WordPress Facebook Akışı Eklentisi Güvenlik Açığı

Bir WordPress eklentisi olan Smash Balloon Social Post Feed'in, web sitelerini bir saldırganın kötü amaçlı komut dosyaları yüklemesine izin vermesine neden olan bir güvenlik açığına sahip olduğu keşfedildi. Jetpack'teki güvenlik araştırmacıları, güvenlik açığını keşfetti ve eklenti yayıncılarına bunu yamalayan ve sabit bir sürüm olan 4.0.1 sürümünü yayınlayan bildirimde bulundu. Bundan önceki sürümler savunmasızdır.

Smash Balloon Social Post Feed

Smash Balloon Social Post Feed WordPress eklentisi, Facebook beslemelerini alır ve bunları bir WordPress sitesindeki gönderilere dönüştürür. Eklentinin ücretsiz sürümü, Facebook gönderilerini, Facebook içeriğinin yeniden yayınlandığı sitenin görünümü ve hissi ile eşleşecek şekilde görüntülemek için tasarlanmıştır. Ücretli "profesyonel" sürüm ayrıca resimleri, videoları ve yorumları yeniden yayınlar.

Keyfi Ayar Güncellemesi ile Depolanan Siteler Arası Komut Dosyası

Depolanan Siteler Arası Komut Dosyası Çalıştırma açığı (Depolanmış XSS), kötü niyetli bir saldırganın zararlı komut dosyalarını sunucunun kendisinde yüklemesine ve kalıcı olarak depolamasına olanak tanıyan bir tür siteler arası komut dosyası çalıştırma güvenlik açığıdır. Kar amacı gütmeyen Open Web Application Security Project (OWASP), Stored XSS güvenlik açıklarını açıklar:

“Depolanmış saldırılar, enjekte edilen komut dosyasının bir veritabanı gibi hedef sunucularda kalıcı olarak depolandığı saldırılardır…. Kurban, saklanan bilgileri istediğinde sunucudan kötü amaçlı komut dosyasını alır.

Ayrıcalık ve Olmayan Denetimler

Jetpack tarafından yayınlanan güvenlik uyarısı, Smash Balloon Social Post Feed WordPress eklentisinin bir güvenlik sorunu haline gelmesine neden olan iki güvenlik sorunu olduğunu duyurdu. Ayrıcalık ve Nonce kontrolleri eksikti. XSS saldırıları, genellikle bir WordPress sitesine bir şey yüklemenin veya girmenin bir yolu olan her yerde gerçekleşebilir. Bir form aracılığıyla, yorumlarda, kullanıcının veri girebildiği her yerde olabilir. Bir WordPress eklentisinin, bir kullanıcının sahip olduğu ayrıcalık düzeyine (abone, düzenleyici, yönetici) ilişkin bir kontrol de dahil olmak üzere, kontroller gerçekleştirerek siteyi koruması gerekir. Uygun bir ayrıcalık denetimi olmadan, bir abone gibi en alt düzeydeki bir kullanıcı, yönetici düzeyi ayrıcalıkları gibi normalde en yüksek düzeyde erişim gerektiren eylemleri gerçekleştirebilir. Nonce, girdileri saldırılara karşı koruma amaçlı tek kullanımlık bir güvenlik belirtecidir. WordPress N Once Documentation , nonce'ların değerini açıklar:

“Temanız, kullanıcıların veri göndermesine izin veriyorsa; Yönetici veya ön uçta olsun; nonces, bir kullanıcının bir eylemi gerçekleştirme niyetinde olduğunu doğrulamak için kullanılabilir ve Siteler Arası İstek Sahteciliğine (CSRF) karşı koruma sağlamada etkilidir. Bir örnek, yetkili kullanıcıların video yüklemesine izin verilen bir WordPress sitesidir.”

Jetpack, Smash Balloon eklentisinde ayrıcalık ve nonce kontrollerini gerçekleştiremeyen ve siteyi saldırıya açan bir güvenlik açığı tespit etti. Jetpack, güvenlik açığının web sitelerini nasıl açığa çıkardığını açıkladı:

“Eklentinin iç ayarlarını güncellemekten sorumlu olan wp_ajax_cff_save_settings AJAX eylemi, bunu yapmadan önce herhangi bir ayrıcalık veya nonce kontrolü gerçekleştirmedi. Bu, oturum açmış herhangi bir kullanıcının bu eylemi çağırmasını ve eklentinin ayarlarından herhangi birini güncellemesini mümkün kıldı. Ne yazık ki, bu ayarlardan biri olan customJS, yöneticilerin sitelerinin gönderilerinde ve sayfalarında özel JavaScript depolamasına olanak tanır. Bu ayarı güncellemek, kötü bir oyuncunun sitede kötü amaçlı komut dosyaları depolaması için gereken tek şey."

Her sürüm güncellemesinin ne içerdiğini kaydeden Smash Balloon Social Post Feed WordPress eklenti değişiklik günlüğü, bir güvenlik sorununun giderildiğini doğru bir şekilde not eder. Smash Balloon'un yaptığı gibi yalnızca güvenlik açıklarını zamanında düzeltmekle kalmaz, aynı zamanda Smash Balloon'un yaptığı değişiklik günlüğüne not etmekten de sorumludur. Değişiklik günlüğü şunları belirtir:

"Düzeltme: Geliştirilmiş güvenlik güçlendirmesi."

Önerilen eylem

Smash Balloon Social Post Feed, kötü amaçlı komut dosyalarının yüklenmesine izin veren Stored XSS saldırısını düzeltmek için yakın zamanda yamalandı. Jetpack, Smash Balloon Social Post Feed'in bu yazıdaki en son sürüm olan 4.0.1 sürümüne güncellenmesini önerir. Bunu yapmamak, bir WordPress kurulumunu güvensiz hale getirebilir.

Güvenlik Açıkları Bir SEO Sorunu Değildir Siz Hacklenene Kadar

Google'dan John Mueller, SEO Çalışma Saatleri Hangout'unda bir güvenlik açığının SEO üzerinde herhangi bir etkisi olup olmadığıyla ilgili bir soruyu yanıtladı. Teknik olarak bunun bir SEO sorunu olmadığını söyledi. Ancak bu güvenlik açığı, gelecekte bir SEO sorunu haline gelme tohumlarına sahipti.

Bir Şey Ne Zaman SEO Sorunu Olur?

Bir bakıma bu biraz felsefi bir soru. Çok fazla site denetimi yapan tanıdığım biri, tüm SEO denetimlerinin bir parçası olarak bir güvenlik taraması eklediğimi duyunca şaşırdı. Bunu yapmamın nedeni, site saldırıya uğrarsa ve Google onu arama motoru sonuç sayfalarından (SERP'ler) engellerse bir güvenlik açığı bir SEO sorunu haline gelebilir. Bence SEO üzerindeki etkisinin gelecekte olması, bunun bir SEO sorunu olmadığı anlamına gelmiyor. SEO'yu düzeltmek için ele almadan önce neden bir güvenlik açığının SEO sorunu haline gelmesini bekleyesiniz? Gizleme veya ücretli bağlantılar gibi gelecekte bir SEO sorunu olma potansiyeline sahipse, bence bu bir SEO sorunudur. Ama bu sadece benim fikrim. İşte soru:

“Sitemizde bir Deniz Feneri raporu yaptıktan sonra, kullandığımız ortak bir JavaScript kitaplığının iki güvenlik açığına sahip olarak işaretlendiğini fark ettik. Bu güvenlik açıklarının SEO üzerinde herhangi bir etkisi var mı? Yoksa bunun daha çok bize haber vermek için olduğunu mu söylersin?”

JavaScript kitaplığı, birlikte paketlenmiş bir dizi işlevselliktir. JS kitaplıkları, eklenti ve tema geliştiricilerinin, sıfırdan kodlamak zorunda kalmadan belirli işlevleri dahil etmelerini kolaylaştırır. Tek yapmaları gereken kitaplığı raftan çekmek (tabii ki) ve bir şeylerin gerçekleşmesi için JS'yi tetikleyen kodu yazmak. Bazı eski JS kitaplıkları güvenlik açıkları içerir. Bu JS Kitaplıkları genellikle bir tema veya eklenti aracılığıyla web sitelerine gizlice girer. Bunu düzeltmek, temayı veya eklentiyi güncellemek kadar kolay olabilir, ancak bazen bu onu düzeltmez.

Ve bir JavaScript kitaplığını güncellemek her zaman mümkün değildir, çünkü eski kitaplık, temada söz konusu kitaplık eksik olduğunda bozulan bir işlevden sorumlu olabilir. Bu durumlarda, onu düzeltmek, temayı veya eklentiyi, JS kitaplığı seçiminde daha sorumlu olan bir başkasıyla değiştirmeyi gerektirir. John Mueller yanıtladı:

"Yani Lighthouse, bence Chrome içinde bir araç ve aynı zamanda bağımsız bir araç. Sadece Chrome'da olup olmadığından emin değilim. Ama temelde Chrome tarafından. Tanımı gereği bir SEO aracı değildir. Ancak SEO için kullanabileceğiniz pek çok şey var.”

Mueller, Lighthouse'ın tanımı gereği bir SEO aracı olmadığı konusunda haklı. Ancak bazı hafif SEO işlevlerine sahiptir ve performans denetiminin kendisi SEO ile ilgilidir çünkü Temel Web Verileri biçimindeki performans bir sıralama faktörüdür. Mueller şöyle devam etti:

"Ve özellikle, güvenlik açıkları bir SEO sorunu olarak işaretleyeceğimiz bir şey değil. Ancak bunlar, kullandığınız komut dosyalarındaki gerçek güvenlik açıklarıysa… bu, web sitenizin saldırıya uğradığı anlamına gelir, o zaman web sitenizin saldırıya uğramış durumu, SEO için bir sorun olacaktır. Ancak sadece saldırıya uğrama olasılığı, SEO ile ilgili bir sorun değil. Bu bakış açısından, bunu belki geliştiricilerle birlikte iki kez kontrol etmek veya bu kütüphaneleri güncelleyip güncelleyemeyeceğinizi iki kez kontrol etmek için bir şey olarak alırdım. Ama bunu sıralamanızı hemen değiştirecek bir şey olarak görmezdim.”

Güvenlik Açığı Sıralamayı Hemen Değiştirecek Bir Şey Değildir

John, elbette bir güvenlik açığının hemen SEO etkisi yaratacak bir şey olmadığı konusunda haklı. Ancak bir güvenlik açığı, bir SEO sorunu olma potansiyeli taşır ve bu nedenle site güvenliğini bir SEO sorunu olarak görmek akıllıca olabilir.

300000 den Fazla Catch Tema Kurulumu WordPress Eklentilerinde Güvenlik Açığı

WPScan ve Wordfence'deki güvenlik araştırmacıları, Catch Plugins (Catch Themes, LLC'nin bir bölümü) yayınlanmış ve güvenlik açıklarına sahip on yedi eklenti belirledi. Bu güvenlik açıkları yüksek olarak derecelendirilir ve bir saldırganın eklenti yapılandırmalarını değiştirmesine neden olabilir.

Siteler Arası İstek Sahteciliği (CSRF)

Bir kullanıcı kimlik doğrulaması açığı (yetenek kontrolünden yoksun) ve Siteler Arası İstek Sahteciliği (CSRF) güvenlik açığı, Catch Themes tarafından yayınlanan 17 eklentiyi etkiliyor. Bu güvenlik açıkları, oturum açmış herhangi bir kullanıcının, hatta bir abonenin, genellikle web sitesinin yöneticisi gibi en yüksek düzenleme ayrıcalıklarına sahip WordPress kullanıcıları için ayrılmış değişiklikleri gerçekleştirmesine izin verir. WordPress güvenlik eklentisi yayıncısı WPScan'a göre:

"CatchThemes satıcısından gelen Çoklu Eklentiler, ctp_switch AJAX eyleminde, Abone gibi kimliği doğrulanmış herhangi bir kullanıcının eklentinin yapılandırmalarını değiştirmesine izin verebilecek yetenek ve CSRF kontrolleri gerçekleştirmez."

Wordfence, Catch Demo Import WordPress Eklentisindeki Güvenlik Açığı Raporladı

Wordfence, bu eklentilerden birinde de keşfedilen kritik bir güvenlik açığı hakkında bir bildirim yayınladı, Catch Themes Demo Import (sürüm 1.7'ye kadar olan sürümler). Catch Themes Demo Import WordPress eklentisinin Keyfi Dosya Yükleme Güvenlik Açığı olduğu bulundu . Bu özel güvenlik açığının ne kadar ciddi olduğu belli değil. Güvenlik açığı, Wordfence tarafından 1 - 10 arasında 9.1 olarak derecelendirildi ve Kritik olarak tanımlandı. Ancak güvenlik açığı, ABD hükümeti Ulusal Güvenlik Açığı Veritabanında 7,2 (Yüksek) derecesiyle listelendi. Wordfence'e göre:

"Catch Themes Demo Import WordPress eklentisi, yetersiz dosya türü doğrulaması nedeniyle ~/inc/CatchThemesDemoImport.php dosyasında, 1.7'ye kadar ve dahil olmak üzere sürümlerde bulunan içe aktarma işlevi aracılığıyla rastgele dosya yüklemelerine karşı savunmasızdır"

Wordfence, 1.8 veya daha yeni bir sürüme yükseltme yapmanızı önerir.

Onyedi Catch Temasında Bulunan Güvenlik Açıkları WordPress Eklentileri

WPScan, güvenlik açıklarına sahip olduğu keşfedilen on yedi Catch Themes WordPress eklentisini listeler. Tüm on yedi eklenti yayıncısına ifşa edildi ve düzeltildi.

300.000'den Fazla Kurulum Etkilendi

On yedi eklentinin çoğu oldukça popülerdir. Bunlar, yanlarında listelenen kurulum sayısı ile en popüler 10 Catch Themes eklentisidir.

En Popüler On Vulnerable Catch Tema Eklentisi

• To Top – 80,000 Installations
• Essential Content Types – 50,000 Installations
• Catch IDs – 40,000 Installations
• Catch Web Tools – 20,000 Installations
• Social Gallery and Widget – 20,000 Installations
• Catch Infinite Scroll – 20,000 Installations
• Catch Gallery – 20,000 Installations
• Essential Widgets – 20,000 Installations
• Catch Instagram Feed Gallery & Widget (Social Gallery and Widget) – 20,000 Installations
• Catch Themes Demo Import – 10,000 Installations

Onyedi Catch Teması Savunmasız Eklentiler

Bunlar, WPScan tarafından daha sonra yamalanan bir güvenlik açığına sahip olduğu bildirilen on yedi eklentidir:

• Essential Widgets Fixed in version 1.9
• To Top Fixed in version 2.3
• Header Enhancement Fixed in version 1.5
• Generate Child Theme Fixed in version 1.6
• Essential Content Types Fixed in version 1.9
• Catch Web Tools Fixed in version 2.7
• Catch Under Construction Fixed in version 1.4
• Catch Themes Demo Import Fixed in version 1.6
• Catch Sticky Menu Fixed in version 1.7
• Catch Scroll Progress Bar Fixed in version 1.6
• Catch Instagram Feed Gallery & Widget (Social Gallery and Widget) Fixed in version 2.3
• Catch Infinite Scroll Fixed in version 1.9
• Catch Import Export Fixed in version 1.9
• Catch Gallery Fixed in version 1.7
• Catch Duplicate Switcher Fixed in version 1.6
• Catch Breadcrumb Fixed in version 1.7
• Catch IDs Fixed in version 2.4

Kullanıcıların En Son Eklenti Sürümlerini Güncellemeyi Düşünmeleri Tavsiye Edilir

Etkilenen Catch Themes eklentilerini kullanan ve bu eklentilerin savunmasız sürümlerini kullanmanın istenmeyen sonuçlarından kaçınmak isteyen yayıncılar, eklentilerin şu anda mevcut olan en son sürümlerine yükseltme yapmayı düşünmelidir. Bunun yapılmaması, bir bilgisayar korsanlığı olayına gereksiz yere maruz kalınmasına neden olabilir.

Google Captchaların Arkasındaki İçeriği Göremiyor

Google, web tarayıcısı bunu göremeyeceğinden, içeriği captcha'ların arkasına gizlerlerse web sitelerinin sorun yaşayabileceğini söylüyor. Googlebot, web sayfalarını tararken hiçbir şeyle etkileşime girmez. Ana içeriği engelleyen bir captcha içeren bir sayfaya gelirse, sayfadaki tek şeyin bu olduğunu varsayacaktır. Ancak bunun etrafında yollar var. Captcha'lar sorunlu olsa da, bunları kullanmayı bırakmanız için hiçbir neden yoktur. Tüm bunlar Google'dan John Mueller tarafından 24 Eylül 2021'de kaydedilen Arama Merkezi SEO çalışma saatleri sırasında belirtildi.

Bir dizin sitesinin sahibi, Mueller'e kazımayı önlemek için uyguladıkları captcha'ların SEO'yu etkileyip etkilemediğini sorar. Kısacası - evet, SEO'yu etkileyebilirler. Ancak içerik engelleme captcha'lar kullanmak için bir yolu var gelmez tarama veya dizine müdahale. İşte Mueller'in tavsiyesi.

Google'dan John Mueller, İçeriği Engelleyen Captcha'larda

Mueller, Googlebot'un captcha'ları, hatta Google tabanlı captcha'ları bile doldurmadığını açıkça ortaya koyuyor. İçeriğe erişmeden önce captcha'nın doldurulması gerekiyorsa, içerik taranmaz. Google sayfayı dizine ekleyebilecek, ancak captcha'nın arkasındaki içeriğin hiçbiri sıralama için kullanılmayacak.

“Googlebot, herhangi bir captcha doldurmaz. Google tabanlı captcha'lar olsalar bile onları doldurmuyoruz. Bu, içeriğin görünür olması için captcha'nın tamamlanması gerekiyorsa, içeriğe erişimimizin olmayacağı bir şeydir. Öte yandan, herhangi bir şey yapmanıza gerek kalmadan içerik orada mevcutsa ve captcha sadece en üstte gösteriliyorsa, genellikle bu iyi olur.”

Mueller'in dediği gibi, ana içeriğe kolayca erişilebiliyorsa captcha'ları güvenle kullanabilirsiniz. Bir captcha'nın Google'ın görüşünü engellemediğinden emin olmak için Mueller, Search Console'daki URL'yi Denetle aracını kullanmanızı önerir.

“Test etmek için yapacağım şey, Search Console'da URL'yi inceleme aracını kullanmak ve bu sayfaları getirmek ve neyin geri geldiğini görmek. Bir yandan, görünen içerikle eşleştiğinden emin olmak için görünen sayfayı [kontrol edin]. Ve dizine eklemek istediğiniz içeriği içerdiğinden emin olmak için orada oluşturulan HTML'yi [kontrol edin]. Orada benim de böyle bir yaklaşımım olur.”

Bu bir çözüm, ama yine de başka bir çözüm var. Bir captcha ile içeriği tamamen engellemek ve aynı zamanda Google dostu tutmak istiyorsanız, bunu da yapabilirsiniz. Google'ın yönergelerine aykırı olduğunu düşündüğünüz bir teknik içeriyor, ancak Mueller bunun herhangi bir politikayı ihlal etmediğini onaylıyor. Googlebot'a normal kullanıcılara sunulandan farklı bir sayfa sürümü sunun. Googlebot, sayfanın captcha içermeyen bir sürümüne sahip olabilirken, kullanıcıların herhangi bir içeriği görüntülemeden önce captcha'yı tamamlaması gerekir. Ardından içerik sıralama için kullanılırken, captcha ile hedefiniz ne olursa olsun başarabilirsiniz.

“Politika açısından, bize tüm içeriği sunduğunuz ve kullanıcı tarafında bir captcha'ya ihtiyacınız olduğu durumlarda sorun yok. Bunu Googlebot veya belki diğer arama motorları için, bizim açımızdan ortalama bir kullanıcı için yaptığınızdan biraz farklı yapmanız gerekiyorsa, sorun değil.”

Chrome Tabanlı Spam Göndericiler Temel Web Verilerini Etkileyebilir mi

Google'dan John Mueller, Chrome tabanlı spam trafiğinin temel web vitals puanlarını olumsuz etkileyip etkilemediğini yanıtladı. John Mueller, Chrome veya web platformu ekibinde olmadığı için yanıt vermeden önce bir an durup düşünmek zorunda kaldı. Altta yatan bir soru olan çıkarımlardan biri, Önemli Web Verilerini zehirlemeye odaklanan olumsuz bir SEO saldırısı başlatmanın ve böylece bilinen bir sıralama faktörünü etkilemenin mümkün olup olmadığıdır.

Chrome Kullanıcı Deneyimi Raporu

Sıralama faktörleri haline gelen Önemli Web Verileri puanları , Chrome tarayıcılarındaki gerçek kullanıcılardan elde edilir. Tarama bilgileri, gerçek web sayfalarını ziyaret eden gerçek cihazlardan gerçek web sayfası indirme verilerini içerir. Bu veriler, Google'ın "alan verileri" olarak adlandırdığı şeydir ve daha sonra sıralama faktörleri olarak kullanılan Önemli Web Verileri puanını hesaplamak için kullanılır. Google, Chrome Kullanıcı Deneyimi raporunu oluşturmak için Chrome tarayıcı kullanıcılarından gelen tarama verilerini kullanır.

Google'ın geliştirici sayfaları, süreci şu şekilde açıklar:

"Chrome Kullanıcı Deneyimi Raporu, göz atma geçmişlerini senkronize etmeyi seçmiş, bir Senkronizasyon parolası oluşturmamış ve kullanım istatistik raporlamasını etkinleştirmiş kullanıcılardan toplanan, genel web'deki temel kullanıcı deneyimi metriklerinin gerçek kullanıcı ölçümüyle desteklenmektedir. ”

Chrome'daki gerçek kullanıcılar, Önemli Web Verileri puanlarını etkileyebilir. Yani soruyu soran kişinin haklı bir endişesi vardı. Soruyu soran kişi, "Chrome'u tarayıcı olarak kullanan" "spam trafiği" olarak çerçeveledi. Kişi, bunların Chrome tarayıcılarını yavaş bağlantılarda kullanan gerçek kişiler mi yoksa botlar mı olduğu konusunda net değil. John Mueller ne yazık ki açıklama istemedi.

Chrome Sahtekarlık Yapan Botlar

Chrome olmayan birçok türde bot vardır, bunlar yalnızca Chrome'u taklit eder (buna Chrome'un kullanıcı aracısını yanıltmak denir). Örneğin, Python tabanlı bir web kazıyıcı, bir web sitesini yalnızca normal bir site ziyaretçisi olarak kandırmak için Chrome'u yanıltabilir. Bu tür botlar, bir web sitesinin Önemli Web Puanlarını etkilemez çünkü bunlar Chrome değildir, yalnızca komut dosyalarıdır.

Headless Chrome Botlar

Headless Chrome olarak adlandırılan, gerçek Chrome tarayıcısını temel alan başka türde botlar da vardır . Headless Chrome, Chrome tarayıcısıdır, ancak Chrome'un kullanıcı arayüzü yoktur, bu yüzden başsız olarak adlandırılır. Headless Chrome test amacıyla tasarlandığından, Headless Chrome tarayıcısının Önemli Web Verileri bilgilerini de geri göndermesi pek olası değildir.

Chrome Kullanan Gerçek Kişilerle Spam Trafiği

Kabus senaryosu, Sayfa Deneyimi Raporu'na dahil edilmiş Chrome tarayıcıları kullanırken gerçek kişileri yavaş bir İnternet bağlantısı üzerinden bir siteyi ziyaret etmeleri için gönderen spam göndericileridir. Google, Chrome'u kötü niyetlerle kullanan gerçek kişileri Önemli Web Verilerini olumsuz etkilemekten nasıl filtreler?

Chrome Tabanlı Spam Trafiği Temel Web Verilerini Etkileyebilir mi?

Soruyu soran kişi buna “spam trafiği” adını verdi ve bunun insan spam göndericileri mi yoksa botlar mı anlamına geldiğini netleştirmedi.

Bu sorulan soru:

“Geçen hafta, dünyanın her yerinden tarayıcı olarak Chrome kullanan bazı web sitelerimizde doğrudan spam trafiğinde büyük bir artış gördük. Bu spam trafiği çok yavaş. Sayfa hızını ve sıralamaları değerlendirmek için kullanılan Chrome metrikleri konusunda biraz endişeliyiz. Google bunun farkında mı? Yapabileceğimiz bir şey var mı?”

Google, Chrome Spam Trafiği Temel Web Verilerini Etkilerse Yanıtlıyor

John Mueller yanıtladı:

“Uhm… Yani… bilmiyorum … web'de zaman içinde çok sayıda garip spam trafiği görüyoruz ve bunu oldukça iyi anlıyoruz. Ve anladığım kadarıyla, temel web hayati bilgileriyle ilgili olarak, kullandığımız şey… Chrome Kullanıcı Deneyimi Raporu verilerinde, dikkat etmemiz gereken belirli gereksinimler var ve olağan spam trafiğini neredeyse kesinlikle filtreliyoruz. bu da orada.

Bu açıdan, bunun herhangi bir soruna yol açmasını beklemezdim. Bu konuda gerçekten endişeleniyorsanız ve bana gönderebileceğiniz bazı verileriniz varsa, bakabilmeleri için bunu Chrome ekibine iletmekten memnuniyet duyarım. Ancak bunun herhangi bir soruna yol açacağını düşünmezdim. Her zaman her türlü garip spam trafiğini görüyoruz ve sistemlerimiz bu tür şeylerden kaçınmak için oldukça iyi ayarlanmış. ”

Google, Chrome Tabanlı Spam Göndericileri Yakalayabilir mi?

Bir Headless Chrome botunun temel web vitals puanlarını etkilemeyeceği oldukça açık görünüyor. Bunu açıkça söyleyen belgeler bulamadım ama olması gerektiği gibi geliyor. Yine de Google'dan bazı açıklamalar için iyi olurdu. John Mueller, Chrome Kullanıcı Deneyimi Raporunun "olağan spam trafiğini" filtrelediğinden emin. Ancak, bilgileri incelemesi için Chrome ekibine geri götürmeyi de teklif etti. Nasıl mı sen bu konuda hissediyorum?

Temiz Veri Odası Nedir ve Çerezsiz Bir Dünya Neden Önemlidir

Google'ın Chrome'da üçüncü taraf çerez desteğini sona erdirmek için Apple (Safari) ve Mozilla'ya (Firefox) katılmasıyla birlikte , bir zamanlar reklam yatırımının getirisini ölçmek için güvendiğimiz raporlamanın doğruluğunu kaybetme sürecindeyiz. Basit bir çözümü olmayan devasa bir reklamcılık ilişkilendirme sorunuyla karşı karşıyayız. PPC reklamcılığı , geleneksel reklamcılığa karşı üstün ölçülebilirliği ile bilinir.

Peki, raporlarımızın doğruluğunun gelişmiş kullanıcı gizliliği düzenlemelerinden ciddi şekilde etkileneceği bir dünyada değeri nasıl kanıtlayacağız? Bunlar, iOS 14 cihazlarda Facebook Reklam takibinin yanlışlığıyla ilgili halihazırda karşılaştığımız sorunlardır . Reklamverenler kendi birinci taraf verilerine erişmeye ve bunları kullanmaya devam edecek , ancak ağlar arasında verileri eşleştirmek çok daha zor olacak. Üçüncü taraf tanımlama bilgisi izleme tarafından etkinleştirilen platformlar arası görünüm yerine her platformda daha derin bir analize dayanacaktır. Veri temiz odalar kavramının geldiği yer burasıdır.

Veri Temiz Odası nedir?

Veri temizleme odası, reklamverenlerin ve markaların, herhangi bir PII/ham veriyi gerçekte birbirleriyle paylaşmadan kullanıcı düzeyindeki verileri eşleştirmesini sağlayan bir yazılım parçasıdır. Facebook, Amazon ve Google gibi büyük reklam platformları, reklamverenlere reklamlarının platformlarındaki performansı hakkında eşleşen veriler sağlamak için veri temiz odalarını kullanır.

Tüm veri temiz odaları, işletmelerin müşteri düzeyindeki verileri görüntülemesine veya çekmesine izin vermeyen son derece katı gizlilik kontrollerine sahiptir. Reklamverenlere faydası, her platformda reklam performansının çok daha net bir resmidir. Ancak, platform verileriyle herhangi bir önemli eşleşmeyi yürütmek için ilk etapta sağlam bir birinci taraf veri bankasına güveniyor. Örneğin, Google'ın Reklam Veri Merkezi , ücretli medya performansını analiz etmenize ve kendi birinci taraf verilerinizi Google'a yüklemenize olanak tanır . Bu, kendi kitlelerinizi segmentlere ayırmanıza, erişimi ve sıklığı analiz etmenize ve farklı ilişkilendirme modellerini test etmenize olanak tanır.

Bu yaklaşımla ilgili önemli bir sorun var. Pek çok platform, kanallar arası bir temiz oda çözümü sunabileceğini iddia etse de, Google ve diğer platformlar tarafından uygulanan katı gizlilik kontrolleri göz önüne alındığında, durumun nasıl olacağını görmek zor. Bir marka her platformda harcamayı artırmak istiyorsa, ancak yine de ağlar arası ilişkilendirmede bir zorluk yaratıyorsa bu iyidir.

Bir Örnek: Google Ads Veri Merkezi

Google'ın Ads Data Hub'ının, Google'a özel reklamcılık (Arama Ağı, Görüntülü Reklam Ağı, YouTube, Alışveriş) ölçümü, kampanya bilgileri ve kitle etkinleştirmesi için geleceğe yönelik bir çözüm olması bekleniyor. Ads Data Hub, en çok birden fazla Google platformu çalıştırırken ve partiye getirmeniz gereken önemli miktarda birinci taraf veriniz varsa (ör. CRM verileri) etkilidir.

Ads Data Hub aslında bir API'dir. Sizin ve Google'ınki olmak üzere iki BigQuery projesini birbirine bağlar . Google projesi, GDPR kuralları nedeniyle başka bir yerde bulamadığınız günlük verilerini depolar. Diğer proje, tüm pazarlama performansı verilerinizi (çevrimiçi ve çevrimdışı) Google Analytics , CRM veya diğer çevrimdışı kaynaklardan depolamalıdır .

Veri Temiz Oda Zorlukları ve Sınırlamaları

Birinci taraf verileri (temiz veri odalarına güç sağlamak için kullanılan tür), gizlilik düzenlemelerine uyma ve kullanıcı onayını yönetme konusunda daha az sorunla birlikte gelir. Ancak birinci taraf verilerini elde etmek, üçüncü taraf çerez verilerini elde etmekten çok daha zordur. Bu, en büyük müşteri veri bankasına erişimi olan Google, Facebook ve Amazon gibi "duvarlarla çevrili bahçelerin", reklamverenlere gelişmiş ölçüm çözümleri sunabilmekten yararlanacağı anlamına gelir. Ayrıca, çok sayıda tüketici verisine erişimi olan markalar – örneğin, doğrudan tüketiciye yönelik markalar – tüketicilerle doğrudan ilişkisi olmayan markalara göre pazarlama avantajı elde edecektir.

Günümüzde veri temizleme odalarının çoğu yalnızca tek bir platform (örn. Google veya Facebook) için çalışmaktadır ve diğer veri temiz odaları ile birleştirilemez. Birden fazla platformda reklam veriyorsanız, verileri manuel olarak bir araya getirmeden müşteri yolculuğunun tam bir görünümünü oluşturmak için verileri birleştiremeyeceğiniz için bunu sınırlayıcı bulacaksınız. Pazarlamacılar belirli bir temiz oda platformuna dalmadan önce, ilk düşünülmesi gereken, reklam harcamanızın ne kadarının her bir ağa odaklandığı olmalıdır. Örneğin, dijital harcamaların çoğu Facebook'a veya Google dışı diğer platformlara odaklanıyorsa, Google Ads Data Hub'ı keşfetmeye yatırım yapmaya muhtemelen değmez.

Veri Temiz Odalarına Alternatifler

Veri temiz odalar, üçüncü taraf tanımlama bilgilerinin kaybıyla karşılaştığımız zorlukların üstesinden gelmenin yalnızca bir yoludur, ancak başka çözümler de vardır. Şu anda tartışılan diğer iki önemli alternatif:

Tarayıcı tabanlı izleme.

Google Chrome'un içinde kohortunun onun Federe Öğrenme (FLOC) olduğunu iddia % 95 reklama hedeflemesi ve ölçümü için üçüncü taraf çerezleri kadar etkili. Esasen, bu, çoğu kişinin şüphe duyduğu, büyük, anonim gruplardaki kullanıcıların kimliklerini gizleyecektir. Açık olmak gerekirse, FLoC'ler temiz odalar değildir - ancak paylaşılan niteliklere dayalı olarak kullanıcı düzeyindeki verileri ve küme kitlelerini anonimleştirirler.

Evrensel kimlikler.

Evrensel kullanıcı kimlikleri , Google'ın gizlilik sanal alanında sunulan tarayıcı tabanlı izleme seçeneğine bir alternatiftir. Bunlar, tüm büyük reklam platformlarında kullanılacak, ancak anonim hale getirilecek, böylece reklamverenler bir kişinin e-posta adresini veya kişisel verilerini göremeyecektir. Teoride, evrensel kimliklerin kullanılması, reklamverenler için ağlar arası ilişkilendirmeyi kolaylaştıracaktır. evrensel kimlik etiketi, üçüncü taraf tanımlama bilgilerinin işlevselliğini etkili bir şekilde kopyalayacağından.

Gelecek

İzleme ve raporlama, artık normal kabul ettiğimiz arka plan görevi değil, artık açık kullanıcı onayı gerektiriyor . Bu geçiş, şirketlerin verilerinden daha sık vazgeçmeleri için kullanıcılardan onay istemelerini gerektiriyor. Kullanıcıların daha rahatsız edici gizlilik açılır pencerelerini tıklamasını gerektirir. Muhtemelen, en azından kısa vadede, kullanıcılar için daha fazla sürtüşme yaratacaktır, ancak bu, ücretsiz ve açık bir web için değiş tokuştur. Google gibi "duvarlarla çevrili bahçelerin" ötesinde, bazı şirketler çok kanallı veri temiz odaları oluşturmak için çalışıyor. Hiçbir PII verisi depolanmaz ve işletmeyle yalnızca toplu veriler paylaşılır.

Bu, platformlar arası ilişkilendirmenin zorluğuna kesinlikle yardımcı olsa da, farklı reklam platformları arasında sağlanan veriler arasında manuel yorumlama gerektirecek bir uyumsuzluk olması muhtemeldir. Bu veri eşleşmesini sağlayacak "temiz oda" teknolojisinden bağımsız olarak, verilerin reklam platformları veya reklam teknolojisi sağlayıcıları ile herhangi bir çapraz referansını sağlamak için şimdi kendi birinci taraf verilerinizi oluşturmaya yatırım yapmanız gerekiyor . Bu, müşterilerinizle ilgili derin veriler için değer yaratmayı ve ticaret yapmayı gerektirir.

Uygulamaların yüzde 52 si verilerinizi paylaşıyor

Kişisel verileriniz, sahip olduğunuz en değerli varlıklardan biridir. Çok fazla bilgi verirseniz, birisi bunu kimliğinizi çalmak için kullanabilir. Çoğumuz tuzakların farkındayız ve bu nedenle herhangi bir istismarı önlemek için adımlar atıyoruz. Ancak bazen bilgileriniz sizden habersiz olarak sızdırılabilir veya toplanabilir. Facebook gibi bir çevrimiçi hizmetin hüküm ve koşullarını okumaya hiç zaman ayırdınız mı? Birçok uygulamanın verilerinizi diğer, üçüncü taraflarla paylaştığını öğrenmek sizi şaşırtabilir. Peki verilerinizin çoğunu hangi uygulamaların paylaştığını biliyor musunuz?

En çok veriyi üçüncü taraflarla paylaşan uygulamalar

Instagram, Facebook ve YouTube gibi sosyal medya uygulamalarının bilgilerinizin çoğunu toplaması şaşırtıcı olmamalıdır. Yine de, çoğu durumda hizmetlere isteyerek bilgilerinizi sağladığınız açıklanmaktadır. En çok veriyi paylaşan uygulamaların listesi aşağıda verilmiştir.

• Instagram (toplanan kişisel verilerin% 79'u)
• Facebook (toplanan kişisel verilerin% 57'si)
• LinkedIn (toplanan kişisel verilerin% 50'si)
• Uber Eats (toplanan kişisel verilerin% 50'si)
• Trainline (toplanan kişisel verilerin% 43'ü)
• YouTube (toplanan kişisel verilerin% 43'ü)
• YouTube Müzik (toplanan kişisel verilerin% 43'ü)
• Deliveroo (toplanan kişisel verilerin% 36'sı)
• Duolingo (toplanan kişisel verilerin% 36'sı)
• eBay (toplanan kişisel verilerin% 36'sı)

"Bilgilerinizi satmak söz konusu olduğunda YouTube en kötüsü değil. Bu ödül, verilerinizin şaşırtıcı bir şekilde% 79'unu diğer şirketlerle paylaşan Instagram'a gidiyor. Satın alma bilgileri, kişisel veriler ve tarama geçmişinden her şeyi içerir. Ancak, uygulamaların büyük miktarda verinizi paylaşması, bunun kötü nedenlerden olduğu anlamına gelmez. Çoğu durumda, verileriniz uygulamayla ilişkili üçüncü taraflara aktarılır.

Kendi çıkarları için veri toplayan uygulamalar

En büyük sosyal medya uygulamalarından bahsetmişken, aynı zamanda kendi çıkarları için bilgilerinizi toplama listesinin başında yer alırlar. Bu birkaç nedenden dolayı yapılır, ancak en yaygın olanı size reklam sunmaktır. Diğer durumlarda, toplanan veriler sizin yararınız içindir. Doğum gününüzde bir indirim kuponu almayı düşünün. Uygulama, size bir kod göndermek için bu bilgileri sakladı ve bir satın alma işlemi yapmanızı umarak size bu kodu gönderir.

En fazla veri toplayan uygulamalar

Çalışmadan elde edilen tüm verileri hesaba katarsak, muhtemelen en büyük suçluların kim olduğunu bulmaya heveslisiniz. Peki, listede yer alan ilk 10'un %40'ının sosyal medya uygulaması olması sizi şaşırtır mı?

• Instagram (izlenen kişisel verilerin% 62'si)
• Facebook (izlenen kişisel verilerin% 55'i)
• Uber Eats (izlenen kişisel verilerin% 50'si)
• Trainline (izlenen kişisel verilerin% 43'ü)
• eBay (izlenen kişisel verilerin% 40'ı)
• LinkedIn (kişisel verilerin% 40'ı izleniyor)
• Twitter (kişisel verilerin% 40'ı izlendi)
• YouTube (kişisel verilerin% 36'sı izlendi)
• YouTube Müzik (kişisel verilerin% 36'sı izlendi)
• Grubhub (izlenen kişisel verilerin% 36'sı)

En güvenli uygulamalar

Tüm uygulamaların belli ölçüde veri topladıklarını öğrendiğimize göre, son olarak bu verileri en az üçüncü taraf ile paylaşan uygulamaları da listemize eklemeliyiz. Bu listede yer alan Netflix ya da ClubHouse gibi uygulamalar pandemi nedeni ile en fazla kullanılan uygulamalar arasında ilk ona girseler de, şaşırtıcı derecede kullanıcı gizliliğini önemsiyorlar.

• Signal
• Clubhouse
• Netflix
• Microsoft teams
• Google Classroom
• Shazam
• Etsy
• Skype
• Telegram
• Boohoo

Yukarıda yorumlanan verilerin tamamı pCloud tarafından yakın zamanda hazırlanan bir istatistik çalışması sonuçlarına dayanmaktadır.