W jaki sposób Google Analytics unika fałszowania?

Question

Więc utknąłem, próbując dowiedzieć się, jak Google Analytics unika podszywania się. Oczywiście, gdy zarejestrujesz się na konto, sprawdzisz, czy jesteś właścicielem domeny, przesyłając plik. Ale dostaniesz też tagi skryptów z unikalnym publicznym kodem (zastąpionym przez "XXXXXXX" poniżej). Co powstrzymuje kogokolwiek przed skopiowaniem tego kodu, podszywaniem nagłówków żądań i udawanie mojej witryny przez stosowanie strategii uwierzytelniania Google z curl?

<script type="text/javascript"> 

    var _gaq = _gaq || []; 
    _gaq.push(['_setAccount', 'XXXXXXX']); 
    _gaq.push(['_trackPageview']); 

    (function() { 
    var ga = document.createElement('script'); ga.type = 'text/javascript'; ga.async = true; 
    ga.src = ('https:' == document.location.protocol ? 'https://ssl' : 'http://www') + '.google-analytics.com/ga.js'; 
    var s = document.getElementsByTagName('script')[0]; s.parentNode.insertBefore(ga, s); 
    })(); 

</script> 

Pytam dlatego, że staram się stworzyć podobną wtyczkę JavaScript, który udostępnia dane mojej strony do uczestniczących stron internetowych („Klienci”). Nie jestem pewien, jak mogę uzyskać tę funkcjonalność bez klucza prywatnego po stronie serwera klienta. Ten rodzaj do kitu, ponieważ naprawdę chciałem zintegrować się z "łatwym jak Google Analytics". jakieś pomysły?

Answer 1

Wygląda na to, że to pytanie naprawdę nie ma nic wspólnego z Google Analytics (naprawdę sugerowałbym, aby usunąć to z twojego pytania, ponieważ myślę, że wprowadza w błąd większość ludzi i nie zbliża cię do twojej odpowiedzi).

Masz trochę danych i chcesz udostępnić je tylko wybranym stronom. Nie ma innego sposobu, aby to zrobić, oprócz ochrony danych za pomocą jakiegoś schematu autoryzacji, a następnie nadania wybranym stronom jakiegoś hasła lub klucza umożliwiającego im dostęp, podczas gdy inne osoby, którym nie dałeś klucza, nie otrzymają dostęp do danych.Nawet ten schemat działałby tylko, gdyby kod uzyskujący dostęp do danych znajdował się w prywatnym obszarze na serwerze (gdzie klucze/hasła mogą być chronione), a nie javascript w przeglądarce.

Jeśli chodzi o fałszowanie GA (co nie wydaje mi się mieć nic wspólnego z twoim prawdziwym pytaniem), podejrzewam, że Google nie martwi się tym zbytnio, ponieważ nie jest to atak typu odmowa usługi na konta GA w ogóle (które, jak podejrzewam, chronią przed), jakie korzyści przynosi nagranie trafienia na czyjąś stronę? Ktokolwiek to robi, nie może uzyskać dostępu do danych, ponieważ dane znajdują się na czyimś koncie GA. Przypuszczam, że można by to złościć, gdy ktoś próbowałby zepsuć swoje numery GA, ale bez jakiejś bardziej opłacalnej motywacji, prawdopodobnie nie ma wielu ludzi, którzy próbują to zrobić.

Answer 2

Interesujące pytanie.

Jako wskazówka dla komentarzy, Google tak naprawdę nie rozwiązuje tego problemu. W rzeczywistości często stosuje się warunkowe kodowanie/wstępne przetwarzanie, aby wyłączyć GA w Twojej witrynie testowej/skrzynce dev, ponieważ jeśli tego nie zrobisz, spowoduje to zepsucie twoich numerów.

Możesz spróbować czegoś w rodzaju podejścia trójstronnego z serwerem analitycznym, serwerem klienta i klientem. Może to wyglądać tak:

• Serwer klienta i serwer analityczny mają tajny klucz. Kiedy klient trafi na stronę klienta, serwer klienta informuje serwer analityczny, że chce rozpocząć śledzenie tego konkretnego klienta.

• Twój serwer analityczny generuje identyfikator sesji dla tego użytkownika i zwraca dynamiczny adres URL do serwera klienta. Adres URL wskazuje na kod śledzenia JavaScript (lub program ładujący dla niego), wstrzyknięty z identyfikatorem sesji.

• Serwer klienta wysyła stronę do klienta. Strona zawiera kod śledzenia po stronie klienta z unikalnym identyfikatorem sesji. Akcje są śledzone i wysyłane na twój serwer analityczny.

• Na serwerze analitycznym użytkownik otrzymuje informacje o śledzeniu z komputera klienta. Sprawdzasz, czy identyfikator sesji jest prawidłowy i nie wygasł oraz czy adres IP jest zgodny.

To powinno zapewnić dodatkowy poziom bezpieczeństwa. Niestety "integracja Google Analytics nie będzie łatwa" oznacza udział strony internetowej po stronie klienta. Nie przyniesie też tak wiele korzyści śledzeniu użytkowników, którzy nie zostali uwierzytelnieni przez klientów, ponieważ osoba trzecia może po prostu odwiedzić witrynę klienta, aby uzyskać prawidłowy identyfikator sesji, a następnie wysłać fałszywe informacje do serwera analitycznego. Jednak dla klientów uwierzytelnionych przez witrynę klienta może być przydatna.

Powodzenia!