Kes veel kaasa loeb? Kolmandate osapoolte skriptid vormilehtedel

Kui keegi täidab teie kontaktivormi, eeldab ta, et sõnum läheb teile. Paljudel saitidel töötavad vormilehel aga ka analüütikateenuste, reklaamivõrgustike, vestlusteenuste pakkujate skriptid ja kõik see, mille sildihaldur on aastate jooksul kokku kogunud. Iga selline skript töötab samade õigustega nagu teie enda kood: see saab lehte lugeda, sisestusvälju jälgida ja andmeid oma serveritesse saata. See ei tähenda, et kõik seda teevad. Kuid lehel, kuhu külastajad sisestavad oma nime, e-posti aadressi ja mõnikord üksikasju oma tervise, raha või õigusprobleemide kohta, peaksite teadma, kes kaasa loeb.

Tavalised kahtlusalused

• Seansi salvestamise tööriistad salvestavad klõpse, kerimist ja sageli klahvivajutusi, et külastust saaks hiljem taasesitada. Kui välju ei maskeerita, võib see hõlmata ka seda, mida inimesed vormi sisestavad.
• Reklaami- ja analüütikapikslid teatavad lehevaatamistest ja konversioonidest kolmandatele isikutele – vormilehel endal ja väga sageli tänulehel.
• Vestlusvidinad laadivad terve rakenduse teisest domeenist, tavaliselt igal lehel, sealhulgas vormiga lehel.
• Sildihaldurid võimaldavad turundusel lisada skripte ilma juurutamiseta. Mugav, kuid see tähendab ka, et kood võib jõuda vormilehele, ilma et keegi seda üle vaataks.
• Väiksemad abilised – A/B-testimine, soojuskaardid, sotsiaalmeedia manused, fondid, kaardid – lisavad igaüks hosti, mis saab vähemalt külastaja IP-aadressi ja tavaliselt teie saidi aadressi; nende hulgas olevad skriptid saavad lugeda ka lehe täielikku URL-i.

Seansi salvestamine: salvesti sisestusvälja kõrval

Enamik salvestustööriistu pakub seadeid sisestusväljade maskeerimiseks või tervete alade väljajätmiseks ning mõned maskeerivad teatud välju vaikimisi. Nõrgad kohad on erandid: vabateksti sõnumiväli, mida vaikeseade ei hõlma, komponentidest ehitatud vorm, mida maskeerimisreeglid ära ei tunne, või seade, mille keegi silumise ajal välja lülitas ja kunagi tagasi ei lülitanud. Kolmanda osapoole juures salvestatud salvestis võib siis sisaldada täpselt seda, mida külastaja teile kirjutas – midagi, mida ta ei oodanud ja mida teie privaatsuspoliitika, mis peab IKÜM art 13 kohaselt nimetama isikuandmete vastuvõtjad või vastuvõtjate kategooriad, ei pruugi üldse mainida.

Pikslid ja tänuleht

Konversioonide jälgimine vajab signaali, et vorm saadeti, ja tänuleht on ilmne koht selle käivitamiseks. Enamik piksleid saadab iga sündmusega lehe täieliku aadressi. Kui vorm saadetakse GET-meetodiga või pärast saatmist toimuv ümbersuunamine lisab URL-ile väärtused nagu ?name=…&email=…, lähevad need väärtused otse reklaami- või analüütikateenuse pakkujale. Mõned pikslid pakuvad ka funktsioone, mis koguvad sobitamise parandamiseks automaatselt vormidest e-posti aadresse või telefoninumbreid. Ja kui piksel käivitub enne, kui külastaja on küpsisebännerile vastanud – või pärast seda, kui ta keeldus –, ei ole probleem enam ainult tehniline.

Sildihaldurid, nõusolek ja tarneahel

Sildihaldurites kaob sageli ülevaade. Kahe aasta tagusest messist pärit kampaaniasilt, soojuskaardi tööriista prooviversioon, piksel võrgustiku jaoks, mida keegi enam ei kasuta – kõik see võib endiselt laadida igal lehel, sealhulgas vormil. Päästikud on sageli seatud valikule „kõik lehed“ ja nõusolekureeglid seadistatakse silt sildi haaval, seega piisab ühest puuduva tingimusega sildist, et skript laaditaks enne, kui külastaja on nõustunud.

Lisaks on tarneahel. Kui manustate skripti teisest hostist, usaldate seda, kes seda hosti täna ja tulevikus kontrollib. Teenusepakkuja võib muuta seda, mida tema skript teeb, olla müüdud või tema edastustaristu võidakse kompromiteerida. Brauser ei suuda eristada õiguspärast skripti manipuleeritust, seega võib vormilehele süstitud kood lugeda iga välja ja saata selle ükskõik kuhu – sama mustrit kasutatakse makselehtedel kaardiandmete kopeerimiseks.

Mida saate teha

1. 1Tehke inventuur. Avage iga vormileht ja selle tänuleht brauseri arendajatööriistadega, kontrollige vahekaarti Network ja loetlege kõik välised hostid. Tehke seda üks kord ilma nõusolekuta ja üks kord pärast bänneriga nõustumist.
2. 2Eemaldage see, mida keegi ei vaja. Ilma selge omaniku ja eesmärgita sildid on kustutamiskandidaadid. Piirake sildihalduri päästikuid nii, et vormilehtedel käivituvad ainult need sildid, mis peavad seal käivituma.
3. 3Maskeerige sisestused salvestustööriistades. Maskeerige kõik sisestusväljad, mitte ainult paroolid, ja võimaluse korral jätke vormiala täielikult välja. Seejärel vaadake mõnda salvestist, et näha, mida tegelikult salvestati.
4. 4Saatke konversioonid ilma isikuandmeteta. Saatke POST-meetodiga, hoidke vormiväärtused ümbersuunamise URL-idest eemal ja käivitage neutraalne sündmus, näiteks „contact_form_sent“. Lülitage pikslites välja vormiväljade automaatne kogumine.
5. 5Laadige alles pärast nõusolekut. Nõusolekut vajavad skriptid ei tohi laadida enne, kui külastaja nõustub – ja peavad jääma välja lülitatuks, kui ta keeldub. Testige mõlemat teed.
6. 6Fikseerige ja piirake, kus võimalik. Subresource Integrity (räsi skriptisildil) paneb brauseri keelduma muutunud staatilisest failist; see ei sobi skriptidele, mis muutuvad oma olemuselt, nagu sildihaldurid. Content Security Policy piirab, millised hostid tohivad skripte käivitada – alustage ainult aruandlusrežiimis, et näha, mis katki läheks.
7. 7Jälgige muudatusi. Uus skriptihost vormilehel peaks olema teadlik otsus, mitte üllatus. Veenduge, et saate teate, kui selline ilmub.

formexposed kontrollib, millised jälgimispikslid teie vormilehtedel käivituvad, kas seansi salvestamise tööriist võib salvestada vormisisestusi ja kas küpsisebännerist keeldumine tõesti peatab jälgimise – passiivselt, midagi ei saadeta. Tasuta kontroll näitab üldist taset; need leiud on täisaruandes. Kinnitatud domeeni seire korral hoiatab formexposed teid ka siis, kui vormilehele ilmub uus skriptihost.