Blokowanie skryptów: dlaczego „wcześniej” jest całą sprawą
Większość naruszeń przy banerach tkwi nie w treści ani w przyciskach, lecz w dziesiątej części sekundy: jeśli skrypt startuje, zanim ktokolwiek zdążył odpowiedzieć, reszta nie ma znaczenia.
Gdy tylko przeglądarka odczyta adres skryptu, nawiązuje z nim połączenie. W tej chwili obcy serwer poznaje już trzy rzeczy: adres IP, otwieraną stronę i cechy techniczne urządzenia. Dzieje się to, zanim wykonany zostanie choćby jeden wiersz skryptu.
Naruszenie tkwi nie w zapisaniu pliku cookie, lecz w nawiązaniu połączenia. Jedno i drugie dzieje się przed pierwszym kliknięciem.
Trzy metody, jeden cel
Od najpewniejszej do rozwiązania doraźnego
- Przepisanie przed wykonaniemBlokada wchodzi w miejsce, w którym przeglądarka wczytuje skrypty, i zmienia je: type="text/plain" zamiast wykonywalnego. Przeglądarka widzi wtedy już tylko tekst.
- Oznaczenie w źródleKażdy skrypt wymagający zgody jest od początku osadzony jako niewykonywalny i nosi oznaczenie celu, któremu służy.
- Przechwytywanie wywołań sieciowychFunkcje, którymi skrypty wysyłają dane, zostają tymczasowo podmienione. Pomaga na spóźnialskich, ale nie na pierwsze wywołanie.
Szczególny przypadek treści osadzonych
Osadzony film albo mapa to nie skrypt, lecz okno na obcą stronę. To okno również nawiązuje połączenie przy ładowaniu – z tymi samymi skutkami.
Zwykłym rozwiązaniem jest wariant dwóch kliknięć: zamiast okna pojawia się najpierw podgląd ze wskazaniem dostawcy. Dopiero kliknięcie ładuje treść. To zarazem najczytelniejsza forma zgody, bo pada w chwili korzystania i odnosi się dokładnie do tej jednej treści.
Typowe luki
- Menedżer tagów. Jeśli sam nie jest blokowany, doładowuje to, co po nim – omijając blokadę od środka.
- Czcionki z obcych serwerów. Wyglądają niewinnie, ale przesyłają ten sam adres IP co każdy inny skrypt.
- Piksele zliczające w e-mailach i na podstronach. Blokada działa tylko tam, gdzie jest osadzona.
- Przekazywanie po stronie serwera. Raportowanie w tle zamiast w przeglądarce omija każdą blokadę – a zgoda i tak jest konieczna.
Ostatni punkt zasługuje na szczególną uwagę, bo przybiera na znaczeniu. Gdy dane pomiarowe przekazuje własny serwer, przeglądarka nie pokazuje niczego podejrzanego – obowiązek zgody nie wynika jednak z widoczności w przeglądarce, lecz z dostępu do urządzenia i późniejszego przetwarzania.