Технический аудит · 02.07.2026

defense.gouv.fr

Министерство вооружённых сил Франции

Политика изменена — посмотреть, что именно · 2026-10-13 →

Министерство вооружённых сил Франции — 51 запрос, инфраструктура на собственных доменах. Политика заявляет аудиторным инструментом AT Internet, освобождённый от согласия. В замере AT Internet отсутствует; вместо него через first-party субдомен cyee.defense.gouv.fr срабатывает Eulerian (CNAME-маскировка, сигнатура сервера EWS), передавая URL страницы, метку Ministere_des_Armees и разрешение экрана — без согласия и без упоминания в политике.

Хронология обращений

+0 мс · загрузка портала

Контент и ресурсы с www.defense.gouv.fr. Просматриваемая страница — раздел о новой модели армии и национальной службе.

+492 мс · скрипт трекера

cyee.defense.gouv.fr/ufU302.js — скрипт Eulerian, отданный с first-party субдомена.

+574 мс · передача данных без согласия

cyee.defense.gouv.fr/col657a — beacon Eulerian передаёт URL страницы, метку Ministere_des_Armees, категорию страницы и разрешение экрана 1920x1080.

Декларация против факта

✓ AT Internet — заявлен как аудиторный инструмент, освобождённый от согласия (со ссылкой на разрешение CNIL) — заявлен

✓ TarteAuCitron — consent-менеджер (собственный хостинг) — заявлен

✓ Обработка аудитории заявлена как анонимная — заявлен

+ Eulerian (cyee.defense.gouv.fr) — фактически сработавший трекер, в политике не назван — не заявлен

+ CNAME-маскировка стороннего трекера под first-party субдомен — не раскрыта — не заявлен

Тайминги передачи

+492 мс cyee.defense.gouv.fr

Eulerian ufU302.js через CNAME-субдомен. Сигнатура сервера EWS.

+574 мс cyee.defense.gouv.fr

Eulerian beacon col657a. URL страницы + метка Ministere_des_Armees + разрешение экрана.

Зафиксированные трекеры

Eulerian (cyee.defense.gouv.fr — CNAME, сигнатура сервера EWS)

Признаки несоответствия GDPR

GDPR Art. 13(1)(e) + Art. 5(1)(a) — прозрачность и раскрытие получателей
Политика заявляет аудиторным инструментом AT Internet. В замере AT Internet не появляется ни разу. Фактически срабатывает Eulerian: субдомен cyee.defense.gouv.fr отдаёт скрипт ufU302.js и beacon col657a с параметрами evariant, pggrp, pglbl — технические признаки Eulerian, включая сигнатуру сервера EWS. Eulerian, субдомен cyee и сам факт CNAME-маскировки стороннего трекера под first-party субдомен в политике не раскрыты. Заявленный получатель данных отсутствует, реальный — не назван.
Art. 82 Loi Informatique et Libertés (ePrivacy) — согласие на нон-эксемпт трекер
Beacon cyee.defense.gouv.fr/col657a срабатывает на +574 мс при состоянии без согласия (Set-Cookie за сеанс ноль, cookie согласия отсутствует). Освобождение от согласия, на которое ссылается политика, предоставлено CNIL для конкретного аудиторного инструмента (AT Internet) при заявленной анонимности. Реально работает иной, непоименованный инструмент, передающий в том числе разрешение экрана (1920x1080) — параметр, используемый для фингерпринтинга, что расходится с заявленной анонимностью аудиторной обработки.

Контекст

defense.gouv.fr — официальный портал Министерства вооружённых сил Франции (Ministère des Armées). Публикует материалы о структуре и задачах вооружённых сил, оборонной политике, национальной службе, наборе. Ответственный за обработку — министерство. Политика конфиденциальности объёмом около 15 500 символов. Замер: 51 запрос, инфраструктура на собственных доменах, снят на чистом браузере. Просматриваемая страница — раздел о новой модели армии и национальной службе.

Кому уходят данные напрямую (до согласия)

Eulerian (через first-party субдомен cyee.defense.gouv.fr) — URL страницы, метка Ministere_des_Armees, категория страницы, разрешение экрана.

Заявленное против фактического

Политика прямо называет аудиторным инструментом сайта AT Internet и указывает, что этот инструмент освобождён от сбора согласия по разрешению CNIL, а собираемые аудиторные данные анонимны. Замер этого не подтверждает: обращений к AT Internet (домены xiti / ati-host) в сеансе нет ни одного.

Вместо заявленного инструмента срабатывает другой. Субдомен cyee.defense.gouv.fr, на первый взгляд принадлежащий самому министерству, отдаёт скрипт ufU302.js и затем отправляет beacon по пути col657a с параметрами evariant, pggrp, pglbl. Эти сигнатуры, а также заголовок ответа Server: EWS, соответствуют платформе Eulerian. Размещение стороннего трекера на собственном субдомене — известная схема CNAME-делегирования, при которой сторонний сервис получает вид first-party. Ни Eulerian, ни субдомен cyee, ни сам факт такой маскировки в политике не упомянуты.

Таким образом расхождение двойное: заявленный получатель данных (AT Internet) в замере отсутствует, а реально работающий (Eulerian) не назван и технически замаскирован под инфраструктуру министерства.

Тайминг относительно согласия

TarteAuCitron загружается на +133 мс, его конфигурация завершается на +481–485 мс. Скрипт Eulerian приходит на +492 мс, а передающий данные beacon — на +574 мс. Состояние сеанса на этот момент — без согласия: за весь сеанс не выставлено ни одной cookie, cookie сохранения выбора согласия отсутствует. Передача данных Eulerian происходит до какого-либо выбора пользователя.

Что передаётся

Beacon Eulerian несёт полный адрес просматриваемой страницы, метку раздела Ministere_des_Armees, категорию страницы (Article) и разрешение экрана 1920x1080. Разрешение экрана — один из параметров, используемых для фингерпринтинга устройства; его передача расходится с заявлением политики о полностью анонимной аудиторной обработке.

Чего по замеру утверждать нельзя

Замер охватывает одну страницу и одно состояние — до согласия. Идентификация инструмента как Eulerian опирается на технические признаки: сигнатуру сервера EWS, схему параметров и имя скрипта; прямого самоназвания «Eulerian» в трафике нет, как и не бывает при CNAME-размещении. Правовая квалификация освобождения от согласия относится к аудиторному инструменту, заявленному в политике; поскольку фактический инструмент иной и непоименован, применимость освобождения к нему по одному замеру не устанавливается — фиксируется факт срабатывания без согласия и без раскрытия. Обработка на стороне сервера в браузерном замере не видна. CSP-заголовок в облегчённом дампе для соответствующих ответов не зафиксирован.

Вывод

Портал Министерства вооружённых сил заявляет в политике один аудиторный инструмент (AT Internet, освобождённый от согласия и анонимный), а в замере работает другой — Eulerian, размещённый через CNAME-субдомен cyee.defense.gouv.fr и оттого выглядящий как собственная инфраструктура министерства. Реальный трекер не назван в политике, срабатывает до согласия и передаёт URL страницы, метку министерства и разрешение экрана. Для сайта оборонного ведомства расхождение между заявленным и фактически работающим инструментом, усиленное маскировкой стороннего сервиса под first-party домен, указывает на несоблюдение требований о прозрачности и требований о раскрытии получателей данных. Устранение: привести политику в соответствие с фактически используемым инструментом, раскрыть его сторонний характер и CNAME-размещение, и подчинить его срабатывание результату выбора в модуле согласия.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: fr/defense-gouv-fr-2026-07-02.har

SHA-256: 7ded1c0878ecab7eebc20a049573bba443bb0df742f964353f697dc2c6a571fa

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — defense.gouv.fr

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта defense.gouv.fr.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Политика заявляет аудиторным инструментом AT Internet. В замере AT Internet не появляется ни разу. Фактически срабатывает Eulerian: субдомен cyee.defense.gouv.fr отдаёт скрипт ufU302.js и beacon col657a с параметрами evariant, pggrp, pglbl — технические признаки Eulerian, включая сигнатуру сервера EWS. Eulerian, субдомен cyee и сам факт CNAME-маскировки стороннего трекера под first-party субдомен в политике не раскрыты. Заявленный получатель данных отсутствует, реальный — не назван.

2) Beacon cyee.defense.gouv.fr/col657a срабатывает на +574 мс при состоянии без согласия (Set-Cookie за сеанс ноль, cookie согласия отсутствует). Освобождение от согласия, на которое ссылается политика, предоставлено CNIL для конкретного аудиторного инструмента (AT Internet) при заявленной анонимности. Реально работает иной, непоименованный инструмент, передающий в том числе разрешение экрана (1920x1080) — параметр, используемый для фингерпринтинга, что расходится с заявленной анонимностью аудиторной обработки.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/fr-defense-gouv-fr/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — defense.gouv.fr

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website defense.gouv.fr.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The policy declares AT Internet as its audience-measurement tool. AT Internet does not appear once in the measurement. What actually fires is Eulerian: the subdomain cyee.defense.gouv.fr serves the script ufU302.js and a beacon at col657a carrying parameters evariant, pggrp, pglbl — technical signatures of Eulerian, including the EWS server signature. Eulerian, the cyee subdomain, and the very fact of CNAME-masking a third-party tracker as a first-party subdomain are not disclosed in the policy. The declared recipient of data is absent; the actual one is not named.

2) The beacon at cyee.defense.gouv.fr/col657a fires at +574 ms in a no-consent state (zero Set-Cookie for the session, no consent cookie present). The consent exemption cited by the policy was granted by the CNIL for a specific audience-measurement tool (AT Internet), on the condition of declared anonymity. In practice, a different, unnamed tool is running, transmitting among other things the screen resolution (1920x1080) — a parameter used for fingerprinting, which departs from the claimed anonymity of the audience-measurement processing.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/fr-defense-gouv-fr/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: CNIL — Национальная комиссия по информатике и свободам — cnil.fr

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — defense.gouv.fr

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом defense.gouv.fr.

2. Обстоятельства
Я посетил сайт defense.gouv.fr и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 02.07.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Политика заявляет аудиторным инструментом AT Internet. В замере AT Internet не появляется ни разу. Фактически срабатывает Eulerian: субдомен cyee.defense.gouv.fr отдаёт скрипт ufU302.js и beacon col657a с параметрами evariant, pggrp, pglbl — технические признаки Eulerian, включая сигнатуру сервера EWS. Eulerian, субдомен cyee и сам факт CNAME-маскировки стороннего трекера под first-party субдомен в политике не раскрыты. Заявленный получатель данных отсутствует, реальный — не назван.

2) Beacon cyee.defense.gouv.fr/col657a срабатывает на +574 мс при состоянии без согласия (Set-Cookie за сеанс ноль, cookie согласия отсутствует). Освобождение от согласия, на которое ссылается политика, предоставлено CNIL для конкретного аудиторного инструмента (AT Internet) при заявленной анонимности. Реально работает иной, непоименованный инструмент, передающий в том числе разрешение экрана (1920x1080) — параметр, используемый для фингерпринтинга, что расходится с заявленной анонимностью аудиторной обработки.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/fr-defense-gouv-fr/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 13(1)(e) + Art. 5(1)(a) — прозрачность и раскрытие получателей; Art. 82 Loi Informatique et Libertés (ePrivacy) — согласие на нон-эксемпт трекер

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — defense.gouv.fr

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website defense.gouv.fr.

2. Circumstances
I visited the website defense.gouv.fr and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 2 July 2026 (open methodology, reproducible measurements) documents the following indications:

1) The policy declares AT Internet as its audience-measurement tool. AT Internet does not appear once in the measurement. What actually fires is Eulerian: the subdomain cyee.defense.gouv.fr serves the script ufU302.js and a beacon at col657a carrying parameters evariant, pggrp, pglbl — technical signatures of Eulerian, including the EWS server signature. Eulerian, the cyee subdomain, and the very fact of CNAME-masking a third-party tracker as a first-party subdomain are not disclosed in the policy. The declared recipient of data is absent; the actual one is not named.

2) The beacon at cyee.defense.gouv.fr/col657a fires at +574 ms in a no-consent state (zero Set-Cookie for the session, no consent cookie present). The consent exemption cited by the policy was granted by the CNIL for a specific audience-measurement tool (AT Internet), on the condition of declared anonymity. In practice, a different, unnamed tool is running, transmitting among other things the screen resolution (1920x1080) — a parameter used for fingerprinting, which departs from the claimed anonymity of the audience-measurement processing.

Full technical documentation is published at: https://gdpru.eu/audits/fr-defense-gouv-fr/

3. GDPR provisions I ask you to examine
GDPR Art. 13(1)(e) + Art. 5(1)(a) — transparency and disclosure of recipients; Art. 82 Loi Informatique et Libertés (ePrivacy) — consent for a non-exempt tracker

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]