Ki olvas még? Harmadik féltől származó szkriptek az űrlapoldalakon

Amikor valaki kitölti az Ön kapcsolatfelvételi űrlapját, azt feltételezi, hogy az üzenet Önhöz jut el. Sok oldalon azonban az űrlap oldalán analitikai szolgáltatók, hirdetési hálózatok, csevegőszolgáltatók szkriptjei is futnak, valamint minden, amit egy címkekezelő az évek során összegyűjtött. Mindegyik szkript ugyanazokkal a jogokkal fut, mint a saját kódja: olvashatja az oldalt, figyelheti a beviteli mezőket, és adatokat küldhet a saját szervereire. Ez nem jelenti azt, hogy mind meg is teszi. De azon az oldalon, ahol a látogatók beírják a nevüket, az e-mail-címüket, és néha az egészségükkel, pénzügyeikkel vagy jogi ügyeikkel kapcsolatos részleteket, tudnia kell, ki olvas még.

A szokásos gyanúsítottak

• A munkamenet-visszajátszó eszközök rögzítik a kattintásokat, a görgetést és gyakran a billentyűleütéseket, hogy egy látogatást később vissza lehessen játszani. Ha a mezők nincsenek maszkolva, ez azt is tartalmazhatja, amit az emberek az űrlapba gépelnek.
• A hirdetési és analitikai pixelek oldalmegtekintéseket és konverziókat jelentenek harmadik feleknek – magán az űrlap oldalán, és nagyon gyakran a köszönőoldalon.
• A csevegőwidgetek egy teljes alkalmazást töltenek be egy másik domainről, általában minden oldalon, az űrlapot tartalmazót is beleértve.
• A címkekezelők lehetővé teszik, hogy a marketing telepítés nélkül adjon hozzá szkripteket. Kényelmes, de azt is jelenti, hogy kód kerülhet az űrlap oldalára anélkül, hogy bárki átvizsgálná.
• A kisebb segédeszközök – A/B tesztelés, hőtérképek, közösségimédia-beágyazások, betűtípusok, térképek – mindegyike újabb kiszolgálót ad hozzá, amely legalább a látogató IP-címét és általában az Ön oldalának címét megkapja; a köztük lévő szkriptek a teljes oldal URL-jét is kiolvashatják.

Munkamenet-visszajátszás: egy felvevő a beviteli mező mellett

A legtöbb visszajátszó eszköz kínál beállításokat a beviteli mezők maszkolására vagy teljes területek kizárására, és némelyik bizonyos mezőket alapértelmezetten maszkol. A gyenge pontok a kivételek: egy szabad szöveges üzenetmező, amelyre az alapbeállítás nem terjed ki, egy olyan komponensekből épített űrlap, amelyet a maszkolási szabályok nem ismernek fel, vagy egy beállítás, amelyet valaki hibakeresés közben kikapcsolt, és soha nem kapcsolt vissza. Egy harmadik félnél tárolt felvétel ilyenkor pontosan azt tartalmazhatja, amit a látogató Önnek írt – amire nem számított, és amit az adatvédelmi tájékoztatója, amelynek a GDPR 13. cikke szerint meg kell neveznie a személyes adatok címzettjeit vagy a címzettek kategóriáit, talán egyáltalán nem említ.

Pixelek és a köszönőoldal

A konverziókövetéshez jelzés kell arról, hogy egy űrlapot elküldtek, és ennek kézenfekvő helye a köszönőoldal. A legtöbb pixel minden eseménnyel elküldi a teljes oldalcímet. Ha az űrlap GET-tel küld, vagy a küldés utáni átirányítás olyan értékeket fűz az URL-hez, mint a ?name=…&email=…, ezek az értékek egyenesen a hirdetési vagy analitikai szolgáltatóhoz kerülnek. Egyes pixelek olyan funkciókat is kínálnak, amelyek a jobb egyeztetés érdekében automatikusan összegyűjtik az e-mail-címeket vagy telefonszámokat az űrlapokból. Ha pedig a pixel azelőtt aktiválódik, hogy a látogató reagált volna a sütibannerre – vagy azután, hogy elutasította –, a probléma már nem csupán technikai.

Címkekezelők, hozzájárulás és az ellátási lánc

Gyakran a címkekezelőknél vész el az áttekinthetőség. Egy két évvel ezelőtti szakkiállítás kampánycímkéje, egy hőtérkép-eszköz próbaverziója, egy olyan hálózat pixele, amelyet már senki sem használ – mindez még mindig betöltődhet minden oldalon, az űrlapot is beleértve. Az eseményindítók gyakran „minden oldalra” vannak állítva, a hozzájárulási szabályokat pedig címkénként állítják be, így elég egyetlen hiányzó feltételű címke ahhoz, hogy egy szkript betöltődjön, mielőtt a látogató beleegyezett volna.

Aztán ott van az ellátási lánc. Ha egy másik kiszolgálóról ágyaz be szkriptet, megbízik abban, aki ma és a jövőben ezt a kiszolgálót irányítja. Egy szolgáltató megváltoztathatja, mit csinál a szkriptje, eladhatják, vagy feltörhetik a kiszolgáló infrastruktúráját. A böngésző nem tudja megkülönböztetni a legitim szkriptet a manipulálttól, így egy űrlapoldalra befecskendezett kód minden mezőt kiolvashat, és bárhová elküldheti – ugyanez a minta, amelyet a pénztároldalakon kártyaadat-lopásra (skimming) használnak.

Mit tehet

1. 1Készítsen leltárt. Nyisson meg minden űrlapoldalt és a hozzá tartozó köszönőoldalt a böngésző fejlesztői eszközeivel, nézze meg a Hálózat lapot, és írjon listát minden külső kiszolgálóról. Tegye meg egyszer hozzájárulás nélkül, egyszer pedig a banner elfogadása után.
2. 2Távolítsa el, amire senkinek sincs szüksége. A világos gazda és cél nélküli címkék törlésre jelöltek. Korlátozza a címkekezelő eseményindítóit, hogy csak azok a címkék fussanak az űrlapoldalakon, amelyeknek ott kell futniuk.
3. 3Maszkolja a beviteli mezőket a visszajátszó eszközökben. Maszkoljon minden beviteli mezőt, ne csak a jelszavakat, és ha lehet, zárja ki teljesen az űrlap területét. Ezután nézzen meg egy felvételt, hogy lássa, mit tároltak ténylegesen.
4. 4Küldjön konverziókat személyes adatok nélkül. Küldjön POST-tal, tartsa távol az űrlapértékeket az átirányítási URL-ektől, és semleges eseményt aktiváljon, például „contact_form_sent”. Kapcsolja ki a pixelekben az űrlapmezők automatikus gyűjtését.
5. 5Csak hozzájárulás után töltsön be. A hozzájárulást igénylő szkriptek nem töltődhetnek be, mielőtt a látogató beleegyezik – és kikapcsolva kell maradniuk, ha elutasítja. Tesztelje mindkét utat.
6. 6Rögzítsen és korlátozzon, ahol lehetséges. A Subresource Integrity (egy hash a script címkén) arra készteti a böngészőt, hogy elutasítson egy megváltozott statikus fájlt; olyan szkriptekhez nem alkalmas, amelyek eleve változnak, mint például a címkekezelők. Egy Content Security Policy korlátozza, mely kiszolgálókról futhatnak szkriptek – kezdje csak jelentő (report-only) módban, hogy lássa, mi romlana el.
7. 7Figyelje a változásokat. Egy új szkriptkiszolgáló megjelenése egy űrlapoldalon legyen tudatos döntés, ne meglepetés. Gondoskodjon arról, hogy értesítést kapjon, ha megjelenik egy.

A formexposed ellenőrzi, mely követőpixelek aktiválódnak az űrlapoldalain, rögzítheti-e egy munkamenet-visszajátszó eszköz az űrlapba írtakat, és valóban leállítja-e a követést a sütibanner elutasítása – passzívan, semmit sem küld be. Az ingyenes ellenőrzés az összesített szintet mutatja; ezek a megállapítások a teljes jelentésben találhatók. Igazolt domain felügyeletével a formexposed riasztást is küld, ha új szkriptkiszolgáló jelenik meg egy űrlapoldalon.