Я сделал сканер, который показывает, куда сайт отправляет данные посетителей. Теперь хочу понять, кому он нужен.
Форма заявки на сайте выглядит просто: имя, телефон, кнопка «Отправить». Но за этой кнопкой может скрываться цепочка из конструктора сайта, CRM, сервиса аналитики и стороннего обработчика. Владелец видит форму. Юрист видит политику. Разработчик помнит, как всё настраивал. Полной картины иногда нет ни у кого.
Я решил проверить гипотезу: можно ли автоматически собрать факты о публичной части сайта, а затем дать человеку не страшилку про штрафы, а проверяемый ответ на три вопроса:
1. Какие данные собирает сайт?
2. Куда они могут передаваться?
3. Совпадает ли фактическая работа сайта с опубликованными документами?
Так появился «Периметр».
Почему обычного чек-листа оказалось недостаточно
Большинство рекомендаций по 152-ФЗ выглядит логично: разместите политику, добавьте согласие, проверьте формы, перечислите сторонние сервисы. Проблема начинается на вопросе: «А что именно сейчас делает мой сайт?»
Сайт редко создаёт один человек. Форму установил подрядчик. Метрику подключил маркетолог. CRM меняли год назад. Политику подготовили по анкете, которую владелец заполнял по памяти. Каждый участник знает свой фрагмент, но фактическая конфигурация продолжает меняться.
Чек-лист требует, чтобы владелец уже знал правильные ответы. Я хотел сделать инструмент, который сначала собирает факты.
Например, на странице может быть форма с аккуратной подписью о согласии. Но при проверке возникают дополнительные вопросы:
- не отмечен ли чекбокс заранее;
- открывается ли ссылка на политику;
- соответствует ли оператор в документе владельцу сайта;
- на какой адрес настроена отправка формы;
- какие внешние сервисы загружаются вместе со страницей;
- удалось ли вообще проверить динамическую форму, которую создаёт JavaScript.
Отсутствие находки здесь не всегда означает отсутствие проблемы. Иногда это означает, что страницу не удалось полностью проверить. Для меня это стало одним из главных принципов продукта.
Что делает «Периметр» ?
В базовом профиле программа работает только с тем, что доступно обычному посетителю. Она открывает главную страницу, использует sitemap и внутренние ссылки, анализирует формы, документы, DNS, TLS и заголовки.
Собранные данные проходят через детекторы. Они ищут не только отсутствие политики или чекбокса. Среди проверок есть недоступная ссылка на документ, заранее отмеченное согласие, отправка формы на сторонний сервис, незащищённый канал, специальные категории данных, внешние трекеры и несоответствие реквизитов и т.д. У каждой находки сохраняются основание, место на странице, доказательство и уровень уверенности. Если сайт отрисовывает содержимое скриптами, программа не делает вид, что статического HTML было достаточно.
Для таких случаев есть углублённый профиль с Chromium. Он может отрисовать страницу, открыть безопасные элементы интерфейса и выполнить пробное заполнение формы синтетическими данными.
Почему отчёт не выпускается одной кнопкой ?
Автоматический детектор может ошибиться. Формулировка документа может оказаться нестандартной. IP-адрес CDN не доказывает, где хранится база данных. Недоступная страница не всегда означает, что документа нет. Эти случаи нельзя исправить более уверенным текстом в отчёте.
Поэтому в «Периметре» автоматический результат является черновиком для оператора. Значимые находки нужно подтвердить или исключить вручную. Исключение требует причины, а каждая сохранённая ревизия остаётся в истории.
Только после ревизии программа формирует ознакомительный или полный клиентский отчёт в HTML и PDF. Повторный выпуск не перезаписывает предыдущий. Можно выбрать прошлый запуск как базовый и увидеть, что исправлено, что появилось и что осталось.
Возможно, для простого сканера это слишком тяжёлая схема. Но если результат влияет на решения владельца сайта, мне кажется неправильным прятать неопределённость за красивым баллом от 0 до 100.
Для кого это может быть полезно ?
У меня пока три основные гипотезы.
Владельцы сайтов. Разовая проверка перед запуском, рекламной кампанией или изменением форм.
Веб-студии и агентства. Контроль перед сдачей проекта и дополнительная услуга для клиентов на поддержке.
Юристы и специалисты по персональным данным. Техническая фактура для проверки документов и разговора с разработчиком.
Но вполне возможно, что я неверно определил основного пользователя. Может быть, малому бизнесу нужен только простой список исправлений. Возможно, агентству важнее отчёт без юридической терминологии. А юристу такой объём технических деталей вообще покажется шумом.
Что я хочу спросить у читателей vc.ru
Буду благодарен не за общую оценку «интересно», а за ответы на несколько конкретных вопросов:
1. Кому, по вашему опыту, первым нужен такой инструмент?
2. Что должно быть в отчёте, чтобы вы ему доверяли?
3. Где проходит граница между полезной автоматизацией и сомнительным автоматическим юридическим вердиктом?
4. Стали бы вы заказывать разовую проверку или ценность появляется только при регулярном контроле?
5. Какой недостаток идеи вы видите первым?
Если у вас есть сайт и вы хотите проверить продукт на реальном примере, можно написать мне в личные сообщения и прислать домен.
Но главный запрос к этой публикации всё же другой: помогите понять, решает ли «Периметр» настоящую проблему или я построил аккуратный инструмент вокруг гипотезы, которая никому не нужна.