安全性：跟踪像素 [关闭]答案

【问题标题】：Security: tracking pixels [closed]安全性：跟踪像素 [关闭]
【发布时间】：2012-10-19 15:07:07
【问题描述】：

我们公司与推广我们产品的关联公司合作。他们根据为我们带来的销售额获得报酬。

为了跟踪转化，他们要求我们将第三方跟踪像素放在我们的“谢谢”页面（通过第三方计费处理器完成付款后我们的客户被重定向的最后一页）。

因此，我们最终在“谢谢”页面上发现了大量跟踪 JS 代码和隐藏的 iframe。

安全吗？
计费处理器通过 GET 变量将敏感数据发送到此页面，我们不希望关联公司可以访问这些数据。

或者也许有更好的方法来做到这一点？例如，将我们关联公司的所有跟踪代码存储在数据库中，然后只加载与客户推荐匹配的代码？

更新

我担心“第三方跟踪像素”不是来自“受信任的”第三方（如 Google、Yahoo），而是由我们的关联公司定制的。

【问题讨论】：

这是哪个计费处理器？他们确实应该将敏感数据与用户分开发布，并从 GET 或 cookie 中读取不太敏感的会话 ID（这还不如说是卡号...）...
我们与 ClickBank 合作。他们不通过 GET 发送信用卡号。我担心电子邮件、收据、交易金额。一个跟踪代码可能会收集所有这些并生成有关我们收入的报告。这真的不好:o)))
见：stackoverflow.com/questions/2157396/…

【解决方案1】：

您不必担心附属公司。通常，此类解决方案仅与您的合作伙伴交谈并在此分发。

至于 GET 参数或页面内容，只需阅读 JavaScript 代码并查看其行为方式即可。如果它不评估某些响应并且不触及 DOM 元素和 cookie，那么你就可以了。我真的认为他们没有理由需要这样做。但是，如果合作伙伴似乎不值得信任，那为什么还要与他们打交道呢？

请注意，如果您请求静态资源（作为图像），则只会发送由图像的位置域设置的 cookie。要查看您的页面上发生了什么，请使用 Firebug 或 Chrome 开发人员工具并检查正在发送的请求标头。

【讨论】：