inteltoday.org

Контекст

inteltoday.org — независимый блог о европейских спецслужбах, размещённый на платформе WordPress.com и зарабатывающий через её рекламную программу WordAds. Аудит сделан по разделу «Европейские агентства: Италия». Важная оговорка о юрисдикции: у самого блога нет отдельной итальянской привязки — и площадка, и политика конфиденциальности принадлежат американской компании Automattic и едины для всей платформы. В замере 94 обращения к 37 доменам — это крупнейший рекламный стек во всей серии. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.

Был ли баннер согласия

Баннер есть, но появляется он позже самой рекламы. Уведомление о cookie приходит на +2261 мс, а полный список рекламных вендоров подгружается лишь на +9610 мс — почти на десятой секунде. К этому времени рекламная инфраструктура давно работает: аналитика, обёртка аукциона, Google и Amazon запущены ещё в первые две секунды, а первая синхронизация идентификатора с биржей ушла и вовсе на +1310 мс — раньше, чем уведомление вообще показалось. Явного нажатия «принять» в замере нет.

Согласие говорит «нет» — а реклама всё равно работает

Это сердцевина разбора, и здесь нужна точность. Каждый запрос к рекламным биржам несёт с собой особую машинную строку — стандартный отраслевой формат записи того, на что пользователь согласился. Я эту строку расшифровал. И в ней не разрешена ни одна цель обработки данных: согласия нет ни на что.

То есть биржи получают однозначный сигнал «пользователь ничего не разрешил» — и всё равно делают своё дело: больше десяти рекламных площадок синхронизируют между собой идентификаторы посетителя, чтобы узнавать его на разных сайтах и подбирать рекламу. Сигнал отказа и фактическое поведение прямо противоречат друг другу. Это уже не просто «трекеры сработали раньше согласия» — это работа поверх явно зафиксированного отсутствия согласия.

Кто получает данные

Чтобы было предметно, вот кто участвует в этом обмене: рекламная система Google, Amazon, и целый ряд рекламных бирж — Rubicon, OpenX, TripleLift, 33Across, GumGum, Media.net, Casale Media, OmnitagJS, SmartAdServer. Полтора десятка получателей, и каждый забирает свою долю данных о визите. В политике же не назван ни один из них — только обобщённые «рекламные партнёры». Посетитель из документа никак не узнает, что его данные расходятся по такому количеству компаний.

Google Analytics — здесь дважды мёртвый

Отдельная деталь. Установленный счётчик — это даже не прошлая, а позапрошлая версия Google Analytics, ещё более старая, чем та, что Google отключил в 2023 году. Запрос к ней по-прежнему уходит, и IP посетителя вместе с ним, но обрабатывать эти данные давно нечему — счётчик мёртв. Очередное свидетельство, что стек собран по инерции и никем не сопровождается.

Это схема платформы, а не выбор блога

Важно для справедливости. Весь этот рекламный аукцион — не то, что настроил автор блога про спецслужбы. Это стандартная монетизация WordPress.com: подключаешь WordAds — и платформа сама вешает на сайт весь набор бирж. Поэтому ровно та же картина повторяется на миллионах бесплатных блогов с этой программой, независимо от их содержания. С одной стороны, это снимает вопрос личного умысла автора. С другой — делает находку куда масштабнее: это поведение не одного сайта, а целой платформы.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Установку cookie на стороне бирж в этой облегчённой выгрузке напрямую не видно — о синхронизации идентификаторов я сужу по характерным запросам обмена, а не по сохранённым заголовкам. Отсутствие нажатия «принять» означает, что строка отказа — это состояние по умолчанию, а не обязательно сознательный отказ живого человека; но именно это и видит обычный посетитель в первые секунды. Часть бирж формально может ссылаться на «законный интерес» для отдельных операций, однако синхронизация рекламных идентификаторов — это как раз то, что по правилам требует согласия. И напомню: площадка и политика — общие, американские, аудирован раздел про Италию.

Вывод

Это самый тяжёлый случай серии по объёму рекламной слежки. Полный аукцион в реальном времени — Google, Amazon и десяток бирж — синхронизирует идентификаторы посетителя, хотя машинная запись согласия прямо говорит, что не разрешено ничего. Ни один из полутора десятков получателей в политике не назван, а сверху ещё и мёртвый счётчик Google впустую утекает IP. И поскольку всё это — стандартная монетизация платформы, а не выбор конкретного блога, та же схема работает на миллионах подобных сайтов. Главное, что должен вынести читатель: здесь интересы читателя — в данном случае интерес к теме спецслужб — уходят на рекламный рынок несмотря на сигнал, что согласия он не давал.