Scripts de terceiros são scripts carregados de domínios externos, como serviços de analytics, redes de anúncios ou widgets incorporados. Embora ampliem a funcionalidade e a experiência do usuário, também trazem risco, porque os donos do site têm controle limitado sobre o código e as atualizações desses scripts. O comprometimento de um provedor terceiro pode se propagar para todos os sites que carregam o script dele, o que pode permitir que atacantes roubem dados ou injetem payloads maliciosos. Monitorar dependências, aplicar verificações de Subresource Integrity (SRI) e revisar periodicamente as fontes confiáveis são passos essenciais para manter uma segurança client-side forte com código de terceiros.
Um script de terceiros é código JavaScript carregado a partir de um domínio diferente do seu: analytics, pixels de publicidade, gerenciadores de tags, SDKs de pagamento, widgets de chat, fontes e ferramentas de teste. Os sites modernos costumam executar dezenas deles. Cada um é executado com os mesmos privilégios do seu próprio código: pode ler a página, acessar os campos do formulário, definir cookies e fazer requisições de rede em nome dos seus usuários.
Você controla o seu código first-party, mas um script de terceiros pode mudar a qualquer momento no servidor do fornecedor, sem nenhum deploy do seu lado e sem aviso. Se esse fornecedor sofrer uma violação, ou se as próprias dependências do script sofrerem, o código malicioso chega à sua página automaticamente. Essa exposição da cadeia de suprimentos é a causa raiz da maioria dos incidentes de Magecart e formjacking e um foco específico do requisito 6.4.3 da PCI DSS.
A cside monitora continuamente cada script de terceiros que suas páginas carregam, analisa o que cada um realmente faz e alerta quando um script começa a se comportar de forma diferente: ler novos campos, contatar novos domínios ou mudar seu payload. Como a cside busca cada script do nosso lado, as mudanças suspeitas podem ser bloqueadas antes de chegarem a um visitante, e cada versão é arquivada para que você tenha um inventário e um histórico de mudanças para as auditorias.
A reputação não garante segurança. Um fornecedor reconhecido pode ser comprometido, ou pode incorporar suas próprias dependências de terceiros que você nunca avaliou. Como o script é atualizado na infraestrutura do fornecedor, uma mudança, maliciosa ou acidental, chega aos seus usuários sem passar pela sua revisão nem pelo seu processo de publicação.
Um script first-party é servido a partir do seu próprio domínio e controlado pela sua equipe. Um script de terceiros é servido a partir de um domínio externo e controlado por um fornecedor. Ambos são executados com acesso total à página, mas apenas o first-party passa pela sua própria revisão de código e deploy.
We answer client-side security questions every day. Bring yours.