Qui més ho llegeix? Scripts de tercers a les pàgines de formularis

Quan algú emplena el seu formulari de contacte, dona per fet que el missatge li arriba a vostè. En molts llocs, però, la pàgina del formulari també executa scripts de proveïdors d'analítica, xarxes publicitàries, proveïdors de xat i tot el que un gestor d'etiquetes ha anat acumulant amb els anys. Cadascun d'aquests scripts s'executa amb els mateixos drets que el seu codi: pot llegir la pàgina, observar els camps d'entrada i enviar dades als seus servidors. Això no vol dir que tots ho facin. Però a la pàgina on els visitants escriuen el nom, l'adreça de correu electrònic i, de vegades, detalls sobre la seva salut, els diners o problemes jurídics, hauria de saber qui més ho està llegint.

Els sospitosos habituals

• Les eines d'enregistrament i reproducció de sessions enregistren els clics, el desplaçament i sovint les pulsacions de tecles per poder reproduir una visita més endavant. Si els camps no estan emmascarats, això pot incloure el que les persones escriuen al formulari.
• Els píxels publicitaris i d'analítica comuniquen les visualitzacions de pàgina i les conversions a tercers, tant a la pàgina del formulari mateix com, molt sovint, a la pàgina d'agraïment.
• Els ginys de xat carreguen una aplicació completa des d'un altre domini, normalment a totes les pàgines, inclosa la que conté el formulari.
• Els gestors d'etiquetes permeten que màrqueting afegeixi scripts sense un desplegament. És pràctic, però també vol dir que el codi pot arribar a la pàgina del formulari sense que ningú el revisi.
• Els petits complements —proves A/B, mapes de calor, contingut social incrustat, fonts, mapes— afegeixen cadascun un servidor que rep almenys l'adreça IP del visitant i, normalment, l'adreça del seu lloc web; els scripts que hi ha entre aquests complements també poden llegir l'URL completa de la pàgina.

Enregistrament de sessions: una gravadora al costat del camp d'entrada

La majoria d'eines de reproducció ofereixen opcions per emmascarar els camps d'entrada o excloure àrees senceres, i algunes emmascaren determinats camps per defecte. Els punts febles són les excepcions: un camp de missatge de text lliure que la configuració per defecte no cobreix, un formulari construït amb components que les regles d'emmascarament no reconeixen o una opció que algú va desactivar durant la depuració i mai no va tornar a activar. Aleshores, una gravació emmagatzemada per un tercer pot contenir exactament el que el visitant li va escriure: una cosa que no s'esperava i que la seva política de privacitat potser no esmenta gens, tot i que l'Art. 13 del RGPD exigeix identificar els destinataris o les categories de destinataris de les dades personals.

Els píxels i la pàgina d'agraïment

El seguiment de conversions necessita un senyal que indiqui que s'ha enviat un formulari, i la pàgina d'agraïment és el lloc evident per activar-lo. La majoria de píxels envien l'adreça completa de la pàgina amb cada esdeveniment. Si el formulari envia les dades mitjançant GET o la redirecció després de l'enviament afegeix valors com ?name=…&email=… a l'URL, aquests valors van directament al proveïdor de publicitat o d'analítica. Alguns píxels també ofereixen funcions que recullen automàticament adreces de correu electrònic o números de telèfon dels formularis per millorar la correspondència. I si el píxel s'activa abans que el visitant hagi respost al bàner de galetes, o després que les hagi rebutjat, el problema ja no és només tècnic.

Gestors d'etiquetes, consentiment i cadena de subministrament

Els gestors d'etiquetes sovint són el punt on es perd la visió de conjunt. Una etiqueta de campanya per a una fira de fa dos anys, una prova d'una eina de mapes de calor, un píxel d'una xarxa que ja no utilitza ningú: tot això pot continuar carregant-se a totes les pàgines, inclosa la del formulari. Els activadors sovint es configuren per a «totes les pàgines» i les regles de consentiment es configuren etiqueta per etiqueta; per tant, n'hi ha prou que falti una condició en una etiqueta perquè es carregui un script abans que el visitant hagi donat el consentiment.

Després hi ha la cadena de subministrament. Quan incrusta un script d'un altre servidor, confia en qui controla aquell servidor avui i en el futur. Un proveïdor pot canviar el que fa el seu script, ser venut o patir una intrusió a la infraestructura de distribució. El navegador no pot distingir un script legítim d'un de manipulat; per tant, el codi injectat a la pàgina d'un formulari pot llegir tots els camps i enviar-los a qualsevol lloc: el mateix patró que s'utilitza per al robatori de dades a les pàgines de pagament.

Què pot fer

1. 1Faci inventari. Obri cada pàgina de formulari i la seva pàgina d'agraïment amb les eines de desenvolupament del navegador, comprovi la pestanya de xarxa i enumeri tots els servidors externs. Faci-ho una vegada sense consentiment i una altra després d'acceptar el bàner.
2. 2Elimini el que ningú no necessita. Les etiquetes sense un responsable i una finalitat clars són candidates a ser eliminades. Limiti els activadors del gestor d'etiquetes perquè a les pàgines de formularis només s'hi executin les etiquetes necessàries.
3. 3Emmascari les entrades a les eines de reproducció. Emmascari tots els camps d'entrada, no només les contrasenyes, i exclogui tota l'àrea del formulari si pot. Després miri una gravació per veure què s'ha emmagatzemat realment.
4. 4Enviï les conversions sense dades personals. Enviï mitjançant POST, mantingui els valors del formulari fora dels URL de redirecció i activi un esdeveniment neutre com «contact_form_sent». Desactivi la recollida automàtica de camps de formulari als píxels.
5. 5Carregui només després del consentiment. Els scripts que necessiten consentiment no s'han de carregar abans que el visitant l'hagi donat, i han de continuar desactivats si el rebutja. Provi tots dos recorreguts.
6. 6Fixi les versions i restringeixi quan sigui viable. Subresource Integrity (un hash a l'etiqueta de l'script) fa que el navegador rebutgi un fitxer estàtic que ha canviat; no és adequat per a scripts que canvien per disseny, com els gestors d'etiquetes. Una Content Security Policy limita quins servidors poden executar scripts; comenci en mode de només informe per veure què deixaria de funcionar.
7. 7Vigili els canvis. L'aparició d'un servidor de scripts nou a una pàgina de formulari hauria de ser una decisió deliberada, no una sorpresa. Asseguri's de rebre un avís quan n'aparegui un.

formexposed comprova quins píxels de seguiment s'activen a les pàgines dels seus formularis, si una eina d'enregistrament i reproducció de sessions pot enregistrar les dades introduïdes al formulari i si rebutjar el bàner de galetes realment atura el seguiment; ho fa passivament, sense enviar res. Una comprovació gratuïta mostra el nivell general; aquests resultats són a l'informe complet. Amb la supervisió d'un domini verificat, formexposed també l'avisa quan apareix un servidor de scripts nou a una pàgina de formulari.