Scripts de terceiros são frequentemente implantados em todo o site, geralmente injetados nas tags head em frameworks web como Next.js por meio do arquivo '_document.js'. Essa implementação ampla, embora conveniente para desenvolvedores e muitas vezes recomendada pelos guias de integração, faz com que esses scripts sejam executados em todo o site. É mais simples de implementar, mas também introduz riscos de segurança e problemas de desempenho que costumam ser ignorados.
O recente vazamento de dados da Kaiser Permanente mostra os perigos de ter scripts de terceiros mal gerenciados. Como escrevemos em nossa análise completa do incidente:
Em 29 de abril, a gigante da saúde Kaiser Permanente divulgou um vazamento de dados que impactou 13,4 milhões de membros atuais e antigos do plano de saúde. O incidente teve origem no gerenciamento inadequado de scripts de terceiros. A Kaiser Permanente utilizava códigos de rastreamento para monitorar como seus membros navegavam pelo site e pelos aplicativos móveis. Algumas dessas páginas continham dados sensíveis de saúde, o que levou os scripts de terceiros a transmitir inadvertidamente informações a fornecedores terceiros que não deveriam ter acesso a elas. Embora a violação não tenha sido resultado de um sequestro de script, ela evidencia uma falha grave no gerenciamento de scripts de terceiros.
Mas o problema vai além do vazamento de informações potencialmente sensíveis para fornecedores terceiros. Ele reflete a realidade de que scripts de terceiros são amplamente utilizados, mas raramente examinados ou monitorados. E menos ainda protegidos.
Os riscos de implantar scripts de terceiros em todo o site
Já que abordamos os motivos pelos quais as pessoas costumam implantar scripts globalmente, vamos analisar alguns dos problemas que eles introduzem.
1. Acesso não controlado a dados
Foi exatamente isso que aconteceu no caso da Kaiser Permanente. Scripts de terceiros implantados globalmente frequentemente têm acesso a dados sensíveis nas páginas web. Isso pode incluir entradas do usuário, informações de sessão e outros dados confidenciais. Sem controles rigorosos, esses scripts podem vazar dados para partes não autorizadas, de forma inadvertida ou maliciosa. No caso da Kaiser Permanente e de outras organizações de saúde, os scripts de terceiros geralmente não são compatíveis com a Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA), tornando um vazamento de dados para esses fornecedores um incidente grave.
2. Ataques à cadeia de suprimentos
Invasores podem comprometer a cadeia de suprimentos web ao atacar serviços de terceiros e injetar código malicioso nos scripts. Esses scripts comprometidos podem então propagar malware, roubar dados ou realizar outras ações prejudiciais em todos os sites onde estão implantados. Isso já é grave por si só, mas fica ainda pior quando os scripts são implantados globalmente e têm acesso a mais dados e usuários.
É claro que o cside protege contra isso.
3. Aplicações Web de Página Única (SPAs)
SPAs não lidam bem com scripts. A menos que o desenvolvedor force um recarregamento completo ao navegar para uma página sensível, todos os scripts carregados anteriormente permanecem presentes. Qualquer script de terceiros carregado inicialmente continua em execução e pode acessar dados sensíveis durante toda a sessão do usuário — exceto quando a página é completamente recarregada —, aumentando o risco de vazamentos de dados e acessos não autorizados.
4. Riscos de Conformidade e Regulatórios
As organizações precisam cumprir diversas regulamentações de proteção de dados, como GDPR, HIPAA e PCI DSS 4.0. O gerenciamento inadequado de scripts de terceiros pode levar ao descumprimento dessas normas, resultando em multas pesadas e consequências legais.
Com o PCI DSS 4.0 exigindo o monitoramento de scripts de terceiros até março de 2025, o momento de começar e implementar o cside é agora. Além de garantir a conformidade, ele vai além ao introduzir bloqueio autônomo para uma proteção ainda mais eficaz.
5. Problemas de Desempenho e Estabilidade
Talvez menos crítico, mas definitivamente perceptível: scripts de terceiros mal otimizados deixam os sites mais lentos. Qualquer instabilidade ou problema no serviço de terceiros pode impactar diretamente a funcionalidade e a disponibilidade do site hospedeiro. Um site que carrega em 1 segundo tem uma taxa de conversão 3x maior do que um site que leva 5 segundos para carregar.
Proteja-se contra esses problemas
Assim como as diretrizes do PCI DSS 4.0, somos defensores do monitoramento contínuo de segurança e incentivamos todos os proprietários de sites a adotá-lo. Acreditamos que aplicá-lo a todas as páginas é a abordagem mais eficaz.
Você pode fazer isso usando nosso plano gratuito. É self-service para deixar você em conformidade e seguro em minutos. E estamos sempre à disposição para ajudar quando necessário.
Nosso script reescreve as origens dos outros scripts do seu site para canalizá-los pelo proxy do cside. Ele também realiza detecções no lado do navegador. Isso permite que o cside medeie o fluxo de requisições entre o usuário e o script de terceiros sem adicionar latência. Em alguns casos, pode até melhorar o desempenho ao fazer cache de scripts estáticos.
Isso garante visibilidade total sobre os scripts servidos, em 100% das sessões e em todas as páginas.
Para saber mais sobre como nossa abordagem se diferencia, leia aqui.
