Chi altro legge? Script di terze parti nelle pagine dei moduli

Quando qualcuno compila il Suo modulo di contatto, presume che il messaggio arrivi a Lei. Su molti siti, però, la pagina del modulo esegue anche script di fornitori di analisi, reti pubblicitarie, fornitori di chat e di tutto ciò che un tag manager ha accumulato negli anni. Ciascuno di questi script viene eseguito con gli stessi diritti del Suo codice: può leggere la pagina, osservare i campi di inserimento e inviare dati ai propri server. Ciò non significa che lo facciano tutti. Ma sulla pagina in cui i visitatori digitano nome, indirizzo e-mail e talvolta dettagli sulla loro salute, sulle loro finanze o su problemi legali, dovrebbe sapere chi sta leggendo.

I soliti sospetti

• Gli strumenti di session replay registrano clic, scorrimento e spesso le battute dei tasti, così che una visita possa essere riprodotta in seguito. Se i campi non sono mascherati, ciò può includere quanto le persone digitano nel modulo.
• I pixel pubblicitari e di analisi comunicano a terzi visualizzazioni di pagina e conversioni – sulla pagina del modulo stessa e molto spesso sulla pagina di ringraziamento.
• I widget di chat caricano un’applicazione completa da un altro dominio, di solito su ogni pagina, compresa quella con il modulo.
• I tag manager consentono al marketing di aggiungere script senza un rilascio. Comodo, ma significa anche che del codice può arrivare sulla pagina del modulo senza che nessuno lo esamini.
• Strumenti minori – test A/B, heatmap, contenuti social incorporati, font, mappe – aggiungono ciascuno un host che riceve almeno l’indirizzo IP del visitatore e di solito l’indirizzo del Suo sito; gli script tra questi possono anche leggere l’URL completo della pagina.

Session replay: un registratore accanto al campo di inserimento

La maggior parte degli strumenti di replay offre impostazioni per mascherare i campi di inserimento o escludere intere aree, e alcuni mascherano determinati campi per impostazione predefinita. I punti deboli sono le eccezioni: un campo messaggio a testo libero non coperto dall’impostazione predefinita, un modulo costruito con componenti che le regole di mascheramento non riconoscono, o un’impostazione che qualcuno ha disattivato durante il debug e non ha mai riattivato. Una registrazione conservata presso terzi può allora contenere esattamente ciò che il visitatore Le ha scritto – qualcosa che non si aspettava e che la Sua informativa privacy, che ai sensi dell’Art. 13 GDPR deve indicare i destinatari o le categorie di destinatari dei dati personali, potrebbe non menzionare affatto.

I pixel e la pagina di ringraziamento

Il tracciamento delle conversioni ha bisogno di un segnale che indichi l’invio di un modulo, e la pagina di ringraziamento è il posto ovvio per attivarlo. La maggior parte dei pixel invia l’indirizzo completo della pagina a ogni evento. Se il modulo invia tramite GET, o il reindirizzamento dopo l’invio aggiunge all’URL valori come ?name=…&email=…, tali valori vanno direttamente al fornitore pubblicitario o di analisi. Alcuni pixel offrono anche funzioni che raccolgono automaticamente indirizzi e-mail o numeri di telefono dai moduli per migliorare la corrispondenza. E se il pixel si attiva prima che il visitatore abbia risposto al banner dei cookie – o dopo che ha rifiutato – il problema non è più solo tecnico.

Tag manager, consenso e catena di fornitura

I tag manager sono spesso il punto in cui si perde la visione d’insieme. Un tag di campagna per una fiera di due anni fa, la prova di uno strumento di heatmap, un pixel per una rete che nessuno usa più – tutto ciò può ancora caricarsi su ogni pagina, compreso il modulo. Gli attivatori sono spesso impostati su “tutte le pagine” e le regole di consenso sono configurate tag per tag, quindi basta un tag con una condizione mancante per caricare uno script prima che il visitatore abbia acconsentito.

Poi c’è la catena di fornitura. Quando incorpora uno script da un altro host, si fida di chiunque controlli quell’host oggi e in futuro. Un fornitore può cambiare ciò che fa il suo script, essere venduto o subire la compromissione della propria infrastruttura di distribuzione. Il browser non è in grado di distinguere uno script legittimo da uno manipolato, quindi del codice iniettato in una pagina di modulo può leggere ogni campo e inviarlo ovunque – lo stesso schema usato per lo skimming nelle pagine di checkout.

Che cosa può fare

1. 1Faccia un inventario. Apra ogni pagina di modulo e la relativa pagina di ringraziamento con gli strumenti per sviluppatori del browser, controlli la scheda Rete ed elenchi ogni host esterno. Lo faccia una volta senza consenso e una volta dopo aver accettato il banner.
2. 2Rimuova ciò che non serve a nessuno. I tag senza un responsabile e uno scopo chiari sono candidati all’eliminazione. Limiti gli attivatori del tag manager in modo che sulle pagine dei moduli vengano eseguiti solo i tag che devono esserlo.
3. 3Mascheri i dati inseriti negli strumenti di replay. Mascheri tutti i campi di inserimento, non solo le password, ed escluda del tutto l’area del modulo, se possibile. Poi guardi una registrazione per vedere che cosa è stato effettivamente memorizzato.
4. 4Invii le conversioni senza dati personali. Invii tramite POST, tenga i valori del modulo fuori dagli URL di reindirizzamento e attivi un evento neutro come “contact_form_sent”. Disattivi nei pixel la raccolta automatica dei campi dei moduli.
5. 5Caricamento solo dopo il consenso. Gli script che richiedono il consenso non devono caricarsi prima che il visitatore acconsenta – e devono restare disattivati se rifiuta. Testi entrambi i percorsi.
6. 6Fissi e limiti dove possibile. Subresource Integrity (un hash nel tag dello script) fa sì che il browser rifiuti un file statico che è stato modificato; non è adatta agli script che cambiano per natura, come i tag manager. Una Content Security Policy limita quali host possono eseguire script – inizi in modalità report-only per vedere che cosa smetterebbe di funzionare.
7. 7Sorvegli le modifiche. Un nuovo host di script su una pagina di modulo dovrebbe essere una decisione consapevole, non una sorpresa. Si assicuri di ricevere una notifica quando ne compare uno.

formexposed verifica quali pixel di tracciamento si attivano sulle pagine dei Suoi moduli, se uno strumento di session replay può registrare i dati inseriti nei moduli e se il rifiuto del banner dei cookie blocchi davvero il tracciamento – passivamente, senza inviare nulla. Una verifica gratuita mostra il livello complessivo; questi rilievi sono nel report completo. Con il monitoraggio di un dominio verificato, formexposed La avvisa inoltre quando compare un nuovo host di script su una pagina di modulo.