScript và tải các trang lần lượt, không song song. Mỗi trang có thời gian tối đa 20 giây; sau khoảng ba phút, kiểm tra dừng.
• Bot đọc các biểu mẫu: tên và loại trường, nhãn, trường bắt buộc, CAPTCHA được nhúng, bẫy ẩn, token và tiêu đề. Trong lần kiểm tra chỉ đọc này, bot không nhập bất kỳ thứ gì.
• Với tối đa ba trang có biểu mẫu, bot tải trang lần thứ hai và nhấp “Từ chối” trên biểu ngữ cookie – không bao giờ nhấp “Chấp nhận”. Điều này cho chúng tôi biết biểu mẫu còn hoạt động sau khi từ chối hay không.
• Với tối đa ba trang có biểu mẫu, bot tải trang ở chế độ hiển thị trên điện thoại mà không nhấp. User-agent vẫn giữ nguyên; chúng tôi không giả làm điện thoại thông minh.
• Bot xác định loại biểu mẫu bằng các quy tắc và, khi chúng không đủ, bằng mô hình ngôn ngữ chạy trên máy chủ riêng của chúng tôi. Không có gì rời khỏi máy chủ của chúng tôi trong quá trình này.

Nếu không có bằng chứng quyền kiểm soát tên miền (bên dưới), FormExposedBot chỉ tải các trang có thể truy cập công khai mà không cần đăng nhập và không gửi bất kỳ biểu mẫu nào. Bot không vượt qua biện pháp bảo vệ truy cập, không đoán thông tin đăng nhập và không giải CAPTCHA. Mọi hoạt động vượt quá phạm vi đó – gửi thử biểu mẫu, tìm tệp bị lộ và kiểm tra sau đăng nhập bằng tài khoản thử nghiệm – chỉ diễn ra đối với tên miền có bằng chứng này hoặc các tên miền thử nghiệm và trình diễn riêng của formexposed.

Qua kiểm tra miễn phí trên website, chúng tôi kiểm tra cùng một tên miền tối đa một lần mỗi bảy ngày; người nhập lại tên miền sẽ thấy báo cáo đã có. Khách hàng có thể yêu cầu kiểm tra thủ công tên miền trong tài khoản, có thời gian chờ; tên miền có bằng chứng quyền kiểm soát còn được kiểm tra thường xuyên theo tần suất của gói, với kiểm tra đầy đủ tối đa một lần mỗi ngày. Các yêu cầu nhẹ không dùng trình duyệt (bên dưới) được thực hiện thường xuyên hơn.

Chỉ gửi thử biểu mẫu cho tên miền đã xác minh

Đối với khách hàng, việc gửi chỉ được thực hiện nếu khách hàng đã chứng minh quyền kiểm soát tên miền (bản ghi DNS, thẻ meta, tệp hoặc tiện ích); nếu không có bằng chứng này, chúng tôi chỉ kiểm tra chủ động các tên miền thử nghiệm và trình diễn riêng. Ngay cả khi đó:

• chỉ một biểu mẫu trong mỗi lần kiểm tra và chỉ biểu mẫu đã được nhận diện đáng tin cậy là biểu mẫu liên hệ chung; mô hình ngôn ngữ không bao giờ có thể cho phép gửi biểu mẫu;
• tối đa năm lượt gửi mỗi lần kiểm tra, chẳng hạn không có phản hồi CAPTCHA, trường bẫy được điền hoặc token bị sửa đổi;
• không bao giờ gửi biểu mẫu đặt hàng, đặt dịch vụ, đăng nhập, đăng ký, bản tin, hỗ trợ, thanh toán hoặc tải tệp lên; không bao giờ gửi biểu mẫu có trường bắt buộc về số điện thoại, địa chỉ bưu chính hoặc thông tin công ty; không bao giờ gửi trên website mà chúng tôi nhận diện từ tên miền hoặc tiêu đề trang là cơ quan công quyền, tòa án, đại học, trường học hoặc cơ sở y tế.

Bot nhận diện loại biểu mẫu và loại website từ đặc điểm của trang; trong từng trường hợp, việc nhận diện này có thể sai. Danh sách mô tả cách bot được xây dựng và không phải bảo đảm. Nếu không muốn có lượt gửi thử, hãy loại trừ tên miền (bên dưới): khi đó sẽ không bắt đầu bất kỳ kiểm tra nào có thể gửi nội dung.

Mọi lượt gửi đều được ghi rõ. Tên người gửi “FormExposed Security Scanner”, địa chỉ người gửi dummy@formexposed.com, chủ đề “[formexposed.com] Automated security test — no action required”. Nội dung bằng ngôn ngữ của trang Quý khách (tiếng Đức, tiếng Anh hoặc tiếng Ba Lan); bằng tiếng Anh là:

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

Câu “No data was stored” quá rộng. Thông tin chính xác là: chúng tôi không lưu bất kỳ dữ liệu nào từ khách truy cập của Quý khách hoặc từ hộp thư của Quý khách trong quá trình này. Tuy nhiên, để đánh giá phép thử, chúng tôi lưu phản hồi của máy chủ đối với lượt gửi, cụ thể là mã trạng thái, 300 ký tự đầu tiên của trang phản hồi và ảnh chụp màn hình của trang đó (xem “Những gì được lưu”).

Bot điền các trường bắt buộc khác bằng “FormExposed security test”. Bot đánh dấu các ô mà thiếu chúng thì không thể gửi biểu mẫu, chẳng hạn ô đồng ý. Việc ghi nhãn cho thấy không có người thật và không có tuyên bố của một người đứng sau lượt gửi.

Kiểm tra chèn tiêu đề e-mail chỉ chèn một tiêu đề vô hại X-FormExposed-Injection-Test, không bao giờ chèn người nhận. Kiểm tra xác thực địa chỉ sử dụng địa chỉ có phần đuôi .invalid, không thể tồn tại.

Những yêu cầu bổ sung dành cho khách hàng

Đối với tên miền đã xác minh trong tài khoản khách hàng, theo yêu cầu của khách hàng, các hoạt động sau được bổ sung:

• Hành trình trình duyệt: Trình duyệt (Chromium hoặc WebKit) mở trang biểu mẫu do khách hàng chọn ở kích thước điện thoại và kiểm tra xem biểu mẫu có xuất hiện và có thể thao tác cho đến nút gửi hay không; để làm việc đó, trình duyệt điền các trường bắt buộc bằng giá trị thử nghiệm không rời khỏi trình duyệt. Trình duyệt chỉ gửi yêu cầu GET và HEAD; việc gửi biểu mẫu bị chặn về mặt kỹ thuật.
• Quét sau khi đăng nhập: chỉ bằng tài khoản thử nghiệm do đơn vị vận hành website tự tạo, tối đa năm trang, không gửi biểu mẫu, không chụp ảnh màn hình, không bao giờ truy cập địa chỉ đăng xuất, xóa hoặc hủy. Nếu đăng nhập có CAPTCHA, bot dừng.
• Yêu cầu nhẹ không dùng trình duyệt: kiểm tra nhanh biểu mẫu (tối đa ba trang biểu mẫu, mỗi 10, 15 hoặc 30 phút tùy gói), kiểm tra bằng chứng quyền kiểm soát, kiểm tra tiêu đề và tìm tệp bị lộ. Chúng sử dụng cùng user-agent kèm hậu tố như pulse, ownership-verification, headers hoặc exposed-files.

Ngoài ra, bất kỳ ai cũng có thể yêu cầu tải các tiêu đề của trang chủ Quý khách bằng công cụ kiểm tra tiêu đề miễn phí của chúng tôi: một yêu cầu qua https và một yêu cầu qua http tới trang chủ, cộng các chuyển hướng trong tên miền của Quý khách nếu có, không dùng trình duyệt và không có biểu mẫu.

Những gì được lưu

Chỉ những gì mô tả phát hiện: địa chỉ và tiêu đề các trang được kiểm tra, cấu trúc biểu mẫu (tên trường, loại, nhãn và những thông tin tương tự, không có giá trị trường; phần đầu tối đa 24 ký tự của trường ẩn được điền sẵn và tối đa 60 ký tự của thuộc tính data- chỉ được bot đọc trong lúc kiểm tra và không được lưu), biện pháp bảo vệ được phát hiện, tiêu đề, máy chủ của dịch vụ được nhúng, giá trị tổng kiểm tra của tập lệnh (không phải nội dung; đối với tập lệnh nhúng, còn có 80 ký tự đầu tiên với các mã định danh được làm cho không thể nhận diện), tên cookie được đặt, ảnh chụp màn hình vùng hiển thị của trang chủ và biểu mẫu, cùng trang phản hồi sau lượt gửi thử; đối với phản hồi đó, còn lưu mã trạng thái và 300 ký tự đầu tiên. Những ảnh chụp từ kiểm tra này không được che nội dung; chúng thể hiện những gì có thể thấy trên trang công khai. Chỉ các hành trình trình duyệt tạo ảnh nhỏ của biểu mẫu có che các trường nhập. Nếu biểu mẫu chứa địa chỉ người nhận, chúng tôi chỉ lưu tên miền của địa chỉ đó.

Yêu cầu đến từ đâu

FormExposedBot chạy trên máy chủ riêng của chúng tôi tại Ba Lan. Chúng tôi không công bố địa chỉ IP vì chúng có thể thay đổi. Nếu muốn biết một yêu cầu có thực sự đến từ chúng tôi hay không, hãy viết cho chúng tôi kèm thời điểm và địa chỉ IP trong nhật ký của Quý khách; chúng tôi sẽ cho biết yêu cầu có đến từ chúng tôi hay không. Đối với kiểm tra đối chiếu trước cảnh báo ngừng hoạt động, có thể bổ sung một địa điểm thứ hai tại nhà cung cấp khác; địa điểm đó cũng sử dụng user-agent FormExposedBot.

Cách loại trừ tên miền của Quý khách

robots.txt:

User-agent: FormExposedBot
Disallow: /

Trước tiên, bot tìm trong robots.txt của Quý khách nhóm dành cho FormExposedBot, nếu không có thì tìm nhóm dành cho tất cả (*). Nếu một Disallow áp dụng cho trang chủ, không có kiểm tra nào diễn ra. Nếu máy chủ của Quý khách phản hồi yêu cầu robots.txt bằng lỗi máy chủ hoặc hoàn toàn không phản hồi, chúng tôi cũng không kiểm tra để thận trọng; nếu tệp không tồn tại (404), website được coi là cho phép. Hiện tại, chúng tôi không đánh giá riêng các thư mục con bị chặn – nếu hoàn toàn không muốn được kiểm tra, hãy chặn trang chủ. Các yêu cầu nhẹ không dùng trình duyệt và kiểm tra tiêu đề không đọc robots.txt.

Từ chối tham gia: Nhập tên miền trên trang Loại trừ tên miền của Quý khách. Việc này áp dụng cho tên miền và biến thể www. của nó, không áp dụng cho tên miền phụ khác. Việc loại trừ có hiệu lực vĩnh viễn đối với mọi kiểm tra bắt đầu sau khi nhập, kể cả đối với khách hàng trả phí có tên miền đã xác minh, và bao gồm cả kiểm tra tiêu đề. Giám sát đang chạy trong tài khoản khách hàng kết thúc ở lần kiểm tra đến hạn tiếp theo; cho đến lúc đó, các yêu cầu nhẹ như kiểm tra nhanh biểu mẫu vẫn có thể đến. Nếu muốn các yêu cầu này cũng kết thúc sớm hơn, hãy viết cho chúng tôi.

Bảo vệ dữ liệu

Bên kiểm soát dữ liệu là LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, contact@lukaswojcik.com. Khi khách hàng kiểm tra tên miền của chính mình, chúng tôi hành động thay mặt họ.

• Dữ liệu và nguồn: Chúng tôi chỉ thu thập dữ liệu cá nhân trong phạm vi dữ liệu đó xuất hiện trên các trang được kiểm tra của website Quý khách và hiển thị trong địa chỉ trang, tiêu đề trang, nhãn biểu mẫu hoặc ảnh chụp màn hình, chẳng hạn tên trong thông tin nhà cung cấp hoặc bên cạnh biểu mẫu. Nguồn là website của Quý khách. Chúng tôi không tìm kiếm những dữ liệu đó.
• Mục đích và cơ sở pháp lý: kiểm tra bảo mật biểu mẫu; đối với kiểm tra miễn phí, kiểm tra website khách hàng tiềm năng và nghiên cứu, dựa trên lợi ích chính đáng của chúng tôi và lợi ích của người dùng (Điều 6(1)(f) GDPR).
• Người nhận: người bắt đầu báo cáo hoặc giữ liên kết tới báo cáo – liên kết mở báo cáo mà không cần đăng nhập; đối với tên miền trong tài khoản khách hàng, còn có các đích nhận cảnh báo do khách hàng lựa chọn; từ nghiên cứu, chỉ có số liệu tổng. Không có dịch vụ AI bên ngoài tham gia.
• Thời hạn lưu giữ: báo cáo không có tài khoản 30 ngày, kiểm tra website khách hàng tiềm năng 90 ngày, kiểm tra trong tài khoản khách hàng tối đa 13 tháng, kết quả gần nhất cho mỗi tên miền được giữ chừng nào tên miền còn tồn tại, nghiên cứu được giữ đến khi công bố.
• Quyền của Quý khách: truy cập, chỉnh sửa, xóa, hạn chế và phản đối theo Điều 21 GDPR – nhanh nhất qua cơ chế từ chối tham gia – và quyền khiếu nại tới cơ quan giám sát, đối với chúng tôi là Chủ tịch Văn phòng Bảo vệ Dữ liệu Cá nhân (Prezes Urzędu Ochrony Danych Osobowych) tại Warsaw.

Mọi thông tin khác có trong Chính sách quyền riêng tư. Cách chúng tôi xử lý lạm dụng được nêu trong Sử dụng được chấp nhận và lạm dụng.

Liên hệ

Câu hỏi hoặc khiếu nại: contact@lukaswojcik.com hoặc qua trang liên hệ. Vui lòng nêu tên miền và, nếu có, mã quét hoặc liên kết báo cáo. Vui lòng báo cáo lỗ hổng bảo mật trong chính formexposed qua trang báo cáo lỗ hổng của chúng tôi.