Анонимность людей на adult-сайте: где она протекает и как это закрыть
Коротко. Когда говорят о безопасности adult-проекта, обычно имеют в виду защиту сервера. Но самый дорогой отказ здесь другой: сайт раскрывает личность человека, который на него рассчитывал — модели, исполнительницы, клиента. Утечка почти никогда не выглядит как взлом. Она происходит через метаданные фотографии, через поиск по изображению, через адрес страницы, через письмо с говорящей темой. Ниже — шесть мест, где анонимность протекает на практике, и что закрывается на стороне сайта, а что нет.
Страница про приватность людей. Про юридические обязательства есть отдельный разбор, про устойчивость инфраструктуры — хостинг для adult-сайта.
Почему это не то же самое, что защита сервера
Защита сервера отвечает на вопрос «может ли посторонний получить доступ к системе». Анонимность отвечает на другой: «может ли посторонний, глядя на то, что система показывает намеренно, узнать человека». Второе не лечится ни шифрованием, ни паролями, потому что данные никто не крал — их опубликовали.
Отсюда практическое следствие. Полностью безопасного сайта в этом смысле не бывает: фотография человека, выложенная публично, в принципе узнаваема. Вопрос всегда в том, насколько дёшево установить личность, и задача — поднять эту стоимость настолько, чтобы случайный любопытный не справился.
Шесть мест, где протекает
| Место | Что выдаёт | Закрывается на стороне сайта? |
|---|
| Метаданные файла |
Координаты съёмки, модель телефона, дата, иногда имя владельца устройства |
Да, полностью: чистить при загрузке |
| Поиск по изображению |
Та же фотография находится в соцсети под настоящим именем |
Частично: помогает предупредить, но не запретить |
| Фон и детали снимка |
Вид из окна, документы на столе, номер машины, татуировка, зеркало |
Нет. Только проверка при модерации |
| Адрес страницы |
Имя в адресе остаётся в истории браузера, в логах, в общей ссылке |
Да: не класть имя в адрес |
| Письма и уведомления |
Тема письма на экране телефона или рабочего компьютера |
Да: нейтральная тема, нейтральный отправитель |
| Списание по карте |
Название в выписке видит тот, кто её откроет |
Да, через дескриптор эквайера |
⚠ Третья строка — та, где технология бессильна. Никакая обработка не уберёт из кадра узнаваемый балкон соседнего дома. Это работа человека при модерации, и её стоит заложить в процесс, а не надеяться на автоматику.
Что делается при загрузке файла
Минимальный набор, который закрывает самую дешёвую утечку и стоит один раз:
-
Снять все метаданные. Не «почистить лишнее», а пересохранить изображение так, чтобы посторонних полей не осталось вовсе. Координаты съёмки — самое опасное поле, и оно попадает туда само.
-
Отдавать не оригинал. Публикуется обработанная версия; оригинал, если он нужен, лежит отдельно и наружу не выходит.
-
Имя файла не должно ничего значить. Загруженное имя заменяется на служебное. Файл вида «Маша_паспорт.jpg» рано или поздно окажется в адресе.
-
То же для видео. Про метаданные в видео забывают почти всегда, а они там есть.
Адреса и то, что остаётся в истории
Адрес страницы живёт дольше самой страницы: он остаётся в истории браузера, в закладках, в пересланном сообщении, в журналах любых промежуточных систем. Поэтому имя человека в адресе — долгая утечка, даже если саму страницу потом удалили.
- В адресе — служебный идентификатор или псевдоним, но не настоящее имя и не телефон.
- Никаких персональных данных в параметрах запроса: они попадают в журналы целиком.
- Страница удалённой анкеты должна отвечать честно, а не показывать остатки в заголовке вкладки.
Переписка, письма и уведомления
Самая недооценённая утечка и самая простая в исправлении. Человек открывает почту там, где его видно: на работе, дома, в дороге.
- Тема письма нейтральна всегда, включая письма о восстановлении доступа и об оплате.
- Имя отправителя тоже. Название проекта в поле «от кого» сводит на нет нейтральную тему.
- Уведомления на телефон не показывают содержание на заблокированном экране.
- Дескриптор в выписке узнаваем для плательщика, но не раскрывает категорию покупки. Это же снижает долю оспариваний, так что интерес здесь общий.
Что хранить, а чего не хранить вовсе
Данные, которых нет, невозможно потерять — и это единственная стопроцентно надёжная мера на этой странице.
| Данные | Решение | Почему |
|---|
| Номера карт |
Не хранить никогда |
Их держит эквайер, у вас идентификатор |
| Документы о возрасте |
Хранить отдельно, с журналом обращений |
Нужны редко, но обязаны быть; доступ к ним — отдельное событие |
| Переписка |
Хранить со сроком, потом удалять |
Бессрочная переписка — растущий риск без растущей пользы |
| Точное местоположение |
Хранить с точностью до города, не до адреса |
Для работы достаточно города; адрес — уже опасность |
| Журналы доступа |
Хранить со сроком и без лишних полей |
Нужны для разбора инцидентов, но сами являются данными о людях |
⚠ Для европейского трафика к этому добавляется обязанность выдать человеку всё, что о нём известно, и удалить по запросу. Система, где сведения о человеке размазаны по таблицам без признака владельца, этого не сможет, и выяснится это в худший момент.
Что делать, когда утечка уже произошла
Порядок важнее скорости, и он должен быть написан до того, как понадобится.
- Сначала остановить продолжение. Снять материал с публикации, закрыть доступ. Разбор потом.
- Зафиксировать, что именно утекло и с какого момента. Без этого нельзя ни оценить ущерб, ни выполнить обязанности.
- Сообщить человеку. Это его безопасность, и узнать он должен от вас, а не со стороны.
- Проверить копии. Кэш поисковых систем, зеркала, агрегаторы. Удаление с сайта не удаляет копии.
- Потом искать причину. Именно в таком порядке: поиск виноватого в первый час стоит времени, которое нужно людям.
Что проверить прямо сейчас
- Снимаются ли метаданные с изображений и видео при загрузке — проверить на реальном файле, а не в настройках.
- Отдаётся ли наружу оригинал файла.
- Есть ли настоящие имена в адресах страниц.
- Что написано в теме и в поле «от кого» в ваших письмах.
- Что видно в выписке по карте.
- Хранятся ли точные адреса там, где хватило бы города.
- Можно ли собрать всё о человеке по одному запросу и удалить по другому.
- Написан ли порядок действий при утечке.
Как это делает adults.dev
Мы закладываем очистку метаданных, служебные имена файлов, нейтральные адреса и нейтральные письма в основу, а не добавляем потом: каждая из этих вещей стоит один раз при разработке и практически невыполнима задним числом, когда материал уже опубликован.
Отдельно проектируется разделение чувствительных данных и срок их хранения, чтобы запрос на удаление был обычной операцией, а не авралом. А то, что технологией не решается, — фон на снимке, узнаваемая деталь — выносится в процесс модерации, потому что честнее сказать, что здесь нужен человек, чем пообещать автоматику, которая этого не умеет.
Обсудить приватность вашего проекта:
Telegram: @adultsdev
E-mail: info@adults.dev