Хто ще читає разом із Вами? Сторонні скрипти на сторінках форм

Коли людина заповнює Вашу контактну форму, вона припускає, що повідомлення надходить до Вас. Проте на багатьох сайтах сторінка форми також запускає скрипти аналітичних постачальників, рекламних мереж, чат-сервісів і всього, що менеджер тегів назбирав за роки. Кожен із цих скриптів працює з такими самими правами, як Ваш власний код: може читати сторінку, стежити за полями введення й надсилати дані на власні сервери. Це не означає, що всі вони так роблять. Але на сторінці, де відвідувачі вводять ім’я, адресу електронної пошти й іноді подробиці про здоров’я, гроші чи правові проблеми, Ви маєте знати, хто читає разом із Вами.

Звичні підозрювані

• Інструменти відтворення сесій записують натискання, прокручування й часто натискання клавіш, щоб візит можна було відтворити пізніше. Якщо поля не замасковано, це може включати текст, який люди вводять у форму.
• Рекламні й аналітичні пікселі повідомляють третім особам про перегляди сторінок і конверсії — на самій сторінці форми й дуже часто на сторінці подяки.
• Віджети чату завантажують повноцінний застосунок з іншого домену, зазвичай на кожній сторінці, включно зі сторінкою форми.
• Менеджери тегів дозволяють маркетингу додавати скрипти без розгортання. Зручно, але це також означає, що код може потрапити на сторінку форми без чиєїсь перевірки.
• Менші помічники — A/B-тестування, теплові карти, вбудовані соцмережі, шрифти, карти — кожен додає хост, який отримує щонайменше IP-адресу відвідувача й зазвичай адресу Вашого сайту; скрипти серед них також можуть читати повну URL-адресу сторінки.

Відтворення сесій: записувач поряд із полем введення

Більшість інструментів відтворення пропонує налаштування маскування полів або виключення цілих ділянок, а деякі маскують певні поля за замовчуванням. Слабкі місця — винятки: поле довільного повідомлення, якого не охоплює стандартне налаштування, форма з компонентів, яких не розпізнають правила маскування, або налаштування, яке хтось вимкнув під час налагодження й не ввімкнув назад. Тоді запис у третьої особи може містити саме те, що відвідувач написав Вам, — чого він не очікував і чого Ваша політика конфіденційності, яка за ст. 13 GDPR має називати одержувачів або категорії одержувачів персональних даних, може взагалі не згадувати.

Пікселі та сторінка подяки

Відстеження конверсій потребує сигналу, що форму надіслано, і сторінка подяки — очевидне місце для його запуску. Більшість пікселів надсилає повну адресу сторінки з кожною подією. Якщо форма надсилається через GET або переспрямування після надсилання додає до URL значення на кшталт ?name=…&email=…, вони потрапляють прямо до рекламного чи аналітичного постачальника. Деякі пікселі також пропонують функції, які автоматично збирають адреси електронної пошти чи номери телефонів із форм для кращого зіставлення. А якщо піксель спрацьовує до відповіді відвідувача на банер cookie — або після його відмови, — проблема вже не лише технічна.

Менеджери тегів, згода та ланцюг постачання

Саме в менеджерах тегів часто втрачається загальний огляд. Тег кампанії для виставки дворічної давності, проба інструмента теплових карт, піксель мережі, якою вже ніхто не користується, — усе це може досі завантажуватися на кожній сторінці, включно з формою. Тригери часто встановлено на «всі сторінки», а правила згоди налаштовано для кожного тегу окремо, тож достатньо одного тегу без умови, щоб скрипт завантажився до згоди відвідувача.

Є ще ланцюг постачання. Вбудовуючи скрипт з іншого хоста, Ви довіряєте тому, хто контролює його сьогодні й контролюватиме надалі. Постачальник може змінити поведінку скрипта, бути проданим або зазнати компрометації інфраструктури доставки. Браузер не відрізняє законний скрипт від зміненого, тож впроваджений код на сторінці форми може читати кожне поле й надсилати його будь-куди — той самий підхід використовують для скімінгу на сторінках оформлення замовлень.

Що Ви можете зробити

1. 1Проведіть інвентаризацію. Відкрийте кожну сторінку форми та її сторінку подяки з інструментами розробника браузера, перевірте вкладку мережі й перелічіть кожен зовнішній хост. Зробіть це без згоди та після прийняття банера.
2. 2Приберіть непотрібне. Теги без чіткого відповідального й мети — кандидати на видалення. Обмежте тригери менеджера тегів, щоб на сторінках форм працювали лише необхідні теги.
3. 3Маскуйте введення в інструментах відтворення. Маскуйте всі поля, не лише паролі, і за можливості повністю виключіть область форми. Потім перегляньте запис, щоб побачити, що справді збереглося.
4. 4Передавайте конверсії без персональних даних. Надсилайте через POST, не додавайте значення форми до URL переспрямування та запускайте нейтральну подію на кшталт «contact_form_sent». Вимкніть автоматичне збирання полів форми в пікселях.
5. 5Завантажуйте лише після згоди. Скрипти, яким потрібна згода, не повинні завантажуватися до згоди відвідувача й мають залишатися вимкненими після відмови. Перевірте обидва шляхи.
6. 6Фіксуйте й обмежуйте, де це можливо. Subresource Integrity (хеш у тезі скрипта) змушує браузер відхилити змінений статичний файл; це не підходить скриптам, які змінюються за задумом, як-от менеджери тегів. Content Security Policy обмежує хости, яким дозволено виконувати скрипти, — почніть із режиму лише звітування, щоб побачити, що зламається.
7. 7Стежте за змінами. Новий хост скриптів на сторінці форми має бути свідомим рішенням, а не сюрпризом. Подбайте про сповіщення за його появи.

formexposed перевіряє, які пікселі відстеження спрацьовують на сторінках Ваших форм, чи може інструмент відтворення сесій записувати введені дані та чи справді відхилення банера cookie зупиняє відстеження, — пасивно, нічого не надсилається. Безкоштовна перевірка показує загальну категорію захисту; ці результати містить повний звіт. Із моніторингом підтвердженого домену formexposed також сповіщає Вас про появу нового хоста скриптів на сторінці форми.