资源 · 45
第三方脚本和标签：管理访问权限、成本和移除
将每个脚本关联到其用途、所有者、可见数据和已测试的关闭路径。
已更新 · 3 min
本指南有助于实现的目标
- 查找间接加载的脚本
- 减少不必要的数据和依赖项
- 按路径衡量成本
- 移除标签而不影响关键操作
快速检查
- 每个标签的审批人是谁？
- 它还加载了哪些其他脚本？
- 它可以读取哪些文档数据？
- 加载是否遵循用户的集合选择？
- 移除是否经过测试？
分步指南
- 1
观察实际加载情况
检查代表性页面（移动端和桌面端）、已登录用户和匿名用户以及不同的集合选择。 记录发起者、域、大小、频率、下游调用和传输参数。 标签管理器配置并不总是显示完整的调用链。
交付成果：请求和依赖项清单。
- 2
分配用途和所有权
对于每个脚本，记录其功能、提供者、业务所有者、发布权限、受影响页面和实用性标准。 检查依赖关系后，移除没有有效用途的标签。 分离准备和发布权限。
交付成果：标签、用途、所有者和审批注册表。
- 3
检查数据暴露情况
检查 URL、参数、表单数据、标识符和可访问内容。 页面中运行的脚本可能具有比其销售描述所暗示的更广泛的功能。 定义允许的字段、排除项和实际执行的加载条件。
交付成果：观察到的数据流和修复。
- 4
测试合适的保护措施
考虑在允许的情况下使用本地托管、固定版本、兼容资源的 SRI 和加载策略。 SRI 哈希检查预期字节；它不判断代码是否安全或是否涵盖辅助脚本。 更改资源需要更新流程。
交付成果：保护措施、限制和变更流程。
- 5
衡量成本和失败率
对比使用和不使用标签时的相同流程：请求数、处理时间、交互次数和任务完成情况。 模拟服务提供商不可用或响应缓慢的情况。 避免仅基于单一实验室评分得出结论。
交付成果：记录的对比结果和流程预算。
- 6
执行移除操作
在测试中禁用标签，检查表单、购物车、消息和衡量指标，然后准备回滚。 确认脚本不会通过其他容器或插件返回。 在服务提供商变更或新的营销活动后重新检查。
交付成果：移除证据和审查计划。
虚构示例
示例情境
示例：一个旧的推广活动仍在联系表单上加载脚本。
决策及预期证据
团队发现没有实际用途，测试了不带脚本的表单，并确认请求中不再出现脚本。
区分机制
| 机制 | 目的 | 验证或限制 |
|---|---|---|
| 页面内脚本 | 集成功能 | 文档的潜在访问权限 |
| 隔离的 iframe | 根据配置分离内容 | 检查消息和权限 |
| 服务器端收集 | 在浏览器外部处理某些事件 | 仍需数据最小化 |
管理指标
| 指标 | 衡量内容 | 首要行动 |
|---|---|---|
| 合理的标签 | 具有用途和所有者的标签 | 审核孤立条目 |
| 交互成本 | 标签相关的实际操作时间 | 限制或移动加载 |
| 已验证的删除 | 请求中已确认的删除 | 查找间接加载 |
常见错误
- 仅清点第一个脚本
- 将异步与免费混淆
- 未经审核发布标签
- 假设服务器端收集不包括个人信息 数据
常见问题解答
SRI 是否适用于所有标签？
否。这取决于资源类型、浏览器、来源规则以及与预期哈希值兼容的内容。
标签管理器是否属于安全控制？
它集中发布内容，但安全性取决于权限、审核、版本、可访问数据和已加载的脚本。
应该首先移除哪个标签？
经依赖性测试后，移除没有实际用途或成本和曝光量超过已证明价值的标签。
官方参考文献
参考文献支持该方法。 请根据您的实际情况调整检查；它们并非认证。 原始参考文献标题和源文档可能使用其他语言。
