Kto ešte číta s Vami? Skripty tretích strán na stránkach s formulármi

Keď niekto vypĺňa Váš kontaktný formulár, predpokladá, že správa ide Vám. Na mnohých stránkach však na stránke s formulárom bežia aj skripty od poskytovateľov analytiky, reklamných sietí, dodávateľov chatov a všetkého, čo za tie roky nazbieral správca značiek. Každý z týchto skriptov beží s rovnakými právami ako Váš vlastný kód: môže čítať stránku, sledovať vstupné polia a posielať údaje na vlastné servery. To neznamená, že to všetky robia. Ale na stránke, kde návštevníci píšu svoje meno, e-mailovú adresu a niekedy aj podrobnosti o svojom zdraví, peniazoch alebo právnych problémoch, by ste mali vedieť, kto číta s Vami.

Obvyklí podozriví

• Nástroje na záznam relácií zaznamenávajú kliknutia, posúvanie a často aj stlačenia klávesov, aby sa návšteva dala neskôr prehrať. Ak polia nie sú maskované, môže to zahŕňať aj to, čo ľudia píšu do formulára.
• Reklamné a analytické pixely hlásia tretím stranám zobrazenia stránok a konverzie – na samotnej stránke s formulárom a veľmi často na ďakovnej stránke.
• Chatovacie widgety načítavajú celú aplikáciu z inej domény, zvyčajne na každej stránke, vrátane tej s formulárom.
• Správcovia značiek (tag managery) umožňujú marketingu pridávať skripty bez nasadenia. Pohodlné, ale znamená to aj, že kód sa môže dostať na stránku s formulárom bez toho, aby ho niekto skontroloval.
• Menší pomocníci – A/B testovanie, teplotné mapy, vložený obsah zo sociálnych sietí, písma, mapy – každý pridáva hostiteľa, ktorý dostáva prinajmenšom IP adresu návštevníka a zvyčajne adresu Vašej stránky; skripty medzi nimi môžu čítať aj celú URL adresu stránky.

Záznam relácií: nahrávač vedľa vstupného poľa

Väčšina nástrojov na záznam relácií ponúka nastavenia na maskovanie vstupných polí alebo vylúčenie celých oblastí a niektoré určité polia maskujú predvolene. Slabými miestami sú výnimky: pole na voľný text správy, na ktoré sa predvolené nastavenie nevzťahuje, formulár zostavený z komponentov, ktoré pravidlá maskovania nerozpoznajú, alebo nastavenie, ktoré niekto vypol pri ladení a už ho nikdy nezapol. Záznam uložený u tretej strany potom môže obsahovať presne to, čo Vám návštevník napísal – niečo, čo nečakal a čo Vaše zásady ochrany osobných údajov, ktoré podľa čl. 13 GDPR musia uvádzať príjemcov alebo kategórie príjemcov osobných údajov, možno vôbec nespomínajú.

Pixely a ďakovná stránka

Sledovanie konverzií potrebuje signál, že formulár bol odoslaný, a ďakovná stránka je zjavným miestom na jeho spustenie. Väčšina pixelov posiela pri každej udalosti celú adresu stránky. Ak sa formulár odosiela metódou GET alebo presmerovanie po odoslaní pripojí k URL hodnoty ako ?name=…&email=…, tieto hodnoty idú priamo k poskytovateľovi reklamy alebo analytiky. Niektoré pixely ponúkajú aj funkcie, ktoré automaticky zachytávajú e-mailové adresy alebo telefónne čísla z formulárov na zlepšenie párovania. A ak sa pixel spustí skôr, ako návštevník odpovie na cookie lištu – alebo potom, ako ju odmietol –, problém už nie je len technický.

Správcovia značiek, súhlas a dodávateľský reťazec

Správcovia značiek sú často miestom, kde sa stráca prehľad. Kampaňová značka pre veľtrh spred dvoch rokov, skúšobná verzia nástroja na teplotné mapy, pixel pre sieť, ktorú už nikto nepoužíva – to všetko sa môže stále načítavať na každej stránke vrátane formulára. Spúšťače sú často nastavené na „všetky stránky“ a pravidlá súhlasu sa konfigurujú značku po značke, takže stačí jedna značka s chýbajúcou podmienkou a skript sa načíta skôr, ako návštevník súhlasil.

Potom je tu dodávateľský reťazec. Keď vložíte skript z iného hostiteľa, dôverujete tomu, kto tohto hostiteľa ovláda dnes aj v budúcnosti. Dodávateľ môže zmeniť, čo jeho skript robí, môže byť predaný alebo môže byť kompromitovaná jeho doručovacia infraštruktúra. Prehliadač nedokáže rozlíšiť legitímny skript od zmanipulovaného, takže podstrčený kód na stránke s formulárom môže čítať každé pole a posielať ho kamkoľvek – rovnaký vzorec, aký sa používa pri skimmingu na stránkach pokladne.

Čo môžete urobiť

1. 1Urobte inventúru. Otvorte každú stránku s formulárom a jej ďakovnú stránku s vývojárskymi nástrojmi prehliadača, pozrite sa na kartu Sieť a zapíšte si každého externého hostiteľa. Urobte to raz bez súhlasu a raz po prijatí cookie lišty.
2. 2Odstráňte, čo nikto nepotrebuje. Značky bez jasného vlastníka a účelu sú kandidátmi na vymazanie. Obmedzte spúšťače v správcovi značiek tak, aby na stránkach s formulármi bežali len značky, ktoré tam bežať musia.
3. 3Maskujte vstupy v nástrojoch na záznam relácií. Maskujte všetky vstupné polia, nielen heslá, a ak môžete, oblasť formulára úplne vylúčte. Potom si pozrite záznam, aby ste videli, čo sa skutočne uložilo.
4. 4Posielajte konverzie bez osobných údajov. Odosielajte metódou POST, hodnoty z formulára nedávajte do URL presmerovania a spúšťajte neutrálnu udalosť, napríklad „contact_form_sent“. V pixeloch vypnite automatické zachytávanie polí formulára.
5. 5Načítavajte až po súhlase. Skripty, ktoré potrebujú súhlas, sa nesmú načítať skôr, ako návštevník súhlasí – a musia zostať vypnuté, ak odmietne. Otestujte obe cesty.
6. 6Kde je to možné, pripnite a obmedzte. Subresource Integrity (hash v značke script) prinúti prehliadač odmietnuť statický súbor, ktorý sa zmenil; nehodí sa pre skripty, ktoré sa menia zámerne, ako sú správcovia značiek. Content Security Policy obmedzuje, ktorí hostitelia smú spúšťať skripty – začnite v režime len hlásení (report-only), aby ste videli, čo by sa pokazilo.
7. 7Sledujte zmeny. Nový hostiteľ skriptov na stránke s formulárom by mal byť zámerným rozhodnutím, nie prekvapením. Zabezpečte, aby ste dostali upozornenie, keď sa nejaký objaví.

formexposed kontroluje, ktoré sledovacie pixely sa spúšťajú na Vašich stránkach s formulármi, či nástroj na záznam relácií môže nahrávať vstupy do formulára a či odmietnutie cookie lišty skutočne zastaví sledovanie – pasívne, nič sa neodosiela. Bezplatná kontrola ukáže celkovú úroveň; tieto zistenia sú v úplnej správe. Pri monitorovaní overenej domény Vás formexposed upozorní aj vtedy, keď sa na stránke s formulárom objaví nový hostiteľ skriptov.