Безопасность данных клиента при накрутке: NDA, доступы и утечки

Заказывая накрутку ПФ, вы передаёте исполнителю не только деньги, но и доступы: к Яндекс.Метрике, иногда к Вебмастеру, а порой и к самому сайту. Это чувствительные данные — статистика бизнеса, конверсии, а через доступы к сайту и вовсе ключи от вашего ресурса. О безопасности этих данных почти никто не думает на старте, а зря: небрежный или недобросовестный исполнитель может слить статистику конкурентам, потерять доступы или использовать их во вред. Разберём, какие данные вы передаёте, чем рискуете и как защититься.

Эта статья завершает тему работы с исполнителем (после выбора сервиса и гарантий и договора) — здесь про информационную безопасность сотрудничества.

Какие доступы вы реально передаёте

Для работы накрутчику нужны определённые доступы, и важно понимать глубину каждого:

• Яндекс.Метрика (просмотр). Минимально необходимый доступ — гостевой на просмотр статистики: чтобы видеть трафик, роботность, цели, оценивать результат. Это уже раскрывает вашу бизнес-статистику: посещаемость, конверсии, источники.
• Яндекс.Метрика (редактирование). Иногда нужен для настройки целей под накрутку — это уже больше прав, вплоть до изменения счётчика.
• Вебмастер. Доступ к данным индексации, запросам, позициям — тоже чувствительная аналитика.
• Доступ к сайту (админка/FTP). Самый глубокий и опасный уровень — если исполнителю зачем-то нужны правки на сайте. Здесь риски максимальны.

Доступ к Метрике — это карта вашего бизнеса: сколько трафика, откуда, сколько заявок, какая конверсия. В руках недобросовестного исполнителя это ценные данные, а в руках конкурента — оружие.

Чем вы рискуете

Утечка бизнес-статистики

Ваша посещаемость, конверсия, источники трафика, сезонность — коммерческая тайна. Недобросовестный исполнитель может передать эти данные конкурентам (в том числе если работает и с ними), что даёт им понимание вашего бизнеса.

Потеря или передача доступов

Если вы дали пароль (а не гостевой доступ), исполнитель может сменить его, «увести» счётчик или сайт, потерять учётные данные, которые утекут третьим лицам. Особенно опасно при доступе к самой админке сайта.

Порча аналитики

При доступе на редактирование Метрики можно испортить настройки целей, счётчиков, что нарушит вашу реальную аналитику даже после окончания работы.

Вред через доступ к сайту

Доступ к админке или FTP — это возможность внести изменения на сайт: от невинных до вредоносных (скрытые ссылки, вредоносный код). Это крайний риск, которого по возможности стоит избегать.

Как защитить свои данные: принцип минимальных прав

Главный принцип информационной безопасности — давать минимально необходимый доступ. Не «на всякий случай всё», а ровно столько, сколько нужно для задачи:

Гостевой доступ вместо пароля

В Яндекс.Метрике есть гостевой доступ — вы предоставляете другому аккаунту право просмотра (или редактирования) без передачи своего пароля. Это правильный способ: исполнитель видит статистику, но не владеет вашим аккаунтом, и доступ можно отозвать в любой момент одним кликом. Никогда не передавайте логин-пароль от своего Яндекс-аккаунта — только гостевой доступ на конкретный счётчик.

Отдельный доступ, который легко отозвать

Любой доступ должен быть таким, чтобы вы могли его отозвать после окончания работы. Гостевой доступ Метрики, отдельная учётная запись — всё, что не требует смены ваших основных паролей и легко аннулируется.

Минимум прав на редактирование

Если для настройки целей нужен доступ на редактирование — давайте его точечно и на время настройки, а не постоянно. По возможности настройте цели сами по инструкции исполнителя, оставив ему только просмотр.

Избегайте доступа к сайту

Для накрутки ПФ доступ к админке/FTP сайта, как правило, не нужен — накрутка работает с внешним трафиком, а не с правками сайта. Если исполнитель просит доступ к сайту «для накрутки» — это повод насторожиться и уточнить, зачем. Легитимные причины редки.

Таблица: уровни доступа и риски

Роль NDA и договора

Юридическая защита данных — это соглашение о конфиденциальности (NDA) и соответствующие пункты в договоре. Они фиксируют, что исполнитель:

• не разглашает вашу статистику и коммерческие данные;
• использует доступы только для оговорённых задач;
• не передаёт данные третьим лицам, включая других своих клиентов-конкурентов;
• возвращает/аннулирует доступы после окончания работы.

Серьёзный исполнитель не возражает против NDA — наоборот, часто предлагает его сам, потому что это признак профессионального отношения к клиентским данным. Отказ обсуждать конфиденциальность — тревожный сигнал, о чём мы писали в статье про договор и гарантии.

Разбор кейса: доступ, который дали зря

Владелец сайта, не разбираясь, передал накрутчику логин и пароль от своего Яндекс-аккаунта — «чтобы было проще работать». Исполнитель оказался недобросовестным: помимо накрутки, он имел доступ ко всей статистике бизнеса и, как выяснилось позже, работал с прямым конкурентом клиента, которому стала известна структура трафика и конверсий. Вдобавок после конфликта исполнитель какое-то время удерживал доступ, сменив настройки уведомлений.

Проблема решилась сменой пароля и включением двухфакторной аутентификации, но данные уже утекли. Если бы владелец с самого начала дал только гостевой доступ на счётчик Метрики, ничего этого не случилось бы: гостевой доступ не даёт владения аккаунтом и отзывается одним кликом. Урок: минимальные права и никогда — пароль от аккаунта.

Отдельно про доступ к сайту: когда он всё-таки нужен

Мы сказали, что для накрутки ПФ доступ к сайту обычно не требуется, и это так. Но честно оговорим исключения, чтобы вы понимали разницу между легитимной просьбой и подозрительной. Доступ к сайту может понадобиться, если исполнитель предлагает не только накрутку, но и сопутствующую работу: настройку целей и e-commerce в Метрике через код сайта, установку/проверку счётчика, техническую доработку под поведенческие (ускорение, юзабилити). Это уже выходит за рамки чистой накрутки — по сути комплексное продвижение.

Даже в этих случаях доступ должен быть ограниченным и контролируемым: отдельная учётная запись в CMS с нужными правами (а не доступ администратора), доступ на время конкретной задачи с последующим отзывом, а лучше — вы вносите правки сами по инструкции исполнителя. Полный доступ администратора или FTP-доступ «просто чтобы был» — это чрезмерно. Ключевой вопрос, который стоит задать: «зачем именно вам этот доступ и что конкретно вы будете делать?» Если ответ размытый («для работы», «так надо») — отказывайте. Если конкретный и обоснованный — давайте минимально необходимый уровень на время задачи.

Что делать после окончания работы

Информационная гигиена не заканчивается на старте — важно правильно «закрыть» сотрудничество. По завершении работы обязательно: отзовите гостевой доступ к Метрике и Вебмастеру (в тех же разделах, где выдавали), удалите отдельные учётные записи, которые заводили для исполнителя, смените пароли, если по какой-то причине их всё же передавали, проверьте настройки уведомлений и доступов на предмет чужих адресов. Это занимает пять минут, но защищает от ситуации, когда бывший подрядчик месяцами сохраняет доступ к вашей аналитике. Особенно это важно при смене исполнителя: старый доступ нужно закрыть до того, как выдать новый. Оставленный «висящий» доступ — частая и совершенно ненужная брешь в безопасности.

Чек-лист безопасности данных

1. Давайте только гостевой доступ на счётчик Метрики, а не пароль от аккаунта.
2. Права — минимально необходимые (просмотр вместо редактирования, где возможно).
3. Доступ на редактирование — точечно и на время настройки.
4. Избегайте передачи доступа к админке/FTP сайта — для накрутки он обычно не нужен.
5. Заключите NDA / пункт о конфиденциальности в договоре.
6. После окончания работы отзовите все доступы.
7. Включите двухфакторную аутентификацию на своих аккаунтах.

Частые вопросы

Как дать гостевой доступ в Метрике? В настройках счётчика есть раздел «Доступ» / «Гостевой доступ», где вы добавляете логин исполнителя с правом просмотра или редактирования. Свой пароль при этом не передаётся, а доступ отзывается в том же разделе одним действием.

Зачем накрутчику вообще доступ к Метрике? Чтобы видеть результат работы: трафик, роботность, достижение целей, динамику. Это нормально и полезно — так вы оба смотрите на одни данные. Ненормально — просить пароль от аккаунта или доступ к сайту без явной причины.

Что делать, если уже дал пароль от аккаунта? Сразу сменить пароль, включить двухфакторную аутентификацию, проверить настройки доступов и уведомлений. И впредь давать только гостевой доступ. Чем раньше, тем меньше риск.

А если исполнитель отказывается работать без пароля/доступа к сайту? Это серьёзный повод насторожиться. Для накрутки ПФ достаточно гостевого доступа к Метрике, и профессионал это знает. Настойчивое требование пароля от аккаунта или доступа к сайту без внятного обоснования — либо непрофессионализм, либо намерение получить больше контроля, чем нужно. В обоих случаях лучше поискать другого исполнителя, чем рисковать данными.

Вывод

Безопасность данных при накрутке ПФ — то, о чём стоит подумать до передачи доступов, а не после утечки. Вы делитесь с исполнителем картой своего бизнеса — статистикой Метрики, а иногда и ключами от сайта, — и защита здесь строится на принципе минимальных прав: только гостевой доступ на счётчик, никогда — пароль от аккаунта, минимум прав на редактирование, отказ от доступа к админке сайта без явной причины. Юридически данные защищает NDA и пункты договора, а технически — двухфакторная аутентификация и возможность отозвать любой доступ одним кликом. Серьёзный исполнитель сам заботится о конфиденциальности ваших данных — и это ещё один признак, по которому его можно отличить от кустаря.

Больше о поведенческом продвижении и других услугах — на главной странице ProfSEO24.