Соответствие 152 ФЗ в Альметьевске: где сайт теряет данные технически
В этой статье
- Форма, отправленная методом GET
- Заявка, которая едет на почту открытым текстом
- Кто ещё имеет доступ к вашей базе заявок
- Виджеты, которые читают поля формы
- Что проверяем в первую очередь
- Сколько времени занимает приведение сайта в соответствие с ФЗ № 152
- Нужен ли аудит, если сайт – простая визитка на пять страниц
- Мы уже подали уведомление в Роскомнадзор, этого достаточно
- Заказать проверку
Проверка начинается не с документов, а с кода. В Альметьевске мы разбирали сайты нефтесервисных подрядчиков, поставщиков трубной арматуры и учебных центров, и почти всегда дыра оказывалась не в тексте политики, а в двух-трёх строках вёрстки. Ниже – техническая часть, которую видно снаружи, без доступа к серверу.
Форма, отправленная методом GET
Самая частая находка. Если у тега form не задан method="post", браузер уходит по адресу вида /kontakty?name=Ильдар&phone=89170000000. Дальше эта строка живёт сама: попадает в историю браузера на общем компьютере в цеху, в логи веб-сервера и корпоративного прокси, в отчёты аналитики как «страница входа», иногда и в поисковый индекс. Имя и телефон заказчика превращаются в публичный URL, и вычистить их из чужих журналов уже нельзя.
Проверяется это за минуту: заполните форму тестовыми данными и посмотрите на адресную строку после отправки. Если там видны ваши значения – сайт уже нарушает требования к обработке персональных данных, независимо от того, подано уведомление в Роскомнадзор или нет.
Заявка, которая едет на почту открытым текстом
Второй по частоте случай. Скрипт формы отправляет письмо через локальный sendmail без SMTP и без шифрования канала. Письмо с ФИО, телефоном и суммой заказа проходит несколько промежуточных узлов в открытом виде. Добавьте сюда пересылку на личный ящик менеджера на бесплатном сервисе – и данные клиентов оказываются на инфраструктуре, за которую вы не отвечаете.
Кто ещё имеет доступ к вашей базе заявок
При смене подрядчика доступы почти никогда не отзывают. Мы регулярно находим на сайтах Альметьевска:
- активные FTP-аккаунты студий, закрывшихся несколько лет назад;
- админ-пользователей с чужими почтовыми адресами и правами суперпользователя;
- файлы вида zayavki.txt и mail.log в корне сайта, открытые по прямой ссылке;
- копии базы в архиве backup.zip, доступном без пароля.
Такой архив находит не только аудитор, но и любой сканер. Первое действие после расставания с прежним исполнителем – ревизия доступов, а не заказ новых документов.
Виджеты, которые читают поля формы
Сервисы обратного звонка, онлайн-чаты, коллтрекинг и записи сессий работают через сторонний JavaScript. Он выполняется в том же окне, что и ваша форма, и технически видит всё, что вводит посетитель. Если такой скрипт подключён, значит третье лицо участвует в обработке, и это должно быть отражено в вашей политике и в согласии, а не оставаться внутренним делом маркетолога.
Что проверяем в первую очередь
- Метод отправки всех форм и наличие HTTPS на страницах со формами.
- Отдельную непредзаполненную галочку согласия со ссылкой на политику.
- Маршрут заявки: куда пишется, где хранится, кто читает.
- Список внешних скриптов и площадку хранения данных.
По итогам выдаём отчёт с конкретными файлами и строками. Правки вносим в рамках технической поддержки, заодно закрывая находки проверки на вирусы.
Сколько времени занимает приведение сайта в соответствие с ФЗ № 152
Технический аудит соответствия 152 ФЗ – один рабочий день. Исправление форм, согласия и доступов на типовом корпоративном сайте – от двух до пяти дней. Если сайт писался под заказ десять лет назад и формы работают на самописном обработчике, добавляется время на переделку обработчика.
Нужен ли аудит, если сайт – простая визитка на пять страниц
Нужен, если на визитке есть хотя бы одна форма или кнопка «заказать звонок». Объём сайта не влияет: значение имеет сам факт сбора телефона или почты посетителя.
Мы уже подали уведомление в Роскомнадзор, этого достаточно
Регистрация в реестре операторов и техническая защита – разные вещи. Уведомление говорит о том, что вы обрабатываете данные, но не мешает форме утекать через адресную строку. Проверять надо и то и другое.
Заказать проверку
Пришлите адрес сайта – посмотрим формы, скрипты и открытые файлы, покажем находки со скриншотами. Телефон +7 (901) 417-22-12, смету на доработки смотрите в разделе цены.