Başka kimler okuyor? Form sayfalarındaki üçüncü taraf betikleri

Birisi iletişim formunuzu doldurduğunda mesajın size gittiğini varsayar. Ancak birçok sitede form sayfası ayrıca analiz sağlayıcılarından, reklam ağlarından, sohbet hizmetlerinden ve etiket yöneticisinin yıllar boyunca topladığı her yerden betikler çalıştırır. Bu betiklerin her biri kendi kodunuzla aynı haklara sahiptir: sayfayı okuyabilir, giriş alanlarını izleyebilir ve kendi sunucularına veri gönderebilir. Bu, hepsinin böyle yaptığı anlamına gelmez. Ancak ziyaretçilerin adlarını, e-posta adreslerini ve bazen sağlıkları, paraları veya hukuki sorunları hakkında ayrıntıları yazdığı sayfada kimin birlikte okuduğunu bilmelisiniz.

Olağan şüpheliler

• Oturum tekrarı araçları, ziyaretin sonradan yeniden oynatılabilmesi için tıklamaları, kaydırmayı ve çoğu zaman tuş vuruşlarını kaydeder. Alanlar maskelenmemişse buna insanların forma yazdıkları da dahil olabilir.
• Reklam ve analiz pikselleri sayfa görüntülemelerini ve dönüşümleri üçüncü taraflara bildirir; hem form sayfasının kendisinde hem çok sık olarak teşekkür sayfasında.
• Sohbet bileşenleri başka bir alan adından tam bir uygulama yükler; genellikle formun bulunduğu sayfa dahil her sayfada.
• Etiket yöneticileri pazarlama ekiplerinin dağıtım yapmadan betik eklemesini sağlar. Kullanışlıdır, ancak kodun kimse incelemeden form sayfasına ulaşabileceği anlamına da gelir.
• Daha küçük yardımcılar — A/B testi, ısı haritaları, sosyal medya gömmeleri, yazı tipleri, haritalar — her biri en azından ziyaretçinin IP adresini ve genellikle sitenizin adresini alan bir ana bilgisayar ekler; bunların arasındaki betikler sayfanın tam URL'sini de okuyabilir.

Oturum tekrarı: giriş alanının yanındaki kaydedici

Çoğu tekrar aracı giriş alanlarını maskeleme veya tüm alanları dışlama ayarları sunar ve bazıları belirli alanları varsayılan olarak maskeler. Zayıf noktalar istisnalardır: varsayılanın kapsamadığı bir serbest metin mesaj alanı, maskeleme kurallarının tanımadığı bileşenlerle oluşturulmuş bir form veya birinin hata ayıklarken kapatıp tekrar açmadığı bir ayar. Üçüncü tarafta saklanan bir kayıt, bu durumda ziyaretçinin size yazdıklarını aynen içerebilir; ziyaretçinin beklemediği ve Art. 13 GDPR uyarınca kişisel verilerin alıcılarını veya alıcı kategorilerini belirtmesi gereken gizlilik politikanızın hiç anmayabileceği bir durumdur.

Pikseller ve teşekkür sayfası

Dönüşüm izlemesi formun gönderildiğine dair sinyal gerektirir ve bunu tetiklemek için en bariz yer teşekkür sayfasıdır. Çoğu piksel her olayda tam sayfa adresini gönderir. Form GET üzerinden gönderiyorsa veya gönderimden sonraki yönlendirme URL'ye ?name=…&email=… gibi değerler ekliyorsa bu değerler doğrudan reklam veya analiz sağlayıcısına gider. Bazı pikseller eşleştirmeyi iyileştirmek için formlardan e-posta adreslerini veya telefon numaralarını otomatik alan özellikler de sunar. Piksel ziyaretçi çerez bildirimine yanıt vermeden önce veya reddettikten sonra tetikleniyorsa sorun artık yalnızca teknik değildir.

Etiket yöneticileri, rıza ve tedarik zinciri

Genel görünüm çoğu zaman etiket yöneticilerinde kaybolur. İki yıl önceki fuarın kampanya etiketi, bir ısı haritası aracının denemesi, artık kimsenin kullanmadığı bir ağın pikseli; bunların hepsi form dahil her sayfada hâlâ yükleniyor olabilir. Tetikleyiciler sıklıkla “tüm sayfalar” olarak ayarlanır ve rıza kuralları etiket bazında yapılandırılır; bu nedenle eksik koşullu tek etiket, ziyaretçi kabul etmeden bir betiği yüklemeye yeter.

Bir de tedarik zinciri vardır. Başka bir ana bilgisayardan betik gömdüğünüzde o ana bilgisayarı bugün ve gelecekte kontrol eden kişiye güvenirsiniz. Sağlayıcı betiğin yaptıklarını değiştirebilir, satılabilir veya dağıtım altyapısı ele geçirilebilir. Tarayıcı meşru betikle değiştirilmiş betiği ayıramaz; bu nedenle form sayfasına enjekte edilen kod her alanı okuyup her yere gönderebilir. Ödeme sayfalarındaki veri hırsızlığında kullanılan örüntü de aynıdır.

Neler yapabilirsiniz?

1. 1Envanter çıkarın. Her form sayfasını ve teşekkür sayfasını tarayıcının geliştirici araçlarıyla açın, Ağ sekmesini kontrol edin ve her harici ana bilgisayarı listeleyin. Bunu bir kez rıza vermeden, bir kez de bildirimi kabul ettikten sonra yapın.
2. 2Kimsenin ihtiyacı olmayanları kaldırın. Açık sahibi ve amacı olmayan etiketler silinmeye adaydır. Etiket yöneticisi tetikleyicilerini, form sayfalarında yalnızca çalışması gereken etiketler çalışacak şekilde sınırlayın.
3. 3Tekrar araçlarında girdileri maskeleyin. Yalnızca parolaları değil tüm giriş alanlarını maskeleyin ve mümkünse form alanını tamamen hariç tutun. Ardından gerçekte ne saklandığını görmek için bir kaydı izleyin.
4. 4Dönüşümleri kişisel veri olmadan gönderin. POST ile gönderin, form değerlerini yönlendirme URL'lerinin dışında tutun ve “contact_form_sent” gibi tarafsız bir olay tetikleyin. Piksellerde otomatik form alanı toplamayı kapatın.
5. 5Yalnızca rızadan sonra yükleyin. Rıza gerektiren betikler ziyaretçi kabul etmeden yüklenmemeli ve reddederse kapalı kalmalıdır. Her iki yolu da test edin.
6. 6Mümkün olduğunda sabitleyin ve kısıtlayın. Alt Kaynak Bütünlüğü (betik etiketinde bir hash), tarayıcının değişmiş statik dosyayı reddetmesini sağlar; etiket yöneticileri gibi tasarımı gereği değişen betikler için uygun değildir. İçerik Güvenliği Politikası, hangi ana bilgisayarların betik çalıştırabileceğini sınırlar; nelerin bozulacağını görmek için yalnızca raporlama modunda başlayın.
7. 7Değişiklikleri izleyin. Form sayfasındaki yeni bir betik ana bilgisayarı sürpriz değil, bilinçli karar olmalıdır. Böyle bir ana bilgisayar belirdiğinde bildirim aldığınızdan emin olun.

formexposed, form sayfalarınızda hangi izleme piksellerinin tetiklendiğini, oturum tekrarı aracının form girdilerini kaydedip kaydedemeyeceğini ve çerez bildirimini reddetmenin izlemeyi gerçekten durdurup durdurmadığını pasif olarak kontrol eder; hiçbir şey gönderilmez. Ücretsiz kontrol genel düzeyi gösterir; bu bulgular tam rapordadır. Doğrulanmış alan adı için izlemeyle formexposed, form sayfasında yeni bir betik ana bilgisayarı belirdiğinde de sizi uyarır.