difesa.it

Контекст

difesa.it — официальный портал Министерства обороны Италии. Сделан на стандартной теме итальянских госсайтов, с интерактивной картой операций. В замере 141 обращение к 12 доменам. Ответственным за обработку данных политика верно указывает само министерство. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика — то есть отражает то, что видит обычный посетитель.

И сразу скажу главное наблюдение: этот сайт показывает два совершенно разных уровня аккуратности в пределах одной страницы. Одну вещь здесь сделали образцово. А другую — ровно наоборот, и тем заметнее на фоне первой.

Аналитика — сделана правильно

Начну с похвалы. Веб-аналитика на сайте — собственная, на государственной платформе, развёрнутая на поддомене самого министерства. Политика честно описывает, что именно собирается: IP-адрес, причём маскированный — последние два байта обнуляются, так что точного посетителя по нему не вычислить, — а также тип браузера, системы и устройства. Замер это подтверждает: аналитика не ставит ни одного cookie и не присваивает посетителю постоянной метки. Здесь обещанное и сделанное совпадают.

YouTube подтягивает рекламную машину Google

А вот дальше — расхождение. На главной встроены два видео с YouTube, и встроены они в обычном режиме, а не в приватном. Разница принципиальная: обычный режим, едва страница открылась, сам по себе подтягивает рекламную инфраструктуру Google — домен DoubleClick, его скрипт статуса рекламы и служебные домены Google, — даже если посетитель не нажимал «play». Именно это и видно в замере: реклама Google активна с четвёртой секунды. Чуть позже YouTube ещё и досылает события логирования о просмотре. Политика же обещает, что подобные сторонние сервисы включаются только после согласия через баннер, — а согласия в замере нет вовсе, и баннер эти ролики ничем не задерживает.

Карта операций уводит IP в США

То, что легко пропустить за более заметным YouTube. Интерактивная карта на сайте загружает свою подложку — картографические тайлы — с серверов компании Esri (сервис ArcGIS), а это американский поставщик. Происходит это уже на +2535 мс, в момент отрисовки карты, и при каждом таком обращении IP-адрес посетителя уходит в США. Карта функциональна и нужна сайту, но получатель данных — иностранная компания, и в политике он не назван.

Политика обещает не передавать данные за рубеж — а передаёт

Здесь всё сходится в одну точку, и это самое серьёзное. Политика министерства прямо заявляет две вещи: что данные не передаются третьим лицам сверх перечисленных и что они не передаются в страны за пределами ЕС. Перечислены при этом только YouTube и соцсети. А по факту IP посетителя в первые же секунды уходит в США сразу двумя потоками — в Google (через рекламную начинку YouTube) и в Esri (через карту). Ни рекламный Google, ни Esri в списке нет, и обещание «за пределы ЕС не передаём» расходится с реальностью напрямую. На сайте оборонного ведомства, где чувствителен даже сам факт того, кто его читает, такое расхождение нельзя считать формальностью.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Содержимое замеров собственной аналитики уходит не в адресе запроса, а в теле, которое в этой облегчённой выгрузке не сохранено, — поэтому про маскировку IP я опираюсь на текст политики, и он согласуется с тем, что cookie и идентификатор отсутствуют. Отсутствие события согласия в замере может означать как то, что баннер не получил нажатия, так и то, что он в принципе не задерживает сторонний контент, — но для итога это не меняет картину: сторонние домены сработали независимо. Замер охватывает главную страницу, точные IP-адреса серверов в выгрузке не сохранены, географию беру по принадлежности доменов и компаний.

Вывод

В пределах одного сайта — два разных подхода к приватности. Аналитику министерство сделало образцово: своя, с маскировкой IP, без cookie, ровно как написано в политике. Но рядом с этим главная страница в первые секунды отдаёт IP посетителя в Google — через видео YouTube в обычном режиме, тянущие за собой рекламный DoubleClick, — и американскому картографу Esri через карту операций. И всё это прямо вопреки собственному обещанию политики не передавать данные ни лишним третьим лицам, ни за пределы ЕС, и до какого-либо согласия. Главное, что должен вынести читатель: министерство, очевидно, умеет делать правильно — оно доказало это своей аналитикой, — а значит, утечка читателей оборонного портала в Google и в США это не неумение, а недосмотр, который тем более стоило бы устранить.