关于 FormExposedBot

最后更新：2026年10月16日

User-agent：FormExposedBot/1.0 (+https://formexposed.com/bot)
robots.txt 中的标识：FormExposedBot

FormExposedBot 是什么

FormExposedBot 是 formexposed 的爬虫。formexposed 检查联系表单是否能够防御自动化垃圾信息并可靠运行。如果您在服务器日志中发现了这个 user-agent，说明有人对您的网站发起了检查：

• formexposed 的访客在免费检查中输入了您的域名——无需账户，只读；
• 客户的账户中添加了您的域名，并声明其运营或维护该网站，或者有人在您的网站上安装了我们的插件；
• 某家代理机构将您的网站作为潜在客户进行只读检查；
• 我们自己为一项研究进行检查，该研究只公布汇总数据，不公布网站名称；
• 有人在我们的免费安全响应头检查中输入了您的首页（仅检查响应头，不使用浏览器）。

应您的要求，我们会告知某次检查属于上述哪种类型；至于由谁发起，仅在数据保护法允许的范围内告知。在此过程中，我们应此人的请求行事；对于客户已提供控制权证明的域名，我们代表该客户行事。

检查过程中会发生什么

• 检查前，爬虫会读取您的 robots.txt（见下文）。
• 它会加载您的首页以及同一主机上最多七个其他页面（带或不带 www.，不含其他子域名），总计最多八个页面。包含联系、法律声明或支持等词语的页面优先。它会跳过登录、账户、购物车和结账页面，以及订阅源、PDF 和图片。
• 它使用启用了 JavaScript 的真实无头浏览器，逐个加载页面，而非并行加载。每个页面最多耗时 20 秒；约三分钟后检查停止。
• 它读取表单：字段名称和类型、标签、必填字段、嵌入的 CAPTCHA、隐藏陷阱、令牌和响应头。在此只读检查期间，它不输入任何内容。
• 对于最多三个包含表单的页面，它会再次加载页面，并在 Cookie 横幅中点击“拒绝”——绝不点击“接受”。由此我们可以看出拒绝后表单是否仍然正常工作。
• 对于最多三个包含表单的页面，它会以手机视图加载页面，但不进行点击。User-agent 保持不变；我们不会伪装成智能手机。
• 它通过规则判断表单类型，在规则不足以判断时，借助在我们自有服务器上运行的语言模型。此过程中没有任何数据离开我们的服务器。

在没有域名控制权证明（见下文）的情况下，FormExposedBot 只获取无需登录即可公开访问的页面，且不提交任何内容。它不会绕过任何访问保护，不会猜测登录凭据，也不会破解 CAPTCHA。超出上述范围的操作——测试提交、搜索暴露文件以及使用测试账户进行登录后检查——仅针对已提供此类证明的域名或 formexposed 自有的测试和演示域名进行。

通过我们网站上的免费检查，同一域名每七天最多检查一次；再次输入该域名的人将看到现有报告。客户可以手动检查其账户中的域名，但需等待一段时间；已提供控制权证明的域名还会按照其套餐规定的频率定期检查，完整检查每天最多一次。不使用浏览器的轻量请求（见下文）则更为频繁。

仅对已验证域名进行测试提交

对于客户，只有在客户证明其有权控制该域名（DNS 记录、meta 标签、文件或插件）后，才会提交内容；没有此类证明时，我们只对自有的测试和演示域名进行主动检查。即便如此：

• 每次检查只针对一个表单，且仅限被可靠识别为一般联系表单的表单；语言模型永远无法批准对某个表单进行提交；
• 每次检查最多五次提交，例如不带 CAPTCHA 响应、填写陷阱字段或篡改令牌；
• 绝不针对订购、预订、登录、注册、新闻通讯、支持、付款或上传表单，绝不针对电话、邮寄地址或公司信息为必填字段的表单，绝不针对我们根据域名或页面标题识别为公共机关、法院、大学、学校或医疗卫生机构的网站。

爬虫根据页面特征识别表单类型和网站类型；在个别情况下，这种识别可能有误。上述列表描述的是爬虫的设计方式，并非保证。如果您不希望进行测试提交，请排除该域名（见下文）：此后将不会启动任何可能提交内容的检查。

每次提交都带有标识。发件人名称为“FormExposed Security Scanner”，发件人地址为 dummy@formexposed.com，主题为“[formexposed.com] Automated security test — no action required”。正文使用您页面的语言（德语、英语或波兰语）；英文版本如下：

This message was sent by an automated testing service to check whether this form sends e-mail without bot protection. No data was stored and no action is required.
Details: https://formexposed.com/bot
Permanently exclude this domain: https://formexposed.com/opt-out
Scan ID: …

其中“No data was stored”（未存储任何数据）这句话说得过于宽泛。准确的说法是：在此过程中，我们不存储您网站访客的任何数据，也不存储您邮箱中的任何内容。但为了评估测试结果，我们确实会存储您的服务器对提交的响应，即状态码、响应页面的前 300 个字符以及该页面的截图（参见“存储哪些数据”）。

爬虫会用“FormExposed security test”填写其他必填字段。它会勾选不勾选就无法提交表单的复选框，例如同意复选框。该标识表明其背后没有任何真人，也不代表任何人作出的声明。

邮件标头注入检查只插入一个无害的邮件标头 X-FormExposed-Injection-Test，绝不插入收件人。地址验证检查使用 .invalid 下的地址，此类地址不可能存在。

为客户提供的其他请求

对于客户账户中已验证的域名，应客户要求还会增加以下请求：

• 浏览器操作流程：浏览器（Chromium 或 WebKit）以手机尺寸打开客户选定的表单页面，检查表单是否显示，以及能否操作至提交按钮；为此，它会用不离开浏览器的测试值填写必填字段。它只发送 GET 和 HEAD 请求；提交在技术上被阻止。
• 登录后扫描：仅使用网站运营者自行创建的测试账户，最多五个页面，不提交内容，不截图，绝不访问注销、删除或取消地址。如果登录页面带有 CAPTCHA，爬虫即停止。
• 不使用浏览器的轻量请求：表单脉搏检查（最多三个表单页面，根据套餐每 10、15 或 30 分钟一次）、控制权证明检查、安全响应头检查以及暴露文件搜索。它们使用相同的 user-agent，并附加后缀，例如 pulse、ownership-verification、headers 或 exposed-files。

此外，任何人都可以通过我们的免费安全响应头检查获取您首页的响应头：分别通过 https 和 http 向您的首页发送一次请求，外加您域名内的任何重定向，不使用浏览器，也不涉及表单。

存储哪些数据

只存储描述检查结果所需的内容：所检查页面的地址和标题、表单结构（字段名称、类型、标签等，不含字段值；预填隐藏字段的前 24 个字符以及 data- 属性的前 60 个字符仅在检查期间由爬虫读取，不予存储）、检测到的防护措施、响应头、嵌入服务的主机、脚本的校验和（不含脚本内容；对于嵌入式脚本，还存储前 80 个字符，其中的标识符已作不可识别处理）、所设置 Cookie 的名称、首页和表单可见区域的截图，以及测试提交后响应页面的截图；对于该响应，还存储状态码和前 300 个字符。检查中的这些截图未经遮盖处理；它们显示的是公开页面上可见的内容。只有浏览器操作流程会生成一张输入字段被遮盖的表单小图。如果表单包含收件人地址，我们只存储其域名。

请求从何处发出

FormExposedBot 运行在我们位于波兰的自有服务器上。由于 IP 地址可能变化，我们不公布这些地址。如果您想确认某个请求是否确实来自我们，请将日志中的时间和 IP 地址发给我们；我们会告诉您该请求是否来自我们。在发出宕机提醒前进行交叉核对时，可能会增加另一家提供商的第二个地点；该地点同样使用 FormExposedBot user-agent。

如何排除您的域名

robots.txt：

User-agent: FormExposedBot
Disallow: /

爬虫首先在您的 robots.txt 中查找针对 FormExposedBot 的组，否则查找针对所有爬虫（*）的组。如果某条 Disallow 涵盖首页，则不进行检查。如果您的服务器对 robots.txt 请求返回服务器错误或根本不响应，出于谨慎我们也不进行检查；如果该文件不存在（404），则视为允许检查该网站。我们目前不单独评估被屏蔽的个别子目录——如果您完全不希望被检查，请屏蔽首页。不使用浏览器的轻量请求和安全响应头检查不读取 robots.txt。

退出申请：请在排除您的域名页面输入您的域名。该设置适用于该域名及其 www. 变体，不适用于其他子域名。它对登记之后启动的每次检查永久生效，也适用于拥有已验证域名的付费客户，并且同样涵盖安全响应头检查。客户账户中正在进行的监控将在下一次到期的检查时结束；在此之前，表单脉搏检查等轻量请求仍可能发生。如果您希望这些请求也更早结束，请给我们写信。

数据保护

控制者为 LW IT Solutions Company Lukas Wójcik，al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland，contact@lukaswojcik.com。当客户检查其自有域名时，我们代表该客户行事。

• 数据及来源：我们仅在个人数据出现在您网站被检查的页面上，并在页面地址、页面标题、表单标签或截图中可见时才收集这些数据，例如法律声明中或表单旁边的姓名。来源是您的网站。我们不会主动搜索此类数据。
• 目的及法律依据：对表单进行安全检查；对于免费检查、潜在客户检查和研究，依据是我们的合法利益以及我们用户的利益（GDPR 第 6 条第 1 款 (f) 项）。
• 接收者：发起报告的人或持有报告链接的人——通过该链接无需登录即可打开报告；对于客户账户中的域名，还包括客户所选的提醒目标；研究中仅提供汇总数据。不涉及任何外部 AI 服务。
• 存储期限：无账户的报告 30 天，潜在客户检查 90 天，客户账户中的检查最长 13 个月，每个域名的最新结果在该域名存在期间一直保留，研究数据保留至发布为止。
• 您的权利：访问、更正、删除、限制处理以及根据 GDPR 第 21 条提出反对——最快捷的方式是通过退出申请——以及向监管机构投诉的权利；对我们而言，监管机构为位于华沙的个人数据保护局局长（Prezes Urzędu Ochrony Danych Osobowych）。

其他所有内容请参阅隐私政策。我们如何处理滥用行为，请参阅可接受使用与滥用。

联系方式

如有疑问或投诉：contact@lukaswojcik.com 或通过联系页面。请注明您的域名，如有可能，请提供扫描 ID 或报告链接。如需报告 formexposed 本身的安全漏洞，请通过我们的漏洞报告页面提交。