क्यों सब कुछ है: Yandex डेवलपर्स शॉप-स्क्रिप्ट से उत्तर

हम शॉप-स्क्रिप्ट ऑनलाइन स्टोर के लिए एक स्क्रिप्ट के डेवलपर्स हैं, जो अनजाने में कल की कहानी में शामिल हो गए थे कि यैंडेक्स ने कई ऑनलाइन स्टोर के खरीदारों के निजी डेटा को अनुक्रमित किया था । यह लेख शॉप-स्क्रिप्ट इंजन पर आधारित दुकानों के बारे में था। मैं समझता हूं कि मुझे उन लोगों से बहुत अधिक आलोचना मिल सकती है जो मानते हैं कि दोष पूरी तरह से इंजन डेवलपर पर है, हालांकि, मैं अपनी स्थिति को प्रतिबिंबित करने और जो कुछ हुआ और संभव समाधानों पर चर्चा करने के उद्देश्य से वर्णन करने की कोशिश करना आवश्यक समझता हूं।

कल, निश्चित रूप से, स्थिति के बारे में सीखना आश्चर्यचकित था। हमने पहली बात यह जांचने के लिए किया था कि क्या सभी स्टोर ऐसी समस्या से ग्रस्त हैं। यह पता चला कि सभी नहीं। एक प्रस्तुति थी कि समस्या उन दुकानों में हो सकती है जो किसी प्रकार के प्लग-इन या किसी तृतीय-पक्ष सर्वर मॉड्यूल को स्थापित करते हैं। लेकिन यह पता चला कि यह मामला नहीं था। Yandex खोज परिणामों में दिखने वाले निजी ग्राहक डेटा वाले पृष्ठों के सभी स्टोर एक चीज़ से एकजुट हो गए थे - स्थापित Yandex.Metricet कोड । वास्तव में, जैसा कि हाल ही में मेगाफॉन के मामले में हुआ था।

अगला - निजी पृष्ठों के लिंक कहां से आए, और वे यांडेक्स इंडेक्स में कैसे आ सकते हैं, समस्या और संभावित समाधानों का परिमाण।

समस्या यह थी:

1. शॉप-स्क्रिप्ट पर आधारित ऑनलाइन स्टोर में, आप बिना पंजीकरण के ऑर्डर दे सकते हैं। यानी बिना यूजरनेम और पासवर्ड डाले।
2. ऑर्डर दिए जाने के बाद, खरीदार को ऑर्डर का ईमेल नोटिफिकेशन भेजा जाता है, जिसमें ऑर्डर के बारे में विस्तृत जानकारी, उसकी स्थिति, ऑर्डर के लिए भुगतान करने की क्षमता और उसके प्रोसेसिंग के इतिहास को देखने वाले पेज का सीधा लिंक होता है। चूंकि आदेश एक अपंजीकृत उपयोगकर्ता द्वारा रखा गया है, इसलिए यह पृष्ठ एक अधिसूचना पत्र से एक लिंक द्वारा खोला गया है (लिंक में, प्रमाणीकरण एक हैश के माध्यम से होता है जिसमें सभी पैरामीटर संचारित होते हैं, निश्चित रूप से, जीईटी अनुरोध में)। उपयोगकर्ता से कोई पासवर्ड नहीं मांगा गया है, क्योंकि इस संदर्भ में कोई पासवर्ड नहीं है। ऑनलाइन स्टोर में ऑर्डर देने के लिए अनिवार्य पंजीकरण की आवश्यकता होती है, आप देखते हैं, यह खरीदार के लिए पूरी तरह से असुविधाजनक है, और आपको उसे ऑर्डर के इतिहास के साथ एक पृष्ठ दिखाने की आवश्यकता है।
3. Yandex सिर्फ ऐसे पृष्ठों को अनुक्रमित करता है। अधिक सटीक रूप से, खरीदारों द्वारा देखे गए पृष्ठ (अधिसूचना पत्रों से लिंक)।
4. Google और अन्य खोज इंजनों ने उसी पृष्ठों को अनुक्रमित किया, जिसके बारे में जानकारी Habré में समाचार फ़ीड में दिखाई देने के बाद और "सार्वजनिक ज्ञान" बन गई।

हमने निम्नलिखित परिचालन निर्णय लिया: हमने अंतिम नाम से उपयोगकर्ता प्राधिकरण को तेज किया। यदि उपयोगकर्ता आदेश की अधिसूचना के पत्र से लिंक पर क्लिक करता है, तो पहले हम उससे नाम पूछते हैं, और केवल तभी जब वह सही ढंग से दर्ज किया गया हो, हम आदेश के बारे में जानकारी प्रदर्शित करते हैं। आप निश्चित रूप से, यह कह सकते हैं कि यह भी एक बहुत ही सुंदर समाधान नहीं है, हालांकि, इस मामले में यह एकमात्र पैरामीटर है जो "पर निर्भर" हो सकता है। इसके अलावा, हमने एक पुनर्निर्देशित किया है कि सभी "समस्याग्रस्त" जीईटी मापदंडों को एक ही बार में खाता है, उन्हें Yandex.Metrica (बाद में इस पर पोस्ट में अधिक) दिए बिना। पैच और अद्यतन संस्करण हमारी वेबसाइट पर ब्लॉग में प्रकाशित किए गए हैं।

अब मजा हिस्सा है। Yandex उन पतों (URL) के बारे में कैसे पता लगा सकता है जो केवल ईमेल द्वारा व्यक्तिगत रूप से उपयोगकर्ता को भेजे गए थे? चूँकि सभी प्रभावित ऑनलाइन स्टोर एक ही सामान्य सुविधा - यंडेक्स.मेट्रिक कोड - द्वारा स्थापित किए गए हैं, इसलिए यह निष्कर्ष निकालना आसान है कि यैंडेक्स.मेट्रिक फ़िक्स सामान्य यैंडेक्स इंडेक्स में गए। इन पतों को कभी भी शॉप-स्क्रिप्ट ऑनलाइन स्टोर की तरफ से सार्वजनिक रूप से प्रलेखित नहीं किया गया है, इसलिए यह कहना गलत होगा कि पते सार्वजनिक स्रोतों में हैं। यैंडेक्स के नए पृष्ठ के बारे में कैसे पता लगा सकते हैं, इस बारे में हमने पांच बिंदुओं के साथ यैंडेक्स के उत्तर को पढ़ा, लेकिन इस प्रश्न का उत्तर नहीं मिला। अब, निश्चित रूप से, यह स्पष्ट है कि पते "विलय" कैसे थे, और निश्चित रूप से, हम भविष्य में इसे ध्यान में रखेंगे। (वैसे, रचनात्मक और अच्छे उदाहरणों के लिए यांडेक्स वेबसाइट पर "क्यों सब कुछ है" चर्चा में पहली टिप्पणी के लेखक के लिए बहुत धन्यवाद।)

स्थिति का पैमाना इस तथ्य में निहित है कि एक पत्र या किसी भी मामले में प्रमाणीकरण मापदंडों को जीईटी मापदंडों के रूप में प्रसारित करने का अभ्यास बहुत व्यापक रूप से किया जाता है। और इसका मतलब यह है कि मेगफॉन और हमारे मामले के मामले समान हैं और भविष्य में अन्य साइटों, इंजनों और सेवाओं के साथ उत्पन्न हो सकते हैं। यह स्पष्ट है, और केवल समय की बात है। "मेगाफोन" के मामले ने इस समस्या पर अच्छा ध्यान आकर्षित किया।

उदाहरण के लिए कम से कम नंबर भेजकर ऑनलाइन पैकेज ट्रैकिंग की सामान्य सेवाएं लें। पार्सल का प्रेषक साइट पर पंजीकृत नहीं है, और बस ट्रेस पृष्ठ पर पता प्राप्त करता है, उदाहरण के लिए, ई-मेल द्वारा। आप नियमित रूप से स्थिति की जांच करने के लिए अपने पसंदीदा में पता जोड़ सकते हैं (उदाहरण के लिए, मैं हर समय ऐसा करता हूं), आप इसे शिपमेंट के प्राप्तकर्ता को भेज सकते हैं। उसी समय, कोई यह नहीं कह सकता है कि वस्तुओं के ऑनलाइन ट्रेस की ऐसी प्रणाली गलत तरीके से बनाई गई एक प्राथमिकता है, क्योंकि इसमें उपयोगकर्ता को प्राधिकरण डेटा दर्ज करने की आवश्यकता नहीं है - इस मामले में, कोई उपयोगकर्ता नाम और पासवर्ड नहीं है। रूसी पोस्ट पर एक खाता प्राप्त करने के लिए प्रेषक को मजबूर न करें।

उपयोगकर्ता द्वारा ई-मेल लिंक प्राप्त करने पर सूचनाओं के उदाहरण जो सीधे खाते में जाते हैं (स्वचालित प्राधिकरण के साथ) बहुतायत में इंटरनेट पर पाए जा सकते हैं। जहाँ तक मुझे पता है, Yandex की My Circle सेवा उपयोगकर्ताओं को अधिकृत करने के लिए इस तरह की प्रणाली का उपयोग करती है।

अब बात करते हैं समाधान की।

जैसा कि मेगाफोन के मामले में, डेवलपर्स की मुख्य चूक को गलत तरीके से बनाई गई (या गायब) फ़ाइल robots.txt कहा जाता था। मैं मानता हूं कि इस मामले में फ़ाइल में सही निर्देशों की उपस्थिति समस्या को रोकने में मदद करेगी, हालांकि, सामान्य अर्थों में, यह एक अधूरा समाधान है, क्योंकि robots.txt केवल प्रिस्क्रिप्टिव प्रकृति के बजाय एक सिफारिश के निर्देश हैं। यह अच्छा है कि robots.txt आज खोज बॉट्स को ध्यान में रखता है, हालांकि, भविष्य में इसे कैसे संभाला जाएगा यह एक खुला प्रश्न है। अचानक बॉट में कुछ टूट जाएगा। या बॉट की खोज नहीं होगी ...

इस संबंध में, समस्या पूरी तरह से (सबसे सामान्य मामले में) हल हो सकती है, निश्चित रूप से, सभी निजी पृष्ठों को देखने के लिए अनिवार्य उपयोगकर्ता प्राधिकरण शुरू करने से ही। ऐसे मामलों में जहां यह अस्वीकार्य है, और उपयोगकर्ता को स्पष्ट रूप से निर्दिष्ट जीईटी मापदंडों (उदाहरण में वस्तुओं के ट्रेस के साथ) के साथ लिंक पर क्लिक करने के तुरंत बाद कुछ निजी जानकारी दिखाने की आवश्यकता होती है, लिंक पर क्लिक करने के तुरंत बाद पृष्ठ पर PHP को पुनर्निर्देशित करना तकनीकी रूप से उचित लगता है। इन मापदंडों के बिना, उन्हें सत्र में याद रखना। यह हमें पृष्ठ पर स्थापित JS काउंटर (Yandex.Metric, Google Analytics, जो भी हो) के मापदंडों को न लाने की अनुमति देगा - और मैं सिफारिश करूंगा कि डेवलपर्स इस पर ध्यान दें और अपनी परियोजनाओं में इस तरह के पुनर्निर्देशन करें। हालांकि, यह भी एक आंशिक समाधान है, क्योंकि अचानक रीडायरेक्ट से पहले ही पता ब्राउज़र के लिए स्थापित बार या प्लग-इन द्वारा देखा जाएगा। ठीक है, या अप्रत्यक्ष मापदंडों द्वारा अतिरिक्त प्राधिकरण का परिचय (जैसा कि उपनाम की जांच के साथ किया गया था) ...

मैं कोई आरोप नहीं लगाता, हालांकि, मेरा मानना ​​है कि यांडेक्स को सामान्य खोज सूचकांक में नए पते जोड़ने के लिए कार्यप्रणाली को संशोधित करना चाहिए और किसी भी उपयोगकर्ता द्वारा देखे गए पते को एक सार्वजनिक में बदलने की प्रथा को समाप्त करना चाहिए, चाहे यह पता कितना भी तय हो। यह प्रथा कम से कम अनैतिक है । और जितनी जल्दी हो सके इसे बेहतर करने के लिए, जब तक समस्या बहुत बड़े पैमाने पर नहीं हो जाती।

दूसरों की गलतियों से सीखें, और समय पर करने का प्रयास करें। आपका ध्यान देने के लिए धन्यवाद।

UPD: ऐसा लगता है कि समस्या केवल गति प्राप्त कर रही है। अब, यहाँ ट्रेन टिकट हैं: http://news.yandex.ru/yandsearch?cl4url=www.ria.ru%2Fsociety%2F20110725%2F407118103.html