Перевірка підрядників і сервісів: чекліст ризиків перед інтеграцією
Кожен новий сервіс, підключений до сайту, – це не просто функція. Це чужий код, який виконується у ваших відвідувачів, і чужа компанія, яка отримує ваші дані. Підключається за п’ять хвилин, а наслідки залишаються на роки.
Перевірка постачальника звучить як щось для великих компаній із відділом закупівель. Насправді це десять питань, які варто поставити до, а не після.
Що ви насправді підключаєте
Типовий сторонній сервіс отримує більше, ніж здається:
- Дані відвідувачів. Мінімум – адресу й браузер, часто – поведінку й ідентифікатори.
- Право виконувати код. Скрипт на вашій сторінці може технічно зробити майже все, включно з читанням того, що людина вводить у форму.
- Вплив на швидкість. Повільна відповідь чужого сервера гальмує вашу сторінку.
- Вплив на доступність. Якщо сервіс ліг, частина сайту може перестати працювати.
Останній пункт недооцінюють найсильніше: збій у чата підтримки або віджета відгуків здатен зламати верстку або заблокувати відправку форми.
Чекліст перевірки
| Область | Що з’ясувати |
|---|---|
| Дані | Які саме збирає, де зберігає, скільки, чи використовує для навчання |
| Юрисдикція | Країна обробки, чи можна обрати регіон |
| Договір | Чи є угода про обробку даних, чи можна її отримати |
| Субпідрядники | Кому передає далі, чи є список |
| Надійність | Гарантії доступності, історія збоїв |
| Безпека | Двофакторна автентифікація, ролі, журнал дій |
| Вплив на сайт | Вага скрипта, чи вантажиться асинхронно |
| Вихід | Як вивантажити дані, що станеться після припинення |
| Компанія | Скільки на ринку, хто власник, чи є підтримка |
| Ціна на дистанції | Від чого залежить тариф, як росте |
Це не анкета на п’ять сторінок. Більшість відповідей знаходиться в документації за двадцять хвилин, і якщо не знаходиться – це вже відповідь.
Червоні прапорці
- Немає внятної політики обробки даних або вона написана так, що незрозуміло, що саме збирається.
- Немає способу вивантажити свої дані. Означає, що піти буде дорого.
- Немає списку субпідрядників. Ви не знаєте, куди дані підуть далі.
- Скрипт вимагає завантаження в самому початку сторінки. Це прямий удар по швидкості, і зазвичай його можна уникнути.
- Підтримка тільки через форму без строків відповіді. Перевіряється до покупки одним листом.
- Ціна залежить від показника, який ви не контролюєте. Наприклад, від кількості відвідувачів, включно з ботами.
- Сервіс молодий і безкоштовний без зрозумілої моделі заробітку. Або закриється, або монетизує ваші дані.
Що зафіксувати письмово
Мінімум, який захищає в спірній ситуації:
- Які дані передаються й для чого.
- Де обробляються й скільки зберігаються.
- Хто ще отримує доступ.
- Що відбувається з даними після припинення відносин.
- Строк реакції на інцидент і на запити про дані.
Останній пункт особливо важливий: якщо до вас прийшов запит на видалення даних, а сервіс відповідає місяць, строк порушите ви, а не він.
Після підключення
Перевірка на цьому не закінчується, і саме тут зазвичай усе розсипається.
- Заміряйте швидкість до і після. Час відповіді сервера й вага сторінки. Різниця в півсекунди – привід переглянути рішення.
- Перевірте, що сервіс не запускається до згоди на куки. Найчастіше порушення виникає саме при підключенні нового інструмента.
- Внесіть його в карту даних. Той самий список систем, що використовується для запитів на видалення й для розуміння, де що лежить.
- Поставте нагадування на перегляд через рік. Половина сервісів на сайті через рік уже не потрібна.
Ревізія того, що вже підключено
Практична вправа на годину, яка зазвичай дає найбільший результат:
- Відкрийте панель розробника, вкладку мережі, і подивіться список зовнішніх доменів, до яких звертається ваша головна сторінка.
- По кожному дайте відповідь на два питання: що це і хто його ставив.
- Усе, на що не знайшлося відповіді, – кандидат на видалення.
У більшості випадків у цьому списку виявляються скрипти від рекламних кампаній трирічної давності, аналітика, якою ніхто не користується, і віджети, поставлені «подивитися». Кожен із них сповільнює сайт і збирає дані просто так.
Перевірка постачальника вигідна не тим, що ви знайдете порушника. Вона вигідна тим, що після неї ви знаєте, з чого складається ваш сайт. Це знання потрібне при кожній розмові про швидкість, безпеку й дані – і його майже ніколи немає.
