Customer journey hijacking é a manipulação da sessão de um visitante por código não autorizado que o desvia do caminho que o seu site pretendia: anúncios e pop-ups injetados sobre as suas páginas de produto, redirecionamentos forçados ou parâmetros de affiliate trocados silenciosamente. O visitante culpa o seu site; a sua análise de dados, na maior parte, não consegue enxergar isso.
Resumo: código injetado que desvia seus compradores
- O que é: Código não autorizado manipula a sessão de um visitante com anúncios injetados, redirecionamentos forçados ou tags de afiliado trocadas que o afastam do caminho de compra.
- Duas origens: A injeção do lado do cliente (adware, extensões, provedor de internet) afeta um visitante em toda parte; a injeção do lado do site, a partir de um script de terceiros malicioso, afeta todo o seu tráfego.
- O custo: Um imposto silencioso sobre a conversão que a analytics padrão subestima, porque a interferência acontece no navegador, e não nos seus servidores.
Sem tempo? Veja o monitoramento do lado do cliente da cside. Ele observa o que realmente é renderizado nos navegadores dos visitantes: elementos estranhos, redirecionamentos inesperados, scripts não autorizados.
Como funciona o customer journey hijacking?
Duas origens distintas produzem o mesmo sintoma:
| Injeção client-side | Injeção no próprio site | |
|---|---|---|
| Origem | Adware, extensões maliciosas, injeção do provedor no dispositivo do visitante | Um script de terceiros comprometido ou malicioso na sua página |
| Quem é afetado | Aquele visitante, em todos os sites que navega | Todos os visitantes do seu site |
| Visível na sua análise de dados? | Em geral, não: as mudanças no DOM acontecem localmente | Apenas como quedas e rejeições inexplicáveis |
| Cargas típicas | Anúncios de concorrentes, overlays de "ofertas", pop-ups de cupom | Redirecionamentos, hijacking de affiliate, anúncios injetados |
No caso client-side, um software na máquina do visitante reescreve as suas páginas enquanto elas renderizam, inserindo anúncios de produtos (frequentemente de concorrentes) por cima do funil que você construiu com tanto cuidado. No caso do próprio site, um dos scripts que a sua página carrega é quem faz a injeção, o que o torna um incidente de cadeia de suprimentos: a mesma classe de problema da injeção de JavaScript em geral, só que apontada para a receita em vez dos dados de cartão.
Quanto isso custa
O dano é um imposto de conversão silencioso, não uma manchete de vazamento: sessões que veem ofertas injetadas convertem pior, comissões de affiliate são reivindicadas por parâmetros que você nunca definiu, e a confiança na marca se desgasta quando os visitantes atribuem os pop-ups a você. Como a interferência acontece no navegador, a análise de dados padrão a subnotifica: o funil só parece vazar mais do que deveria.
Como detectar e reduzir
- Meça sessões reais. Hijacking é manipulação do DOM, e manipulação do DOM é observável. O monitoramento client-side da cside observa o que de fato renderiza e executa nos navegadores dos visitantes: elementos estranhos, redirecionamentos inesperados, scripts que a sua página nunca autorizou.
- Inventarie os seus próprios scripts. O hijacking no próprio site chega pelas tags que você carrega. Um inventário de scripts autorizados com detecção de mudanças, a mesma disciplina que o PCI DSS exige nas páginas de pagamento, captura uma tag de parceiro que começa a redirecionar.
- Endureça as páginas do funil. Uma Content Security Policy rigorosa restringe o que as injeções feitas no próprio site conseguem carregar, e as páginas de checkout merecem o tratamento mais rigoroso.
- Proteja a sessão de ponta a ponta. Onde o hijacking se sobrepõe à fraude (cookie stuffing, affiliates falsos), a inteligência de dispositivos identifica a automação por trás.
