Что сайт рассказывает о ваших людях, хотя вы этого не публиковали

Сайт компании состоит не только из того текста, который на него положили. Рядом с текстом живут адреса страниц, даты их изменения, выложенные файлы вместе со своими служебными свойствами, фотографии, перечень внешних сервисов на странице и ответы сервера. Всё это отдаётся любому, кто открыл сайт, — не потому, что кто-то что-то взломал, а потому, что так устроен веб.

Сразу оговорка, без которой разговор превращается в запугивание. Мы не знаем и не беремся утверждать, что чей-то конкретный сайт уже кто-то изучал. Статья не про угрозу, а про ревизию: что именно о вашей компании и ваших сотрудниках можно собрать с сайта помимо опубликованного текста, как проверить это самому за час и что из найденного имеет смысл поправить. Каждый пункт ниже вы можете проверить своими руками, не привлекая ни нас, ни кого-либо ещё.

Инструментов не понадобится: хватает браузера и файлового менеджера. Разумный порядок — пройти по списку сверху вниз и записывать находки в один документ, в три колонки: «убрать», «закрыть от показа поисковым системам», «оставить как есть». Третья колонка окажется самой длинной, и это нормальный результат, а не признак, что вы плохо искали.

Начните с карты сайта. Откройте в браузере адрес своего сайта и допишите в конце /sitemap.xml — чаще всего там лежит перечень всех страниц, которые сайт сам предлагает поисковым системам. Рядом полезно открыть /robots.txt: это текстовый файл с указаниями для роботов, и в нём обычно перечислено, какие разделы просили не показывать, а внизу — ссылки на все карты сайта, включая те, о которых вы могли забыть.

Что искать в этом списке. Разделы, которые вы считали снятыми с публикации. Страницы старых акций и мероприятий. Черновики, которые делались «показать руководителю» и остались. Персональные страницы сотрудников, которые уже не работают. Вторую языковую версию, про которую внутри компании давно не вспоминали. Всё это не секретная информация — это просто то, что вы не планировали держать открытым.

В карте сайта у каждого адреса обычно стоит дата последнего изменения. Отдельно даты видны в разделе материалов, в карточках команды, в подписях к новостям. По ним со стороны читается не содержание, а ритм: когда компания что-то меняла, когда замолкала, когда внезапно обновила половину раздела за один день.

Само по себе это не проблема, а свойство публичности, и бороться с ним бессмысленно. Хороший сайт как раз и обновляется быстро: в нашем кейсе VERBA Legal зафиксировано, что новые практики и партнёры появляются на сайте в день анонса. Это сильная сторона, а не утечка.

Проблема начинается там, где даты расходятся с тем, что компания говорит вслух. Раздел «мы ежемесячно публикуем обзоры» с последней записью двухлетней давности. Карточка сотрудника, которая обновлялась вчера, хотя человек ушёл полгода назад. Проверка здесь простая: пройдите по разделам и сверьте последнюю дату с тем, что вы о себе утверждаете. Расхождения правятся за один заход.

Самая частая находка — не в тексте, а рядом с ним. Тестовые версии сайта на отдельных адресах вроде test., dev. или new., оставшиеся с прошлой разработки. Старая версия сайта, которую «пока не удаляем». Папки с выгрузками и резервными копиями. Служебные входы в систему управления.

Как проверить самому. Откройте поиск и наберите запрос вида site:вашдомен.ru — поисковая система покажет, что у неё есть по вашему домену; просмотрите весь список до конца, а не первую страницу. Повторите с приставкой для поддоменов, если ваша поисковая система это умеет. Попробуйте руками открыть несколько типовых адресов: test, dev, new, old, stage, beta перед именем домена. Загляните в карту сайта и в robots.txt — иногда забытый раздел честно перечислен там же.

По общей практике такие хвосты чаще всего остаются после смены подрядчика: предыдущая команда поднимала тестовый контур, новая про него не знала, закрыть его некому. Это не чья-то злая воля, а обычная передача дел без описи.

Любой документ, выложенный на сайт, несёт внутри себя служебные свойства. Обычно это имя автора, название организации, программа, в которой файл сделан, даты создания и правки, иногда путь к папке на чьём-то компьютере. В презентациях дополнительно остаются заметки докладчика, в таблицах — скрытые листы и формулы, в текстовых документах — следы правок, если их не приняли.

Как проверить. Скачайте с сайта три-четыре файла — прайс, презентацию, бланк, методичку. В Windows: правая кнопка, «Свойства», вкладка «Подробно». На Mac: выделить файл и нажать Cmd+I, а для PDF ещё и открыть «Просмотр» → «Инструменты» → «Показать инспектор». Смотрите поля автора, организации и комментариев.

Отдельно посмотрите на сами имена файлов — их видно прямо в адресной строке, ничего скачивать не нужно. Имя вроде «договор_правки_после_юриста_финал3.pdf» рассказывает о внутренней кухне без всякого анализа. Правило, которое закрывает весь этот пункт: файлы перед публикацией переименовывают по-человечески и чистят у них служебные свойства, а бланки собирают из чистого шаблона, а не из рабочего документа.

Снимки, сделанные телефоном или камерой, хранят внутри дату съёмки, модель устройства и иногда координаты места. Многие сайты при загрузке эти данные стирают автоматически — но не все, и проверить это у себя стоит.

Как проверить. Сохраните две-три фотографии со своего сайта и посмотрите их свойства тем же способом, что и документы: в Windows — «Свойства» → «Подробно», на Mac — Cmd+I, а подробнее в приложении «Фото» через меню информации. Если в полях пусто — вопрос закрыт.

Второй слой этого же пункта проверяется только глазами, зато без всяких инструментов: что попало в кадр. На корпоративных фотографиях регулярно обнаруживаются экраны мониторов с открытыми документами, доска с задачами, бумаги на столе, бейджи. Откройте фотографии со своего сайта в полном размере и увеличьте — при беглом просмотре такие детали не видны, при увеличении видны отлично. Это самая быстрая находка из всей ревизии.

На странице сайта кроме вашего кода обычно работают чужие: счётчики аналитики, виджет чата, кнопка обратного звонка, карта, видеоплеер, рекламные пиксели, шрифты со сторонних серверов. Каждый из них — отдельная компания, которая получает факт визита.

Как посмотреть список самому. Откройте свой сайт в браузере на компьютере, нажмите F12 (на Mac — Cmd+Option+I), перейдите на вкладку «Сеть» или Network и обновите страницу. В столбце с адресами будут видны все внешние домены, к которым обращается ваша страница. Отсортируйте по домену и выпишите чужие. Есть и бесплатные онлайн-сервисы, которые показывают то же самое списком, но делать это своими руками полезнее: вы увидите точную картину именно своего сайта, а не усреднённую.

Дальше — простое упражнение, которое стоит проделать с маркетингом. По каждой строке ответьте на два вопроса: зачем она здесь и кто её ставил. По нашему опыту половина списка оказывается наследством от прошлых кампаний и подрядчиков, про которое внутри компании никто не помнит. Решение, какие из них допустимы в вашем случае, принимает ваш юрист или служба безопасности — это не вопрос к разработчику, и мы в статье не даём на него ответа.

Есть ещё один слой, который не виден в тексте, но отдаётся каждому посетителю: ответы вашего сервера. Иногда они сообщают, на какой системе собран сайт и какой она версии. Страницы ошибок на некоторых сайтах показывают технические подробности, предназначенные разработчику.

Как проверить. Откройте на своём сайте заведомо несуществующий адрес — допишите в конце что-нибудь вроде /proverka-123. Вы должны увидеть обычную страницу «не найдено», оформленную в стиле сайта, с навигацией и без технических подробностей. Если вместо неё появился текст с именами файлов, путями или названием системы — это как раз то, что стоит показать своему подрядчику.

Сюда же — почтовые адреса, написанные на странице текстом: они автоматически собираются программами и попадают в рассылки. Это не катастрофа и не утечка — это объяснение, почему на один адрес приходит поток нежелательных писем, а на другой нет.

Проверяется это за минуту: откройте страницу контактов и страницы сотрудников и посмотрите, где адреса написаны открыто. Что с ними делать — отдельный разговор, и универсального ответа нет: персональный адрес партнёра на странице приватной практики может быть сознательным решением, а общий адрес отдела кадров в подвале каждой страницы — просто привычкой.

Проще всего показать на собственном проекте. Emet Law Firm занимается налоговыми и юридическими задачами состоятельных семей и работает на этом рынке девятнадцатый год. В кейсе её аудитория описана так: не ищет юриста по баннеру и не оставляет телефон в форме «получить консультацию». Сайт для таких клиентов делался с оглядкой на это.

Мы определили для проекта три критерия, и один из них назывался «приватность в основе»: минимум данных в формах, минимум сторонних скриптов, никаких навязчивых механик — чувствительная аудитория это замечает. Результат в кейсе описан так: быстрая загрузка на любом устройстве, чистая структура для поисковых систем, аккуратная работа с персональными данными. Собственная админка позволяет фирме обновлять команду, практики и материалы самостоятельно, не обращаясь к нам.

Последний пункт к теме этой статьи имеет прямое отношение. Когда любое изменение в составе команды делается через подрядчика, оно откладывается — и на сайте месяцами висит прошлогодний состав. Когда фирма правит это сама, расхождение между сайтом и действительностью живёт ровно столько, сколько нужно, чтобы открыть админку.

Главная ошибка после такой ревизии — начать всё закрывать. Публичность сайта — его рабочее свойство: разделы, материалы и люди на нём стоят, чтобы их находили. Убирать имеет смысл только то, что вы не собирались публиковать, и то, что расходится с действительностью.

Разделение ответственности при этом стоит зафиксировать прямо. Техническую часть — закрыть тестовый адрес, починить страницу ошибки, почистить свойства файлов, убрать лишние скрипты — делает ваш подрядчик, и это обычная работа по сайту. А вот какие сведения о людях и клиентах допустимо держать открытыми, какие сроки хранения применимы и что требуется в вашей отрасли — решает ваш юрист или служба безопасности. Мы разработчики, и трактовок норм в этой статье нет намеренно: за ними идут не к студии.

Честно про границы. Ревизия за час показывает то, что ваш сайт отдаёт открыто, и ничего больше. Она не говорит, смотрел ли кто-то на это и зачем, — и мы не беремся утверждать, что смотрел. Она не заменяет ни технический аудит, ни работу специалистов по безопасности, ни разговор с юристом.

Второе ограничение: закрытое от поисковых систем не значит недоступное. Указание в robots.txt — это просьба к роботам, а не замок; страница по прямой ссылке продолжает открываться. Если раздел действительно не должен быть доступен посторонним, его закрывают доступом по паролю или снимают с публикации, а не прячут от поиска.

И третье. Не всякая находка — проблема. Фотография с датой съёмки, открытый адрес отдела, старая новость за позапрошлый год — всё это чаще всего просто публичный сайт, который живёт своей жизнью. Разница между аккуратным сайтом и неаккуратным не в том, что первый ничего о себе не сообщает, а в том, что он сообщает ровно то, что компания решила сообщить.

Если захотите — пройдите этот список по своему сайту и пришлите нам то, что нашли: перечень адресов, список внешних сервисов, пару файлов со свойствами. Скажем, что из этого техническая работа на один день, что стоит обсудить с вашим юристом, а что можно спокойно оставить как есть.

И отдельный повод написать: если вы сейчас меняете подрядчика. Передача проекта — тот самый момент, когда тестовые адреса и забытые разделы остаются открытыми, потому что про них никто не спросил. Список вопросов из этой статьи можно задать до подписания, а не через год.