¿Quién más está leyendo? Scripts de terceros en las páginas de formularios

Cuando alguien rellena su formulario de contacto, da por hecho que el mensaje le llega a usted. Sin embargo, en muchos sitios la página del formulario también ejecuta scripts de proveedores de analítica, redes publicitarias, proveedores de chat y todo lo que un gestor de etiquetas ha ido acumulando a lo largo de los años. Cada uno de estos scripts se ejecuta con los mismos derechos que su propio código: puede leer la página, observar los campos de entrada y enviar datos a sus propios servidores. Eso no significa que todos lo hagan. Pero en la página en la que los visitantes escriben su nombre, su dirección de correo electrónico y a veces detalles sobre su salud, su dinero o sus problemas legales, debería saber quién está leyendo.

Los sospechosos habituales

• Las herramientas de grabación de sesiones registran clics, desplazamientos y a menudo pulsaciones de teclas para poder reproducir una visita más tarde. Si los campos no están enmascarados, eso puede incluir lo que la gente escribe en el formulario.
• Los píxeles publicitarios y de analítica comunican páginas vistas y conversiones a terceros, en la propia página del formulario y muy a menudo en la página de agradecimiento.
• Los widgets de chat cargan una aplicación completa desde otro dominio, normalmente en todas las páginas, incluida la del formulario.
• Los gestores de etiquetas permiten al equipo de marketing añadir scripts sin un despliegue. Es cómodo, pero también significa que puede llegar código a la página del formulario sin que nadie lo revise.
• Los ayudantes más pequeños (pruebas A/B, mapas de calor, contenidos integrados de redes sociales, fuentes, mapas) añaden cada uno un host que recibe al menos la dirección IP del visitante y normalmente la dirección de su sitio; los scripts entre ellos también pueden leer la URL completa de la página.

Grabación de sesiones: una grabadora junto al campo de entrada

La mayoría de las herramientas de grabación ofrecen ajustes para enmascarar los campos de entrada o excluir zonas enteras, y algunas enmascaran determinados campos por defecto. Los puntos débiles son las excepciones: un campo de mensaje de texto libre que la configuración por defecto no cubre, un formulario construido con componentes que las reglas de enmascaramiento no reconocen, o un ajuste que alguien desactivó durante la depuración y nunca volvió a activar. Una grabación almacenada en un tercero puede contener entonces exactamente lo que el visitante le escribió a usted, algo que no esperaba y que su política de privacidad, que con arreglo al Art. 13 RGPD debe indicar los destinatarios o las categorías de destinatarios de los datos personales, quizá no mencione en absoluto.

Los píxeles y la página de agradecimiento

El seguimiento de conversiones necesita una señal de que se ha enviado un formulario, y la página de agradecimiento es el lugar obvio para dispararla. La mayoría de los píxeles envían la dirección completa de la página con cada evento. Si el formulario se envía mediante GET, o la redirección tras el envío añade a la URL valores como ?name=…&email=…, esos valores van directamente al proveedor publicitario o de analítica. Algunos píxeles ofrecen además funciones que recogen automáticamente direcciones de correo electrónico o números de teléfono de los formularios para mejorar la correspondencia. Y si el píxel se dispara antes de que el visitante haya respondido al banner de cookies, o después de que lo haya rechazado, el problema ya no es solo técnico.

Gestores de etiquetas, consentimiento y cadena de suministro

Los gestores de etiquetas son a menudo el lugar donde se pierde la visión de conjunto. Una etiqueta de campaña para una feria de hace dos años, una prueba de una herramienta de mapas de calor, un píxel para una red que ya nadie utiliza: todo ello puede seguir cargándose en todas las páginas, incluida la del formulario. Los activadores se configuran con frecuencia en «todas las páginas», y las reglas de consentimiento se configuran etiqueta por etiqueta, así que basta una etiqueta a la que le falte una condición para que se cargue un script antes de que el visitante haya dado su consentimiento.

Luego está la cadena de suministro. Cuando integra un script de otro host, confía en quien controle ese host hoy y en el futuro. Un proveedor puede cambiar lo que hace su script, ser vendido o sufrir un compromiso de su infraestructura de distribución. El navegador no puede distinguir un script legítimo de uno manipulado, así que un código inyectado en una página de formulario puede leer todos los campos y enviarlos a cualquier parte: el mismo patrón que se utiliza para el skimming en las páginas de pago.

Lo que puede hacer

1. 1Haga inventario. Abra cada página de formulario y su página de agradecimiento con las herramientas de desarrollo del navegador, revise la pestaña Red y anote cada host externo. Hágalo una vez sin consentimiento y otra después de aceptar el banner.
2. 2Elimine lo que nadie necesita. Las etiquetas sin un responsable y una finalidad claros son candidatas a borrarse. Limite los activadores del gestor de etiquetas para que en las páginas de formularios solo se ejecuten las etiquetas que deben hacerlo.
3. 3Enmascare las entradas en las herramientas de grabación. Enmascare todos los campos de entrada, no solo las contraseñas, y excluya por completo la zona del formulario si puede. Después vea una grabación para comprobar qué se ha almacenado realmente.
4. 4Envíe las conversiones sin datos personales. Envíe mediante POST, mantenga los valores del formulario fuera de las URL de redirección y dispare un evento neutro como «contact_form_sent». Desactive en los píxeles la recogida automática de campos de formularios.
5. 5Cargue solo tras el consentimiento. Los scripts que requieren consentimiento no deben cargarse antes de que el visitante lo dé, y deben permanecer desactivados si lo rechaza. Pruebe ambos caminos.
6. 6Fije y restrinja cuando sea posible. Subresource Integrity (un hash en la etiqueta del script) hace que el navegador rechace un archivo estático que ha cambiado; no es adecuado para scripts que cambian por diseño, como los gestores de etiquetas. Una Content Security Policy limita qué hosts pueden ejecutar scripts: empiece en modo solo informe para ver qué dejaría de funcionar.
7. 7Vigile los cambios. Un nuevo host de scripts en una página de formulario debería ser una decisión deliberada, no una sorpresa. Asegúrese de recibir una notificación cuando aparezca uno.

formexposed comprueba qué píxeles de seguimiento se disparan en sus páginas de formularios, si una herramienta de grabación de sesiones puede registrar lo que se introduce en el formulario y si rechazar el banner de cookies detiene realmente el seguimiento, de forma pasiva y sin enviar nada. Una comprobación gratuita muestra el nivel global; estos hallazgos figuran en el informe completo. Con la monitorización de un dominio verificado, formexposed también le avisa cuando aparece un nuevo host de scripts en una página de formulario.