Защита персональных данных сайта во Владикавказе: цена одной строки в коде
В этой статье
- Ошибка первая: форма без указания метода
- Ошибка вторая: обработчик, который пишет всё в файл
- Ошибка третья: письмо на личный ящик
- Ошибка четвёртая: чужие скрипты рядом с формой
- Что входит в наш аудит соответствия 152 ФЗ
- Как быстро понять, есть ли проблема
- Сайт делал знакомый, а связи с ним нет
- Нужно ли что-то делать, если форм на сайте нет
- Посмотрим ваш сайт
Во Владикавказе много небольших сайтов, сделанных когда-то знакомым программистом или собранных на старом шаблоне: гостевые дома и турбазы у Кармадона и Цея, производители минеральной воды и стройматериалов, автосервисы, семейные кафе. Такие сайты работают годами и обычно содержат одну-две технические ошибки, из-за которых телефоны клиентов утекают ежедневно. Ниже – самые дорогие по последствиям.
Ошибка первая: форма без указания метода
Если у тега form не задан method="post", браузер по умолчанию отправляет данные методом GET, то есть вписывает их в адрес: /zabronirovat?imya=Алан&tel=89280000000. Дальше эта строка расходится сразу по четырём направлениям: история браузера, журналы веб-сервера и провайдера, заголовок Referer, который уходит на карты и аналитику, отчёты статистики как отдельная страница. Одно пропущенное слово в вёрстке превращает каждую заявку в публичную ссылку. Иногда такие адреса попадают в поисковый индекс, и тогда телефон клиента находится обычным поиском.
Ошибка вторая: обработчик, который пишет всё в файл
Многие самописные скрипты, помимо письма, ведут журнал заявок в текстовом файле рядом с собой. Файл лежит в открытой папке и скачивается по прямой ссылке любым желающим. Типовые имена, которые перебирает даже простейший сканер:
- zayavki.txt и orders.txt рядом с обработчиком формы;
- mail.log с текстом всех отправленных писем;
- dump.sql и backup.zip в корне сайта;
- таблицы вида baza.xlsx, оставленные для удобства менеджера.
Ошибка третья: письмо на личный ящик
Заявки уходят на бесплатную почту владельца или менеджера, часто с пересылкой на два-три адреса. Отправка идёт без шифрования канала, а хранение – на инфраструктуре, за которую вы не отвечаете. После увольнения сотрудника доступ к архиву обращений остаётся у него.
Ошибка четвёртая: чужие скрипты рядом с формой
Онлайн-чат, обратный звонок, запись сессий работают в том же окне, что и форма, и технически видят вводимое посетителем. Пока эти сервисы не перечислены в политике и не покрыты согласием, передача данных третьим лицам происходит молча. Отдельно проверяем мёртвые пиксели от прежних рекламных подрядчиков: они продолжают собирать данные.
Что входит в наш аудит соответствия 152 ФЗ
Работаем по фиксированному порядку:
- осматриваем все формы и их обработчики;
- ищем открытые архивы, дампы и журналы заявок;
- снимаем список внешних запросов страницы;
- проверяем согласие, политику и площадку хранения;
- сверяем список тех, у кого есть доступ к сайту и почте.
Отдаём отчёт с путями к файлам и приоритетами. Правки делаем в рамках технической поддержки, а если сайт совсем старый, считаем и вариант создания нового: на современном движке эти ошибки не возникают в принципе.
Как быстро понять, есть ли проблема
Отправьте себе тестовую заявку с придуманным именем и посмотрите адресную строку. Затем найдите это имя поиском по сайту в поисковой системе. Если оно нашлось, утечка уже произошла.
Сайт делал знакомый, а связи с ним нет
Обычная ситуация. Нам нужен доступ к панели хостинга, дальше мы разбираемся с кодом самостоятельно. Если хостинг оформлен на постороннего человека, аккаунт восстанавливается по документам организации.
Нужно ли что-то делать, если форм на сайте нет
Проверить остаётся немного: подключён ли коллтрекинг с записью звонков и не собирает ли данные встроенный виджет бронирования. Если ничего этого нет, техническая часть требований вас почти не касается.
Посмотрим ваш сайт
Позвоните по номеру +7 (901) 417-22-12 или напишите: найдём утечки и покажем их со скриншотами, без общих слов. Стоимость работ – в разделе цены.