Ai khác đang đọc cùng? Tập lệnh bên thứ ba trên trang biểu mẫu

Khi ai đó điền biểu mẫu liên hệ, họ cho rằng tin nhắn gửi tới bạn. Nhưng trên nhiều website, trang biểu mẫu còn chạy tập lệnh của nhà cung cấp phân tích, mạng quảng cáo, nhà cung cấp trò chuyện và mọi thứ trình quản lý thẻ tích lũy qua nhiều năm. Mỗi tập lệnh có cùng quyền như mã của bạn: đọc trang, quan sát trường nhập và gửi dữ liệu về máy chủ riêng. Điều đó không có nghĩa tất cả đều làm như vậy. Nhưng tại nơi khách gõ tên, e-mail và đôi khi cả chi tiết sức khỏe, tiền bạc hay rắc rối pháp lý, bạn cần biết ai đang đọc cùng.

Những đối tượng thường gặp

• Công cụ ghi lại phiên ghi lần nhấp, cuộn trang và thường cả thao tác gõ để phát lại lượt truy cập sau này. Nếu không che trường nhập, bản ghi có thể chứa nội dung người dùng điền vào biểu mẫu.
• Pixel quảng cáo và phân tích báo lượt xem trang và chuyển đổi cho bên thứ ba — ngay trên trang biểu mẫu và rất thường cả trang cảm ơn.
• Widget trò chuyện tải nguyên một ứng dụng từ tên miền khác, thường trên mọi trang, kể cả trang có biểu mẫu.
• Trình quản lý thẻ cho phép bộ phận tiếp thị thêm tập lệnh không cần triển khai. Tiện lợi nhưng cũng có nghĩa mã có thể tới trang biểu mẫu mà không ai xem xét.
• Công cụ hỗ trợ nhỏ hơn — thử nghiệm A/B, bản đồ nhiệt, nội dung mạng xã hội nhúng, phông chữ, bản đồ — mỗi thứ thêm một máy chủ nhận ít nhất địa chỉ IP của khách và thường cả địa chỉ website; các tập lệnh trong số đó còn có thể đọc URL đầy đủ của trang.

Ghi lại phiên: máy ghi bên cạnh ô nhập

Phần lớn công cụ ghi lại phiên cho phép che trường nhập hoặc loại trừ toàn bộ khu vực, một số mặc định che những trường nhất định. Điểm yếu nằm ở ngoại lệ: trường tin nhắn tự do không được mặc định bao phủ, biểu mẫu xây từ thành phần mà quy tắc che không nhận ra hoặc cài đặt bị tắt lúc gỡ lỗi rồi không bật lại. Bản ghi lưu ở bên thứ ba khi đó có thể chứa chính xác nội dung khách viết cho bạn — điều họ không mong đợi và chính sách quyền riêng tư có thể không hề nói tới, dù Điều 13 GDPR yêu cầu nêu người nhận hoặc các nhóm người nhận dữ liệu cá nhân.

Pixel và trang cảm ơn

Theo dõi chuyển đổi cần tín hiệu rằng biểu mẫu đã gửi, và trang cảm ơn là nơi dễ thấy nhất để kích hoạt. Phần lớn pixel gửi địa chỉ trang đầy đủ cùng mỗi sự kiện. Nếu biểu mẫu gửi bằng GET hoặc chuyển hướng sau khi gửi gắn giá trị như ?name=…&email=… vào URL, chúng đi thẳng tới nhà cung cấp quảng cáo hoặc phân tích. Một số pixel còn tự động lấy địa chỉ e-mail hoặc số điện thoại từ biểu mẫu để cải thiện đối sánh. Nếu pixel chạy trước khi khách trả lời biểu ngữ cookie — hoặc sau khi đã từ chối — vấn đề không còn chỉ là kỹ thuật.

Trình quản lý thẻ, sự đồng ý và chuỗi cung ứng

Trình quản lý thẻ thường là nơi mất kiểm soát tổng quan. Thẻ chiến dịch cho hội chợ hai năm trước, lần dùng thử công cụ bản đồ nhiệt, pixel của mạng không ai dùng nữa — tất cả có thể vẫn tải trên mọi trang, kể cả biểu mẫu. Điều kiện kích hoạt thường đặt thành “mọi trang” và quy tắc đồng ý được cấu hình từng thẻ, nên chỉ cần một thẻ thiếu điều kiện là tập lệnh tải trước khi khách chấp nhận.

Còn có chuỗi cung ứng. Khi nhúng tập lệnh từ máy chủ khác, bạn tin người kiểm soát máy chủ đó hôm nay và trong tương lai. Nhà cung cấp có thể đổi chức năng tập lệnh, bị bán hoặc hạ tầng phân phối bị xâm phạm. Trình duyệt không phân biệt mã hợp lệ với mã bị thao túng, nên mã chèn vào trang biểu mẫu có thể đọc mọi trường và gửi tới bất kỳ đâu — cùng mô hình đánh cắp dữ liệu ở trang thanh toán.

Bạn có thể làm gì

1. 1Lập danh mục. Mở từng trang biểu mẫu và trang cảm ơn bằng công cụ nhà phát triển, xem thẻ Network và liệt kê mọi máy chủ bên ngoài. Làm một lần chưa đồng ý và một lần sau khi chấp nhận biểu ngữ.
2. 2Loại bỏ thứ không ai cần. Thẻ không có người chịu trách nhiệm và mục đích rõ ràng là ứng viên nên xóa. Giới hạn điều kiện kích hoạt để chỉ thẻ thực sự cần chạy trên trang biểu mẫu mới chạy.
3. 3Che đầu vào trong công cụ ghi lại phiên. Che mọi trường nhập, không chỉ mật khẩu, và loại trừ toàn bộ khu vực biểu mẫu nếu có thể. Sau đó xem bản ghi để biết thực tế đã lưu gì.
4. 4Gửi chuyển đổi không kèm dữ liệu cá nhân. Gửi bằng POST, không đưa giá trị biểu mẫu vào URL chuyển hướng và phát sự kiện trung tính như “contact_form_sent”. Tắt tự động thu thập trường biểu mẫu trong pixel.
5. 5Chỉ tải sau khi đồng ý. Tập lệnh cần sự đồng ý không được tải trước khi khách chấp nhận và phải tiếp tục tắt nếu họ từ chối. Thử cả hai đường đi.
6. 6Cố định và hạn chế khi khả thi. Subresource Integrity (giá trị băm trên thẻ tập lệnh) khiến trình duyệt từ chối tệp tĩnh đã thay đổi; không phù hợp với tập lệnh vốn được thiết kế để thay đổi như trình quản lý thẻ. Chính sách bảo mật nội dung giới hạn máy chủ được phép chạy tập lệnh — bắt đầu bằng chế độ report-only để xem điều gì sẽ hỏng.
7. 7Theo dõi thay đổi. Máy chủ tập lệnh mới xuất hiện trên trang biểu mẫu cần là quyết định có chủ ý, không phải bất ngờ. Bảo đảm bạn được thông báo khi có máy chủ mới.

formexposed kiểm tra pixel theo dõi nào chạy trên trang biểu mẫu, công cụ ghi lại phiên có thể ghi đầu vào không và từ chối biểu ngữ cookie có thực sự dừng theo dõi không — thụ động, không gửi gì. Kiểm tra miễn phí cho mức tổng thể; các phát hiện này nằm trong báo cáo đầy đủ. Khi giám sát tên miền đã xác minh, formexposed còn cảnh báo nếu máy chủ tập lệnh mới xuất hiện trên trang biểu mẫu.