可接受使用与滥用

本文件以多种语言发布。如各语言版本存在差异，以波兰语版本为准。

版本 1.0 · 最后更新：2026年十月16日

formexposed 会查看第三方网站，并在已验证的域名上向联系表单发送测试提交。这样的工具也可能被用来对付他人。本页说明 formexposed 的用途、禁止事项、我们如何从技术上限制滥用，以及有人违反规则时会发生什么。本页适用于所有使用 formexposed 的人：既包括拥有账户的客户，也包括在无账户情况下使用免费检查的访客。

提供者为 LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland。对于客户，本页是合同的一部分：服务条款将其列为合同文件之一。对于免费检查和其他可自由访问的工具，本页作为服务条款为这些工具所规定规则的一部分而适用。如本页与服务条款相冲突，以服务条款为准。示例（“例如”“比如”）用于说明某项规则，既不扩大也不限制该规则。

1. formexposed 的用途

formexposed 检查联系表单是否能够抵御自动化垃圾信息、是否可靠运行以及是否谨慎处理数据。特别允许以下用途：

• 检查和监控您自己的网站或客户的网站，并利用检查结果加强其安全性；
• 在无账户的情况下使用免费检查，以只读方式初步了解任何可公开访问的网站——即访客所看到的样子；
• 作为使用 Business 套餐的代理机构，对潜在客户的网站进行被动检查，并以合法方式将发现提供给网站运营者（见第3.5节）；
• 与负责或维护该网站的人员共享报告；
• 在其文档和限制范围内使用 API、插件和扩展；
• 在徽章所颁发的域名上展示该徽章。

衡量标准很简单：formexposed 旨在帮助网站运营者保护他们自己的表单。任何损害未表示同意的第三方的行为都不在此列。

2. formexposed 刻意不具备的能力

为了使本服务无法被用作攻击工具，我们对其进行了限制。这些限制适用于所有用户，用户无法解除：

• 未证明对某个域名的控制权，就不会向该域名提交任何内容；唯一的例外是 formexposed 自己的测试和演示域名，由我们在内部进行检查。免费检查、潜在客户检查以及我们的研究仅读取访客所能看到的内容。
• 即使在已验证的域名上，我们也只向已识别出的一般联系表单提交，每次检查最多五次带有标记的测试提交。我们绝不会提交订单、预订、登录、注册、新闻通讯订阅、支持、付款或上传表单，也不会提交要求填写电话号码或邮寄地址等必填信息的表单，或我们根据域名或页面标题识别为公共机关、法院、大学、学校或医疗机构的网站上的表单。
• 邮件标头注入检查纯粹是检查：测试值中绝不包含真实收件人。电子邮件验证检查仅使用以 .invalid 结尾、不可能存在的地址。
• 我们不破解 CAPTCHA。在已验证的域名上，我们只检查表单是否接受不带 CAPTCHA 令牌或带有伪造令牌的提交。如果用于登录后扫描的登录表单带有 CAPTCHA，检查将停止。
• 爬虫只通过常用的 Web 端口请求公开地址。内部网络、本地地址和其他端口均被屏蔽，重定向和嵌入内容也是如此。
• 对暴露文件（例如被遗忘的配置文件）的搜索仅针对已验证的域名进行，因为在第三方网站上请求此类路径即构成攻击。

这些限制描述的是本服务的构建方式。扫描器根据字段名称、标签、域名和页面标题等页面特征来识别表单是否为一般联系表单，以及网站是否属于所列机构之一；在个别情况下，这种识别可能出错。因此，上述描述并不构成向客户或第三方作出的、某个表单永远不会被涉及的保证。不希望其网站被检查的人可以通过域名排除（opt-out）将其排除（第6.1节）。

3. 禁止事项

3.1 探测或攻击第三方网站

• 利用 formexposed 查找第三方网站的漏洞，进而对其进行攻击、使其过载或加以利用——例如故意用垃圾信息淹没未受保护的表单。
• 将第三方网站的检查结果、报告或截图转交给意图利用其发动攻击的人。
• 针对其运营者已明确排除本服务的网站使用本服务，例如改用该域名的其他拼写形式。

未经授权刺探或攻击第三方系统的人，还可能构成刑事犯罪（例如在波兰依据《波兰刑法典》（Kodeks karny）第267条至第269b条，在德国例如依据德国刑法典 StGB 第202a条至第202d条及第303b条）。信息来自 formexposed 报告这一事实不会改变这一点。

3.2 规避限制和安全措施

• 规避免费检查的限制，例如通过大量浏览器会话、更换 IP 地址、代理、VPN 链或多个账户。
• 以自动化方式调用免费检查、安全响应头检查或域名排除（opt-out）表单。自动化应使用 API。
• 规避我们自有表单的 reCAPTCHA、时间检查和其他防护措施。
• 通过将使用量分散到多个免费账户来规避套餐限制。

3.3 以欺骗手段获取验证

• 验证一个您既不是运营者、也未受运营者委托的域名——即使您在技术上拥有 DNS、服务器或 CMS 的访问权限，例如作为前服务提供商、托管服务商或员工。
• 通过第三方内容提供证明，例如通过第三方网站上任何人都可以写入的评论功能或上传区域。
• 在授权结束后仍将域名保留在账户中。委托关系结束时，客户应删除该域名。

验证是进入主动检查的大门。以欺骗手段获取验证的人，会让 formexposed 向第三方表单进行提交——这是本服务所能被滥用的最严重方式，我们也会以相应的严肃态度对待。

3.4 滥用测试提交

• 将测试提交用作垃圾信息或通知渠道，例如为了用测试邮件骚扰某个域名的收件人而验证该域名。
• 以骚扰表单邮件收件人而非检查表单为目的，触发对某个域名的检查，尤其是手动检查。
• 在某个域名上设置测试提交，却未确保在该处接收和处理表单邮件的人员（例如销售团队）知道可能会收到带有标记的测试提交。

3.5 将潜在客户检查用于未经请求的广告

潜在客户检查允许代理机构对潜在客户的网站进行被动检查。我们不会联系网站运营者；链接由代理机构自行转交。如何转交是代理机构自己的事务，也由其自行负责。禁止将发现项用于法律规定须事先取得同意的广告。这尤其包括：

• 向未表示同意的公司或个人发送包含发现项的未经请求的电子邮件（在波兰依据《波兰电子通信法》（Prawo komunikacji elektronicznej，PKE）第398条；在德国依据德国《反不正当竞争法》UWG 第7条——在这两个国家，这也适用于企业）；
• 未经请求的广告电话，只要适用法律要求对此取得同意；
• 利用发现项施加压力、制造恐慌或营造 formexposed 受公共机关或网站运营者委托检查该网站的印象的消息。

以下做法仍然允许：在运营者主动要求的谈话中向其展示发现项；如果运营者已同意接收，或者适用于该联系方式的法律明确允许在未经同意的情况下发送，则可以将发现项发送给运营者。是否属于这种情况由代理机构自行核查；代理机构在其他事务上与该运营者有合作这一事实本身并不足够。

3.6 滥用报告、API、插件和徽章

• 系统性地收集报告、猜测或试探报告地址，或大量获取报告，以积累关于第三方网站的数据。
• 公开第三方网站的报告，以使其运营者难堪。
• 转交 API 密钥、插件连接密钥或登录凭据，规避 API 的限制，或将其用于第三方域名。
• 修改或仿冒徽章、将其展示在非颁发对象的域名上，或利用它声称获得了 formexposed 并未授予的认证。只有当域名已验证、监控正在运行且最近一次检查为近期且结果良好时，徽章才会显示“已防护”；否则显示中性的“联系表单检查”。自制的、表达相同含义的图形会误导访客。
• 为登录后扫描存储并非专门创建为测试账户的账户凭据，或存储第三方网站的凭据。

4. formexposed 如何防范和发现滥用

以下措施已在代码中实现。我们不公开具体阈值，因为这些阈值会变化，而且公开会使滥用更加容易。

4.1 免费检查

• 紧急开关。我们可以随时暂停免费检查。域名排除（opt-out）不受影响，在暂停期间同样有效。
• 检查、安全响应头检查和域名排除（opt-out）均使用 reCAPTCHA，每个表单设有单独的阈值，此外这些表单中还设有陷阱和时间检查。
• 按 IP 地址、按会话和按天的限制。已接受的检查会被计数。总体每日上限可防范集中涌入。
• 来自同一地址的大量域名。在短时间内从同一个 IP 地址尝试检查大量不同域名的人会被封锁。此处每次尝试都会计数，包括被拒绝的尝试：这正是有人利用 formexposed 刺探第三方网站的典型模式。
• 每个域名每周一次。在一周内再次输入同一域名的人会看到已有的报告；该域名不会被再次检查。
• 注册时间很短的域名以及无法确定注册时间的域名，在无账户的情况下不予检查。这类域名常被注册用于欺诈。
• 仅限公开目标。指向内部或保留地址的名称会被拒绝——在任务开始前拒绝一次，并在爬虫的每一次请求时再次拒绝。

4.2 监控

我们会将可疑模式——来自同一地址的大量域名、几分钟内的大量请求、同一会话中的大量被拒绝尝试、来自同一国家的集中域名排除（opt-out）、达到每日上限——记录为异常。新的异常会向我们触发一条通知，其中不含域名和 IP 地址；我们只能在管理区域中查看详细信息。我们为此存储哪些数据以及存储多长时间，载于隐私政策。

4.3 验证作为大门

对于客户，主动检查、监控、登录后扫描、浏览器操作流程以及暴露文件搜索，仅针对已提供控制权证明的域名运行：证明方式为 DNS 记录、meta 标签、服务器上的文件或通过插件。每次任务开始前，扫描器都会再次自行核查该域名是否被归类为已验证；如果不是，主动检查会降级为只读检查，浏览器操作流程也不会执行。主动检查还可以对整个服务关闭。

4.4 测试提交

每次测试提交都带有标记：发件人名称为“FormExposed Security Scanner”，主题为“[formexposed.com] Automated security test — no action required”，正文中附有指向FormExposedBot 说明页面和域名排除（opt-out）的链接以及扫描 ID。语言取决于目标页面（德语、英语或波兰语）。每次检查中，单个表单最多收到五次提交。达到此数量后，扫描器即停止。其他必填字段由扫描器填入“FormExposed security test”；不勾选就无法提交表单的复选框（例如同意复选框）也会被勾选。这些标记表明其背后既没有真人，也没有任何人的意思表示。

4.5 爬虫

FormExposedBot 使用自己的用户代理（user-agent）标识自身，在每次检查前读取 robots.txt，如果针对它或针对所有程序的 Disallow 涵盖了首页，则不进行检查；目前它不会逐一遵守被屏蔽的子路径。不使用浏览器的轻量请求（例如表单脉搏检查或安全响应头检查）不读取 robots.txt。它不检查我们排除列表（opt-out）中的域名及其 www 变体，即使是代表拥有已验证域名的付费客户也不例外；对这些域名正在进行的监控将在下一次到期的检查时结束。详情请参阅FormExposedBot 说明页面。

5. 违规的后果

我们会采取相称的应对措施：我们选择能够制止违规、并防止对第三方和服务造成进一步损害的最温和措施，将其限于受影响的账户、域名或功能，并在理由不复存在时立即解除。可能的措施包括：

• 中止个别检查，并暂时封锁 IP 地址或会话；
• 从账户中移除某个域名、撤销其验证或将其列入排除列表；
• 封锁个别功能，例如主动检查、潜在客户检查、API 或徽章；
• 按照服务条款的规定，封锁账户并因重大事由终止合同；
• 依据法律规定要求损害赔偿，并在法律允许的范围内，在有具体迹象表明存在刑事犯罪或针对第三方的攻击时，通知受影响的网站运营者、执法机关或 CERT Polska。

免费检查和我们自有表单的自动限制（第4.1节）并非针对特定个人的措施。它们按照固定规则适用于所有人，并在相应期间届满时或在我们解决异常后立即结束。

事先听取意见。在我们封锁客户的账户、域名或功能，从其账户中移除域名、撤销其验证或终止合同之前，我们会以文本形式告知客户我们对其哪些行为提出异议、我们依据的是本页或服务条款中的哪项规则，以及我们正在考虑采取何种措施。客户可以在七天内发表意见或纠正违规行为；此后我们才作出决定。因重大事由终止合同之前，改为适用服务条款为此规定的更长纠正期限；因未付款而进行的封锁仅受服务条款管辖。

紧急情况。只有在等待会严重危及第三方或服务时，我们才会不经事先听取意见而采取行动，尤其是在有具体迹象表明验证系以欺骗手段获取、违背网站运营者已表明的意愿进行检查或测试提交、通过本服务攻击第三方、收到表明客户门户或白标报告中的内容严重违法的通知，或者主管机关、法院或法律有此要求时。在这种情况下，我们首先将措施限于受影响的域名、功能或内容，在不妨碍措施目的且法律不禁止的范围内，及时（最迟在下一个工作日）以文本形式告知客户并说明理由，并在事后听取意见。

异议。任何认为某项措施不合理的人（包括没有账户的人）都可以通过 contact@lukaswojcik.com 以文本形式提出异议。我们会审查异议，并在14天内答复并说明理由；如果异议成立，我们将立即解除该措施。投诉中的程序以及诉诸法院的途径仍然可用。如果我们在收到违法内容通知后限制了客户的内容，我们还将依据欧盟第2022/2065号条例（《数字服务法》，DSA）第17条提供理由说明，并列明上述救济途径。封锁是否影响付款义务，以及何时可以因重大事由终止合同，由服务条款规定。

6. 如果您受到影响

6.1 您不希望 formexposed 检查您的网站

请在排除您的域名页面输入您的域名，或在您的 robots.txt 中针对首页屏蔽 FormExposedBot。这两种方式都无需联系我们，并对此后开始的每一次检查生效。客户账户中正在进行的监控将在下一次到期的检查时结束；在此之前，仍可能出现表单脉搏检查等轻量请求，而这些轻量请求不读取 robots.txt。如果您希望这些请求也尽快停止，请另外写信给我们。具体排除哪些内容，请参阅域名排除（opt-out）页面上的说明。

6.2 您收到了意料之外的测试提交

测试提交只会发送到客户已提供控制权证明的域名，以及 formexposed 自己的测试和演示域名。测试提交由该客户发起。如果这不是您安排的，可能是您的代理机构、托管服务商或同事添加了该域名——也可能是有人以欺骗手段获取了验证。阻止后续测试提交最快的方式是您自己通过域名排除（opt-out）进行操作：测试提交只会在检查期间发生，而登记之后，该域名不会再开始任何检查。同时，请写信至 contact@lukaswojcik.com，并注明消息中的扫描 ID。我们会核查是谁验证了该域名；如果您尚未将该域名列入排除列表，我们会在查明情况之前将其列入，并要求该客户证明其授权。我们只会在数据保护法允许的范围内告诉您是谁进行了验证。

6.3 您怀疑有人利用 formexposed 针对您

请写信至 contact@lukaswojcik.com，最好附上时间、域名以及——来自您服务器日志的——带有 FormExposedBot 用户代理的请求。您也可以通过联系页面与我们联系。我们会确认收到，并告诉您我们采取了哪些措施。您也可以通过同样的方式举报客户门户或白标报告中的违法内容；依据 DSA 第16条提交的此类通知应包含哪些内容，载于法律声明。我们依据 DSA 第11条和第12条设立的联络点也列于该页。

6.4 您在 formexposed 本身发现了安全漏洞

请通过我们的漏洞报告页面（也可通过 /.well-known/security.txt 访问）进行报告。该页面说明了我们如何处理报告以及我们对研究人员的承诺。在此过程中，请勿在第三方网站上进行测试，包括通过 formexposed 进行测试。

7. 与主管机关的合作

在涉及滥用本服务或攻击第三方的情况下，我们会与执法机关、监管机构以及 CERT Polska 等机构合作。只有在存在法律依据、提出请求的机构具有管辖权且请求符合规定形式时，我们才会移交数据。我们会逐一审查每项请求，只移交请求实际所需的内容。除非法律或主管机关禁止，我们会通知受影响的客户。

我们不会为了能够向主管机关提供信息而存储超出运营和滥用防范所必需的数据。在隐私政策所述期限届满后已删除的数据，我们也无法移交。

8. 变更

当服务或滥用模式发生变化时，我们会更新本页。对于客户，适用服务条款中关于变更的规定；新的禁止事项和更严厉的后果只有在完成该程序后才对客户适用。我们根据行为发生时适用的版本来评估行为。关于本页的问题：contact@lukaswojcik.com。