e-epites.hu

Контекст

e-epites.hu — официальный портал строительного администрирования Венгрии (É-Építés Portál), часть Национального строительного реестра (Országos Építésügyi Nyilvántartás). Профессиональное содержание готовит профильное министерство, а эксплуатацию ведёт Lechner Tudásközpont Nonprofit Kft. — государственное некоммерческое предприятие. Через портал доступны информация по строительным разрешениям, электронный строительный журнал и связанные реестровые сервисы (часть — после регистрации). Сайт построен на Drupal 11 (Apache, PHP 8.3). Замер: 174 запроса, 6 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя через Google Tag Manager и GA4. Hotjar (Мальта/ЕС) — IP посетителя через скрипты записи сессий. Cloudflare (США) — IP посетителя через select2 с cdnjs. jsDelivr (ЕС) — IP посетителя через загрузку библиотек.

Заявленное против фактического

Портал сделал то, чего не сделали более простые сайты: у него есть настоящий consent-менеджер — открытый cookiesjsr, и cookie-таблица честно перечисляет собственную сессионную cookie, cookie самого consent-менеджера и Google Analytics, загружаемый через Google Tag Manager. То есть намерение управлять согласием налицо, и аналитика раскрыта.

Замер, однако, выявляет две проблемы. Первая — порядок загрузки. Consent-менеджер cookiesjsr подключается только на +597–687 мс, тогда как Google Tag Manager загружается на +273 мс, GA4 — на +390 мс, а Hotjar — на +391–520 мс. Иными словами, скрипты трекеров подключаются раньше, чем инициализируется механизм, который должен ими управлять; к моменту старта consent-менеджера обращения к Google и Hotjar уже отправлены, а вместе с ними — IP посетителя их провайдерам.

Вторая, и более серьёзная — Hotjar. Это не статистический счётчик, а сервис записи пользовательских сессий и построения тепловых карт: он фиксирует перемещения курсора, клики, прокрутку и способен захватывать взаимодействие с элементами страницы. В cookie-таблице портала Hotjar не упомянут вовсе — при том что Google Analytics в ней назван поимённо. Таким образом, на портале работает необъявленный трекер поведения, причём загружается он до согласия. Дополнительно IP посетителя уходит в Cloudflare (select2 с cdnjs) и в jsDelivr при загрузке библиотек — эти CDN в политике также не названы.

Тайминг относительно согласия

Все внешние обращения идут на +174–687 мс. Ключевое здесь — что трекеры (GTM +273 мс, GA4 +390 мс, Hotjar +391–520 мс) загружаются раньше consent-менеджера cookiesjsr (+597 мс). Механизм согласия физически не мог удержать то, что подключилось до него. Действительного согласия в сеансе не зафиксировано (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Скрипты GTM, GA4 и Hotjar в замере загружены — это уже передало IP их провайдерам, — однако отдельного аналитического обращения GA /g/collect в окне замера нет, и по HAR нельзя утверждать, начал ли Hotjar фактическую запись сессии до согласия; это зависит от конфигурации consent-mode, которая в браузерном замере не видна. Сам факт передачи IP при загрузке скриптов состоялся в любом случае. Hotjar (Hotjar Ltd, Мальта; материнская Contentsquare, Франция) — получатель в ЕС, поэтому по нему вопрос трансграничной передачи в третьи страны слабее, а основная претензия — нераскрытие и запись поведения до согласия; Google и Cloudflare — компании США. Google и Cloudflare могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателя, а не о месте узла. Замер снят в облегчённом виде без тел ответов, поэтому визуальное состояние баннера по нему не восстанавливается — вывод о порядке опирается на тайминги обращений. Серверная обработка в браузерном замере не видна.

Вывод

Портал строительного администрирования Венгрии выстроен аккуратнее среднего: у него есть consent-менеджер cookiesjsr, а Google Analytics в cookie-таблице объявлен. Тем не менее реализация даёт сбой сразу в двух местах. Во-первых, скрипты трекеров — Google Tag Manager, GA4 и Hotjar — загружаются раньше, чем инициализируется сам consent-менеджер, поэтому до согласия IP посетителя уже уходит их провайдерам. Во-вторых, Hotjar — сервис записи сессий — в политике не раскрыт вовсе, хотя это трекер поведения более чувствительный, чем объявленная статистика. Передача IP нераскрытому получателю (Hotjar), а также в Google и Cloudflare до фактического согласия, при наличии, но неэффективной работе механизма согласия, составляет нарушение требований о раскрытии получателей и о порядке получения согласия. Устранение в руках оператора: загружать GTM, GA4 и Hotjar только после инициализации consent-менеджера и только при согласии, внести Hotjar (и используемые CDN) в cookie-таблицу как получателей, а по возможности разместить библиотеки локально.