Защита персональных данных сайта в Архангельске: маршрут одной заявки
В этой статье
- Отрезок первый: браузер посетителя
- Отрезок второй: адресная строка
- Отрезок третий: письмо на почту
- Отрезок четвёртый: сторонние скрипты на странице
- Что даёт технический аудит соответствия 152 ФЗ
- Как проверить сайт своими силами за три минуты
- Хватит ли скопировать политику конфиденциальности с чужого сайта
- Заявки приходят в мессенджер, это безопаснее письма
- Кто отвечает, если формы делал прежний подрядчик
- Разберём ваш сайт
Проще всего понять, где у сайта уязвимость, если проследить путь единственной заявки от нажатия кнопки до менеджера. В Архангельске мы делали такой разбор для лесоперерабатывающих компаний, транспортных фирм и туроператоров, которые возят группы на Соловки и в Кенозерье. Дорога заявки почти всегда длиннее, чем думает владелец сайта, и на каждом отрезке данные могут остаться там, где им быть не положено.
Отрезок первый: браузер посетителя
Пока форма не отправлена, введённые значения лежат в памяти страницы. Проблема начинается, если сама страница отдаётся без шифрования: на бесплатном вокзальном или гостиничном Wi-Fi незашифрованная отправка читается вообще без усилий. Второй нюанс – автозаполнение полей на общем компьютере в офисе, где заявку за клиента оформляет менеджер.
Отрезок второй: адресная строка
Если у формы не указан method="post", браузер собирает введённое в сам адрес: /uslugi?fio=Николай&tel=89210000000. Такая строка сохраняется в истории браузера, уезжает в заголовке Referer на сторонние домены, пишется в логи веб-сервера и попадает в отчёты аналитики как отдельная страница. Данные клиента оказываются в четырёх местах сразу, и ни одно из них вы не контролируете.
Отрезок третий: письмо на почту
Самый недооценённый участок. Типовой обработчик отправляет письмо функцией mail через локальный агент, без авторизации на SMTP и без TLS, а на конце цепочки нередко стоит пересылка на личный ящик сотрудника. Что мы находим на сайтах Архангельска чаще всего:
- отправку без шифрования канала и без проверки подлинности отправителя;
- копию каждой заявки в служебный текстовый файл рядом с обработчиком;
- дубль всех обращений на бесплатный ящик, к которому имеют доступ трое;
- отсутствие срока хранения: письма за восемь лет лежат в одной папке.
Отрезок четвёртый: сторонние скрипты на странице
Онлайн-консультант, коллтрекинг, карта и запись сессий выполняются в том же окне, что и форма, и технически способны прочитать содержимое полей. Пока эти сервисы не перечислены в политике и не покрыты согласием, вы передаёте данные третьим лицам молча. Отдельная тема – зарубежные площадки: хранение данных россиян должно оставаться в России, и это проверяется по расположению сервера.
Что даёт технический аудит соответствия 152 ФЗ
Мы проходим маршрут целиком и отдаём отчёт с указанием файлов и строк. Дальше правим:
- переводим все формы на POST и проверяем обработчики;
- включаем авторизованный SMTP с шифрованием канала;
- убираем журналы заявок и архивы из открытых папок;
- ставим отдельную непредзаполненную галочку со ссылкой на политику;
- задаём срок хранения обращений и чистим старые.
Работы идут в рамках технической поддержки сайта, а если ресурс устарел целиком, честнее обсудить создание нового.
Как проверить сайт своими силами за три минуты
Отправьте себе тестовую заявку и посмотрите три вещи: адресную строку после отправки, служебные заголовки полученного письма и наличие галочки согласия рядом с кнопкой. Этого хватает, чтобы отсеять большинство типовых нарушений.
Хватит ли скопировать политику конфиденциальности с чужого сайта
Нет. Документ описывает состав данных, цели и сроки хранения конкретно у вас, а чужой текст к вашим формам не относится. К тому же политика никак не меняет способ, которым форма передаёт телефон.
Заявки приходят в мессенджер, это безопаснее письма
Канал действительно шифрован, но данные уходят на сторонний сервис и остаются в личных телефонах сотрудников без всякого учёта. Такую схему тоже нужно описывать и ограничивать, а не считать готовым решением.
Кто отвечает, если формы делал прежний подрядчик
Перед посетителем отвечает владелец сайта. Поэтому регистрация в реестре операторов и приведение сайта в соответствие с ФЗ № 152 – ваша задача, даже если код писали другие люди много лет назад.
Разберём ваш сайт
Позвоните по номеру +7 (901) 417-22-12 или напишите: пройдём маршрут заявки и покажем, на каком отрезке данные утекают. Смотрите также портфолио и цены.