Технический аудит · 02.05.2026

etoimik.rik.ee

Государственная система электронных судов — доступ сторон к материалам дел

Государственный портал электронных судов: через него стороны получают доступ к материалам уголовных, гражданских и административных дел. RIK знает про privacy-режим — для видео применён youtube-nocookie. Но Cloudflare Insights и Google Fonts оставлены: когда сторона судебного дела заходит на портал, данные о визите уходят в США.

Хронология обращений

+636 мс · при загрузке
static.cloudflareinsights.com — аналитический маяк, загружается с самого etoimik.rik.ee, передача в США. Параллельно Google Fonts (fonts.gstatic.com, 8 запросов) — IP в Google.
Баннер согласия
Отсутствует. Ноль Set-Cookie, ноль consent-запросов. Все внешние запросы — без спроса.
YouTube и WAA
Для embed применён youtube-nocookie.com (правильно), но скрипты ytembeds всё равно тянутся с обычного youtube.com (12 запросов). jnn-pa.googleapis.com — YouTube WAA anti-bot трекинг, 5 запросов в фоне.

Декларация против факта

+ Cloudflare Insights — маяк с самого портала — не заявлен
+ Google Fonts — IP в США — не заявлен
+ YouTube WAA anti-bot трекинг — не заявлен

Тайминги передачи

+636 мс static.cloudflareinsights.com

Маяк Cloudflare, загружен с самого портала. Данные в США

Без точного времени

при загрузке fonts.gstatic.comGoogle Fonts, 8 запросов. IP в Google (США)
при загрузке www.youtube.com12 запросов — скрипты embed с обычного домена, побочный эффект архитектуры YouTube
в фоне jnn-pa.googleapis.com (WAA)YouTube WAA anti-bot трекинг, 5 запросов

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

etoimik.rik.ee — государственная система электронного судопроизводства Эстонии. Через портал стороны судебных дел получают доступ к материалам своих производств: гражданских (споры об имуществе, разводы, опека над детьми), уголовных (ст.10 GDPR — особо чувствительная категория) и административных. Аутентификация через ID-карту. HAR: 99 запросов, 12 уникальных доменов, 11 внешних — все в США.

Что сделано правильно

Для встроенных видео применён youtube-nocookie.com — privacy-enhanced версия (28 запросов), в отличие от terviseportaal.ee, где использовался обычный youtube.com. Нет Google Tag Manager, Google Analytics, DoubleClick, browser-update.org. RIK явно знает, что такое privacy-режим, — и для видео его применил.

Что сделано неправильно

static.cloudflareinsights.com (+636 мс) — аналитический маяк, загружается с самого etoimik.rik.ee, передаёт данные в США. Google Fonts (fonts.gstatic.com, 8 запросов) — IP пользователя уходит в Google. Несмотря на youtube-nocookie для embed, скрипты ytembeds всё равно тянутся с обычного youtube.com (12 запросов), а jnn-pa.googleapis.com (YouTube WAA anti-bot) делает 5 запросов в фоне. Баннера согласия нет, Set-Cookie ноль, consent-запросов ноль.

Один паттерн внутри RIK

Та же организация — RIK — управляет и saada.rik.ee (портал подачи жалоб AKI: cdn.form.io/AWS, Google Fonts, Cloudflare CDN), и etoimik.rik.ee (Cloudflare Insights, Google Fonts, YouTube). Один паттерн: внешние трекеры на государственных порталах с особо чувствительными данными. При этом на etoimik RIK применил youtube-nocookie — значит, знает про privacy-enhanced решения. Но Cloudflare Insights оставлен, Google Fonts оставлен. Знания есть, до конца не доведено.

Вывод

Когда сторона судебного дела заходит на портал, чтобы прочитать материалы своего уголовного или семейного производства, Cloudflare получает данные о визите, Google Fonts получает IP, YouTube WAA работает в фоне — на государственном портале судебной системы. eesti.ee, rajaleidja.ee и edpb.europa.eu доказывают, что ноль внешних трекеров на госпортале возможен. Здесь половина пути пройдена: для видео privacy-режим применён. Осталась вторая половина — убрать Cloudflare Insights и Google Fonts.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: ee/etoimik-rik-ee-2026-05-02.har
SHA-256: 1b85da477d0647e0b5303b6309288459d15fe99ced928e0ee7f89fe8e99be40f
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.