¿Quién más está leyendo? Scripts de terceros en páginas de formularios

Cuando alguien llena su formulario de contacto, supone que el mensaje le llega a usted. Sin embargo, en muchos sitios la página del formulario también ejecuta scripts de proveedores de analítica, redes publicitarias, proveedores de chat y todo lo que un gestor de etiquetas ha acumulado durante años. Cada uno de esos scripts se ejecuta con los mismos permisos que su propio código: puede leer la página, observar los campos de entrada y enviar datos a sus propios servidores. Eso no significa que todos lo hagan. Pero en la página donde los visitantes escriben su nombre, correo electrónico y, a veces, detalles sobre su salud, dinero o problemas jurídicos, usted debería saber quién más está leyendo.

Los sospechosos habituales

• Las herramientas de reproducción de sesiones registran clics, desplazamientos y, a menudo, pulsaciones de teclas para poder reproducir una visita más adelante. Si los campos no están enmascarados, esto puede incluir lo que las personas escriben en el formulario.
• Los píxeles publicitarios y de analítica informan a terceros de las visitas y conversiones, tanto en la propia página del formulario como, muy a menudo, en la página de agradecimiento.
• Los widgets de chat cargan una aplicación completa desde otro dominio, normalmente en cada página, incluida la que contiene el formulario.
• Los gestores de etiquetas permiten al área de marketing agregar scripts sin un despliegue. Es cómodo, pero también significa que puede llegar código a la página del formulario sin que nadie lo revise.
• Las herramientas auxiliares más pequeñas —pruebas A/B, mapas de calor, contenido de redes sociales incrustado, fuentes y mapas— agregan cada una un host que recibe, como mínimo, la dirección IP del visitante y normalmente la dirección de su sitio; las que son scripts también pueden leer la URL completa de la página.

Reproducción de sesiones: una grabadora junto al campo de entrada

La mayoría de las herramientas de reproducción ofrece opciones para enmascarar campos de entrada o excluir áreas completas, y algunas enmascaran ciertos campos de forma predeterminada. Los puntos débiles son las excepciones: un campo de mensaje de texto libre que la configuración predeterminada no cubre, un formulario construido con componentes que las reglas de enmascaramiento no reconocen o una opción que alguien desactivó durante una depuración y nunca volvió a activar. Una grabación almacenada con un tercero puede entonces contener exactamente lo que el visitante le escribió, algo que no esperaba y que quizá ni siquiera mencione su política de privacidad, la cual debe nombrar, conforme al Art. 13 del RGPD, a los destinatarios o categorías de destinatarios de los datos personales.

Los píxeles y la página de agradecimiento

El seguimiento de conversiones necesita una señal de que se envió un formulario, y la página de agradecimiento es el lugar evidente para activarla. La mayoría de los píxeles envía la dirección completa de la página con cada evento. Si el formulario envía mediante GET o la redirección después del envío agrega valores como ?name=…&email=… a la URL, esos valores van directamente al proveedor de publicidad o analítica. Algunos píxeles también ofrecen funciones que recopilan automáticamente direcciones de correo o números de teléfono de los formularios para mejorar la correspondencia. Y si el píxel se activa antes de que el visitante responda al banner de cookies o después de que las rechace, el problema deja de ser únicamente técnico.

Gestores de etiquetas, consentimiento y cadena de suministro

Los gestores de etiquetas suelen ser el punto donde se pierde la visión de conjunto. Una etiqueta de campaña para una feria de hace dos años, una prueba de una herramienta de mapas de calor o un píxel de una red que ya nadie usa: todo puede seguir cargándose en cada página, incluida la del formulario. Con frecuencia, los activadores están configurados para «todas las páginas» y las reglas de consentimiento se definen etiqueta por etiqueta, por lo que basta una etiqueta a la que le falte una condición para cargar un script antes de que el visitante haya aceptado.

También está la cadena de suministro. Cuando incrusta un script de otro host, confía en quien controla ese host hoy y en el futuro. Un proveedor puede cambiar lo que hace su script, ser vendido o sufrir un ataque a su infraestructura de distribución. El navegador no distingue un script legítimo de uno manipulado, por lo que un código inyectado en la página de un formulario puede leer todos los campos y enviarlos a cualquier destino: el mismo patrón usado para robar datos en las páginas de pago.

Qué puede hacer

1. 1Haga un inventario. Abra cada página de formulario y su página de agradecimiento con las herramientas de desarrollador del navegador, revise la pestaña Red y enumere todos los hosts externos. Hágalo una vez sin consentimiento y otra después de aceptar el banner.
2. 2Elimine lo que nadie necesita. Las etiquetas sin un responsable y una finalidad claros son candidatas a eliminarse. Limite los activadores del gestor de etiquetas para que solo se ejecuten en las páginas de formularios las etiquetas que deban hacerlo.
3. 3Enmascare las entradas en las herramientas de reproducción. Enmascare todos los campos de entrada, no solo las contraseñas, y excluya por completo el área del formulario si es posible. Después vea una grabación para comprobar qué se almacenó realmente.
4. 4Envíe conversiones sin datos personales. Envíe mediante POST, mantenga los valores del formulario fuera de las URL de redirección y active un evento neutral como «contact_form_sent». Desactive la recopilación automática de campos de formularios en los píxeles.
5. 5Cargue solo después del consentimiento. Los scripts que necesitan consentimiento no deben cargarse antes de que el visitante acepte y deben seguir desactivados si lo rechaza. Pruebe ambos recorridos.
6. 6Fije versiones y restrinja cuando sea posible. La integridad de subrecursos (un hash en la etiqueta del script) hace que el navegador rechace un archivo estático que haya cambiado; no es adecuada para scripts que cambian por diseño, como los gestores de etiquetas. Una política de seguridad de contenido limita qué hosts pueden ejecutar scripts: empiece en modo report-only para ver qué dejaría de funcionar.
7. 7Vigile los cambios. Un nuevo host de scripts en la página de un formulario debería ser una decisión deliberada, no una sorpresa. Asegúrese de recibir una notificación cuando aparezca uno.

formexposed verifica qué píxeles de seguimiento se activan en las páginas de sus formularios, si una herramienta de reproducción de sesiones podría registrar las entradas y si rechazar el banner de cookies realmente detiene el seguimiento, de forma pasiva y sin enviar nada. Una verificación gratuita muestra el nivel general; estos hallazgos están en el informe completo. Con el monitoreo de un dominio verificado, formexposed también le avisa cuando aparece un nuevo host de scripts en una página de formulario.