Регистратора GoDaddy поймали на внедрении JavaScript в код сайтов клиентов

Рекомендуем почитать:

Xakep #237. Даркнет 2018

• Содержание выпуска
• Подписка на «Хакер»

Веб-разработчик Игорь Кромин (Igor Kromin) привлек внимание СМИ и пользователей к интересной проблеме. Все началось с того, что специалист попытался найти причину появления ошибки, связанной с невозможностью загрузки некоего файла JavaScript (как выяснилось потом, проблему Кромин искал не там, где следовало, и корень бага скрывался в Safari). В результате он обнаружил на своем сайте незнакомый JavaScript и буквально не поверил своим глазам, когда прочитал комментарий, гласивший, что скрипт внедрен в код не какими-то злоумышленниками, но одним из крупнейших в мире регистраторов и хостеров, компанией GoDaddy.

«Конечно, комментарий к скрипту полностью объяснял, что происходит, но сначала я просто не хотел верить, что сам хостер внедрил скрипт JavaScript в мой сайт без моего согласия! Но оказалось, что GoDaddy сделал именно это, и они оправдывают [свои действия] сбором метрик и улучшением производительности», — пишет Кромин.

Как выяснилось, внедрение скриптов в код сайтов клиентов, это часть системы GoDaddy Real User Metrics (RUM), предназначение которой компания описывает так: «позволяет находить внутренние “узкие места” и возможности для оптимизации, путем внедрения небольшого сниппета JavaScript в пользовательские сайты». По сути, скрипт отслеживает производительность сайта, собирает информацию о скорости загрузки страниц и времени установления соединения, а затем эта статистика используется для оптимизации систем GoDaddy, роутинга, конфигурации серверов и так далее. Ирония ситуации заключается в том, что разработчики признают: сам скрипт может негативно влиять на производительность сайтов и вызывать проблемы в их работе.

После того, как Кромин привлек внимание к проблеме, оказалось, что этот сбор статистики включен по умолчанию, но от него можно отказаться, если зайти в настройки cPanel Shared Hosting или cPanel Business Hosting и отключить там функциональность Help Us.

Однако недовольство сообщества уже вынудило представителей GoDaddy выступить с официальным заявлением. Разработчики заверили, что понимают озабоченность пользователей и сообщили, что немедленно прекратят внедрять JavaScript на сайты клиентов. Данную программу мониторинга пообещали основательно переработать и возобновить позднее, но предоставив сами пользователям возможность решать, нужен ли им такой сбор статистических данных.

Источник