Reklama vs. bezpečnost (Javascript)

Všem se nevyhneš. Spíš bych řekl že ničemu. Jediné co vím co jde zabezpečit jsou cookies. Tam se dá zakázat, aby k nim měl javascript přístup.

Reaguji na velkeje:
Kontrolu nad svým webem sdílíš se všemi, od koho linkuješ externí <script>.

„Mám na webech Google AdSense .. a Googlu věřím.“
Proč mu věříš? Přesnější cílení reklamy se bez narušení soukromí návštěvníka neobejde (to jsou ty IP adresy, refereři atd.).

„Co kdyby člověk chtěl zkusit jiný reklamní systém?“
Pokud bys důvěřoval samotnému reklamnímu systému, že získanou moc využívá jen k lepšímu zacílení, měl bys po něm chtít, aby samotné jednotlivé reklamy vždy izoloval od zbytku stránky. K tomu je ideální <iframe>, s bannerem umístěným na jiné doméně. Sice pořád hrozí, že se k uživateli v reklamním kódu dostane třeba vir využívající díru ve flashi (zrovna nedávno jsem řešil ransomware nainstalovaný skrz reklamní plochu na webu českého Tiscali), ale tebou zmiňované JS hrozby jsou ze hry.

Mimochodem, i kdybys odboural všechny technické bezpečností hrozby, pořád ti může nevhodná reklama dost ublížit. Nedávno jsem na jednom seriózním webu potkal AdSense banner, který se mě sdělením „Máte 4 viry!“ snažil přesvědčit, abych si do své windowsové Nokie nainstaloval jakýsi androidový antivir (spíš malware). Zejména dražební reklamní systémy se můžou velmi ošklivě vymknout kontrole.

Ve finále tedy stejně záleží na tom, jak moc můžeš reklamnímu systému věřit – jednak, že tě úmyslně nezradí, jednak, že má pod kontrolou své inzerenty a že ví, co vlastně do tvé stránky sype. Obrazně řečeno: nevylepujete společně plakát na zeď, ale jdete spolu do postele :-)

velkej:
„Proč člověk může (či musí chtě nechtě) Googlu věřit? Protože půlka světa má mobil s Androidem třeba?“

To, že aplikacím v Androidu povoluju přístupy neznamená, že jim věřím, ale že jsem ochotný trpět jejich drzost :-) a vlezlost. Což není u všech, např. u aplikace Facebook messengeru. Stejně tak Google a Androidu zrovna moc nevěřím, ale je to to pro mě nejlepší z trojice iPhone, holá řiť, Android. A je mi jedno, co půlka světa…

Reaguji na velkeje:
„Proč člověk může (či musí chtě nechtě) Googlu věřit? Protože půlka světa má mobil s Androidem třeba?“
Část Googlu odpovědná za reklamní systém bude mít pramálo společného s částí, která se stará o Android.
Zřejmě sis moji otázku vyložil jinak, než byla myšlena. Zmínil jsi, že reklamní systém má přístup k určitým informacím o návštěvníkovi – uvedl jsi to jako riziko, ale z tohoto rizika de facto těží AdSense a tomu věříš, u něj ti to nevadí. Z tvé reakce soudím, že zrovna toto by ti asi nevadilo u žádného…?

„Proč Ty třeba věříš Microsoftu? Svěřuješ mu veškerá svá citlivá data?“
Nesvěřuji. Kdybych se rozhodoval, jestli si na web nasadím reklamní systém od MS, nejspíš by nehrálo žádnou roli, že stejná firma vyrábí i Windows, Office, telefony, klávesnice, myši…

„A že k tomu používá referery, lokalizaci přes IP adresy, kontextové reklamy vzhledem k obsahu webu, remarketing, apod.? Čemu to vadí.“
Pokud by se to zahnalo do extrému, tak různí návštěvníci jsou různě hodnotní. Určitá skupina se potom může jevit jako (momentálně) bezcenná, nevyplácí se pro ni tvořit obsah. Přestane fungovat ten hezký princip, že se tlupa lidí zadarmo sveze s jedním utrácejícím. A ta hodnotná část návštěvníků kolem obsahu jen proběhne, protože je reklama vždy účinně odláká pryč.
Je to trochu paradox, ale myslím, že neznalost cílové skupiny je pro zdravé přežití webu živeného reklamou stejně důležitá, jako její znalost :-)

„Asi nikdy nezkoušet malé reklamní systémy, o kterých není moc známo.“
Nezavrhoval bych je. Pro velké reklamní systémy jsi jen jedním z myriád uživatelů a budou s tebou zacházet podle svých pravidel, nejsi pro ně rovnocenný partner. Můžeš naříkat, že ti AdSense servíruje banner „Máte 4 viry!“, Google ti na to řekne „no tak promiň, to se stane“, ale bude ti ho servírovat klidně dál. U menšího reklamního systému bys patrně měl silnější hlas a mohl by sis toho víc vydupat.
Také si můžeš domlouvat inzerci s konkrétními inzerenty sám, úplně bez reklamního systému – tak to třeba dělá Yuhů na Jak psát web.

„Jak je to třeba s Flashem? Umístit k sobě na web cizí flash. Jaká to může mít rizika?“
Flash má parametr AllowScriptAccess, kterým můžeš určit, jestli mu dovolíš spouštět JS, možné hodnoty jsou always, sameDomain (výchozí) a never. Pokud mu skripty dovolíš spouštět, má opět kontrolu nad vším, v opačném případě je na tom cca stejně, jako <iframe> z jiné domény.
Z hlediska reklam ovšem flash letos definitivně umřel, jen přibližně třetině českých brouzdalů fungují flashové bannery bez potíží. Zbytek má buď mobil, nebo starší verzi flashe bloknutou prohlížečem, nebo Chrome, který flashe paralyzuje.