Google APIを使用する際のプライバシーリスク
Google APIのJQueryを使用する場合： http://ajax.googleapis.com/ajax/libs/jquery/1.10.1/jquery.min.js
私のサイトにプライバシーリスクはありますか？例えば。このリンクにより、Googleは私のページを読んだり、サイトの使用状況を追跡したりできますか？
追跡に関する限り、これはサードパーティ/外部リソースへのリンクと何の違いもありません。ヘッダーで送信され、読み取られ、コンテンツサーバーによるユーザーアクティビティの追跡に使用できる最も関連性の高いHTTPリクエスト情報にリストを制限します。
Cookie-クライアントソフトウェアは、外部サーバーが取得できるCookieを、
domainおよびpathのCookieのみに制限することになっていますパス属性は、リクエストを受信するサーバーのドメインとパスに一致し、有効期限が切れていません。さらに、secureフラグの存在に制限されており、このフラグがCookieに存在する場合、安全な接続を介してのみアクセスできます。 Cookieは読み書きできるため、技術的には、Googleは新しいトラッキングCookieをその応答に添付し、この方法でユーザーエージェント（Webクライアントソフトウェア）を追跡できます。これまでのところ、追跡Cookieの書き込み要求、またはjQuery APIを要求する際のGoogleサーバーの応答に添付された他の目的のCookieに気づいていません。ほとんどのクライアントソフトウェアには、クライアントの設定に応じて、サードパーティのCookieの存在をユーザーに警告したり、Cookieをブロックしたりする機能もあります。 EUのcookie法では、すべてのWebサイト運営者がそうするすべてのページでのCookieの使用について明確に警告する必要があるため、Googleが実際に変更することはできませんアラームをトリガーすることなく、追跡Cookieをアタッチすることで、突然の追跡要求を開始します。Referer-これは、元のWebページのアドレス（ [〜＃〜] url [〜＃〜] ）です外部リソースが要求されました。 「リファラー」という単語は、RFCおよびほとんどの実装でスペルミスがあります。このデータは標準のHTTPリクエストの一部であるため、Googleが統計や追跡の目的でこのデータを使用するのを妨げるものはまったくありません。一方、HTTPリクエスト内のこのreferer情報は、Googleの外部リソースにリンクしているサーバーでリクエストをリダイレクトするか、または他の方法で削除（または非開示URLに変更）できますanonymizing外部要求、実際には多くのWebサーバーはそうしません。情報自体はほとんど重要ではありませんが、他のHTTP要求データとリンクして、要求元のクライアントをより正確に識別することができます。
User-Agent-このリクエストフィールドは、 ser agent string を使用してクライアントソフトウェアを識別します。これらには通常、クライアントソフトウェアとその機能に関するあらゆる種類の情報（ブラウザーの種類、ブラウザーのバージョン、拡張機能、オペレーティングシステム、オペレーティングシステムのバージョン、Webクライアントが使用するライブラリなど）が含まれ、一意の識別に使用できます。さまざまな程度のWebクライアント。たとえば Panopticlick プロジェクトを参照して、これまでにテストされたすべての中でどれほどユニークであるかをブラウザでテストしてください。
User-Agentはもちろん、クライアントソフトウェアによって変更して、より少ない識別情報を含めることができます（例： TOR browser が各「アイデンティティの変更」ユーザーの要求に対して行う）。ただし、ほとんどのユーザーはその方法を知らないでしょう。よく彼らのブラウジング習慣は、このHTTPリクエストフィールドだけで識別でき、もちろんそれについては何もしません。 Googleはこの情報を使用して、Webクライアントをより一意に、および/または他の統計目的で識別できます。これは、外部リソースにリンクしているパブリッシャーとしては制御できないものです（クライアントのエンドのリクエストヘッダーに添付され、ドキュメント内でリンクされている外部リソースへのHTTP GETリクエストは、独自のWebではまったく処理されません）サーバ）。IPアドレス-実際には標準HTTPリクエストヘッダーの一部ではなく、 TCP/IP 要求自体（トランスポートプロトコルレベル）。このアドレスは、要求元のネットワーククライアントを一意に識別し、応答を目的の受信者に送信できるようにします。さまざまな Proxy または [〜＃〜] vpn [〜＃〜] ソリューションを使用して、IPアドレスを使用することでこの識別をバイパスする方法があります。それらのすべてがそれほど効果的ではありませんが、一部のプロキシは追加のヘッダーをHTTPリクエストにアタッチします（
X-Forwarded-Forなど）。これにより、リクエスト元のIPアドレスを明らかにしたり、サーバーのHTTP応答を取得するためにプロキシサーバーが使用されました（例：Via）。
すべての可能なHTTPリクエストヘッダー情報は このWikiページ にリストされています。それらの一部は、個々のWebクライアントのフィンガープリントを追跡するために使用できますが、ほとんどの場合、この意味では無害であり、多かれ少なかれ同じままですすべてのWebクライアントのため、したがって、識別の目的には役に立たない。
ただし、少し良くなります。 [〜＃〜] dom [〜＃〜] を介して外部リソースとしてGoogle APIにリンクしているため、クライアントソフトウェアはそのコンテンツを解析して外部リクエストを生成するため、 GETメソッド でコンテンツを取得するため、HTTPリクエストメソッドがどのようなものであるかに関係なく、このようなリクエストでは POSTメソッドの ボディ（フォームデータなど）の一部であるデータを読み取ることができません。この外部リソースにリンクするドキュメントのコンテンツを取得するために使用されます。
これは良いニュースかもしれませんし、そうでないかもしれません。たとえば、サーバーのリソースにアクセスするために [〜＃〜] uri [〜＃〜] フィールド値を介してサーバーに渡されたセッショントークンを使用してユーザーを承認する場合、サーバーで [〜＃〜] https [〜＃〜] を使用し、//で始まるプロトコルなしのURLを使用してjQuery APIにリンクすると、これらのURIフィールドが繰り返されます「referer」文字列で、Googleはサーバーへのリクエストでそれらを参照します。その他の場合（HTTPSを使用するか、POSTリクエストを介して認証し、Cookieを使用してクライアントにセッショントークンを書き込む/ユーザーストレージ/セッションストレージ））、この「リファラー」情報は含まれませんPOSTメソッドで使用されるGETリクエスト（HTTPbodyフィールドはHTTPheaderにリークしません）新しいリクエストのフィールド）、またはユーザーデータのいずれもリークされません（HTTPSプロトコルは、どのプロトコルを介して提供されるかに関係なく、外部リソースへのリクエストに「リファラー」情報を含みません）。
あなたの質問の他の部分については-このリンクによりGoogleは私のページを読むことができますか-はい、もちろん可能です。基本的に、あなたが制御できない外部リソースに進んでリンクすることで有効にしているのは [〜＃〜] xss [〜＃〜] タイプの攻撃であり、技術的には、Googleは簡単にこのjQuery APIにリンクしているWebページ上で、好みに完全に変更します。彼らはそれを彼らのためにほとんど呪文ゲームオーバーにするので、彼らはそれをしません。 Googleが公開するこれらのライブラリへの変更は、Googleが公開する受信したファイルを公式のjQueryページで公開されたファイルと比較することにより、追跡も比較的簡単です [〜＃〜] mac [〜＃〜] =受信したファイルの署名と jQueryページ 上のファイルのMAC署名に対してデータの整合性と信頼性をチェックするか、単にファイルを行ごとに比較します。
つまり、はい、GoogleがjQuery APIなどの外部リソースのリクエストに関連するHTTPおよびTCP/IPリクエスト値を検査することでユーザーの閲覧習慣を追跡している可能性があります。Googleはサーバーでの公開を支援していますが、そうしている場合、応答にトラッキングCookieを添付することで、アクティブトラッキングに頼っていません。これは、統計目的以外の目的でWebクライアントを正常に/一意に識別する能力を制限します。 TOR /プロキシ/ VPNサーバーを使用してこの短いWebクライアントを回避したり、独自のサーバーでjQuery APIを公開したりする必要はありません。ただし、悪意のあるコードを含めるようにこのAPIを変更することは検出なしでは不可能であり、Googleの評判に災いをもたらすでしょう。
ただし、ここでは MiTM 攻撃を実際に除外していないため、外部リソースへのリンクが追加ボーナスを提供します-攻撃者である場合、そのような要求を攻撃者が選択した場所に置き換えるだけで、悪意のあるペイロード手段として使用する可能性があります。
説明されているそのような脅威を阻止する最善の策は、jQuery APIを独自のサーバーに公開することです。各ユーザーのリクエストには少しコストがかかります。つまり、Webサーバーが処理する必要のあるもう1つのリクエストと、リクエストを処理するために必要な帯域幅が追加されますが、どのようにもっともらしいものであっても、記載されているすべてのリスクが取り除かれますかもしれません。
技術的には、はい、Googleはこれをたくさん実行できます。つまり、サイトで「JQueryを使用」すると、サイトのページがそのJavaScriptの一部を参照し、サイトを閲覧する人は誰でも自動的にGoogleのサーバーからサイトをダウンロードするため、Googleは誰がいつダウンロードしたかを簡単に知ることができます。 、およびリンクが見つかったサイト（Refererヘッダーのため）。これは簡単に実行でき、あなたの側では検出されません。そのため、Googleが実行すると想定する必要があります（評判が良い場合）。
ページの読み取りは別の問題です。彼らはの内容を変更することによって厄介なトリックをプレイすることができますjquery.min.jsファイル。サイトのページの一部を読み取り、サーバーに送信するなど、サイトのページでさまざまなことを行うため。ただし、これはactive攻撃であるため、検出のリスクを伴います。グーグルのモットーは「悪にならないこと」であり、彼らが決して悪見ている悪でないという条件でのみそれを維持することができます。アクティブな攻撃に没頭することは彼らのイメージに深刻なダメージを与える可能性があり、あなたのWebサイトを読み返すのと同じくらい些細なことで彼らが危険を冒すのではないかと思います Google自体の純資産 -比較で気分を害されないことを願っています）。