aise.it

Контекст

AISE (Agenzia Internazionale Stampa Estero) — итальянское пресс-агентство, основанное в 1975 году. Его аудитория специфична: итальянские СМИ за рубежом, дипломатические представительства и избранные за границей итальянские депутаты. Это не госорган, а частное информационное агентство с базой подписчиков. В замере 123 обращения к 14 доменам — самый насыщенный трекинг-стек из всех разобранных сайтов серии.

И сразу важное отличие от похожих случаев: здесь трекеры не просто были вызваны — они реально отработали. Все внешние запросы вернулись успешно, скрипты загрузились и выполнились. Так что речь не о намерении, а о состоявшейся слежке.

Был ли баннер согласия

Баннер есть, но он декоративный. Его скрипт загружается на +298 мс — а уже на +299 мс, ровно через миллисекунду, стартует первый внешний трекер. Между появлением механизма согласия и началом слежки нет даже паузы на то, чтобы пользователь успел что-то нажать. Никакого следа зафиксированного решения в замере нет. Иначе говоря, баннер на сайте присутствует только для вида: задержать трекеры до выбора пользователя — его единственная задача — он не выполняет.

Пять трекеров — и все реально сработали

В первую же секунду на странице оживает целый набор: государственная для Италии было бы привычно, но здесь всё иностранное и коммерческое. Google Analytics со своим замером посещения. Facebook Pixel. Рекламный пиксель сети brznetwork. Сервис Embedly. И итальянский счётчик ShinyStat — сразу пятью отдельными обращениями, причём часть из них добивает спустя почти пять секунд после открытия. Пять независимых внешних сервисов, и ни один в этом замере не дал сбоя — в отличие от некоторых других сайтов, где трекеры срывались на ошибке, здесь они отработали полностью.

Facebook получил хешированный идентификатор посетителя

Это самая серьёзная находка. В запросе к Facebook передан параметр с 64-значным значением — это хешированный идентификатор посетителя (как правило, хешированный адрес электронной почты), отправленный по технике, которую Meta называет Advanced Matching. Смысл этой техники ровно один: сопоставить анонимного на первый взгляд посетителя сайта с его конкретным профилем в Facebook и Instagram.

И вот здесь принципиальное расхождение с политикой. Документ обещает, что собираемые данные «полностью анонимны и не позволяют опознать отдельных посетителей». Но передача идентификатора, привязанного к человеку, — это противоположность анонимности. То, что он хеширован, ничего не меняет по сути: хеш необратим для постороннего, но для Meta это рабочий ключ к опознанию пользователя. И всё это уходит на +424 мс — задолго до любого согласия. Facebook в политике не упомянут ни словом.

Google Analytics стоит — но он уже мёртвый

Любопытная деталь, которую видно только при внимательном чтении. Google Analytics здесь работает на старой версии — так называемой Universal Analytics. А её сам Google отключил ещё в середине 2023 года: эти счётчики больше не обрабатывают данные. Что это означает на практике: запрос в Google по-прежнему уходит, и IP-адрес посетителя вместе с ним, — но полезной аналитики он уже не собирает, данные попадают в никуда. То есть утечка IP в США сохраняется, а смысл слежки давно утерян. Это лишнее свидетельство, что стек на сайте никто не сопровождает: его просто оставили висеть.

Рекламный пиксель brznetwork

Ещё один незаявленный гость — обращение к рекламной сети brznetwork, оформленное как загрузка крошечной картинки. Это классический рекламный трекинг-пиксель: сам по себе он ничего не показывает, его задача — зафиксировать факт визита для рекламной сети. В политике он, разумеется, тоже не упомянут.

Политика — чужая, старая и обещает лишнее

Документ датирован 2018 годом. Ответственным за обработку данных он называет не само агентство AISE, а стороннюю компанию Sogedi srl, с контактами на чужом домене, — так что посетитель в принципе не понимает, кто отвечает за его данные. Из пяти реально работающих трекеров политика знает ровно один — Google Analytics, — и именно про него обещает полную анонимность.

Справедливости ради, одну вещь эта политика не нарушает: в отличие от ряда других сайтов, она не утверждает ложно, будто данные за рубеж не передаются, — напротив, передачу за границу она прямо допускает. Так что претензии о «ложном обещании не передавать за рубеж» здесь нет. Зато есть другое внутреннее противоречие: документ отдельно оговаривает, что маркетинг требует явного согласия, — а маркетинговый пиксель Facebook срабатывает безо всякого согласия, в первую же секунду.

Почему «низкой» чувствительности здесь мало

Стоит объяснить, почему я поднял оценку чувствительности по сравнению с первичной. Дело не в самом сайте, а в его аудитории. Это агентство читают дипломатические миссии и избранные за рубежом депутаты — то есть среди отслеживаемых посетителей с высокой вероятностью оказываются люди, чьё профилирование в рекламной системе Meta куда чувствительнее, чем профилирование случайного читателя новостей. Передача хешированного идентификатора такого посетителя в Meta — это не безобидный счётчик. Поэтому я считаю «низкую» оценку заниженной и ставлю среднюю.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Хеш в запросе к Facebook необратим — по нему я не могу восстановить исходный адрес и не утверждаю, чей именно это идентификатор; я фиксирую сам факт передачи привязанного к посетителю значения. Замер охватывает только главную страницу. В этой облегчённой выгрузке не сохранены IP-адреса серверов, поэтому географию я беру по принадлежности доменов. И я не вижу, что именно сконфигурировано внутри счётчиков сверх переданных параметров.

Вывод

Это самый тяжёлый случай серии. Пять разных внешних трекеров, и все они в этом замере реально отработали, а не сорвались. Facebook получил привязанный к посетителю хешированный идентификатор ещё до согласия — прямо вопреки обещанию политики о полной анонимности. Google Analytics висит на давно отключённой версии и теперь лишь впустую утекает IP в США. Рекламный пиксель и итальянский счётчик не названы вовсе. Баннер согласия чисто декоративный и ничего не задерживает. А сама политика — 2018 года, с чужим титуляром, знающая один трекер из пяти. Главное, что должен вынести читатель: агентство, которое читают дипломаты и депутаты за рубежом, отдаёт их в рекламную машину Meta с первой же секунды — и обещает им при этом анонимность, которой нет.