Log del server e privacyIl Suo host ha smesso di registrare i log. Il Suo server no.

Ora è Lei la parte a cui qualcuno scrive

Un lettore che vuole sapere chi ha visitato il Suo sito non comincia dal Suo host. Comincia da Lei, perché Lei è l'unica parte della catena con un interesse diretto a conservare il registro, un indirizzo legale a cui si può scrivere, e nessun rapporto di trasparenza da pubblicare in seguito.

È una frase scomoda da scrivere per una società di hosting, quindi ecco l'aritmetica che c'è dietro. L'inventario pubblicato qui dice che i log di accesso HTTP vengono distrutti con un timer di ventiquattro ore e che da quel momento non esiste più alcuno storico degli indirizzi. Un server web standard su una macchina noleggiata da noi conserva il proprio log di accesso per circa due settimane, in un backup notturno per un anno, e nessuno ha impostato questi due numeri di proposito. La scelta accurata dell'host viene vanificata da un'impostazione predefinita che nessuno ha letto.

Cosa contiene davvero una riga di un log di accesso

Il formato predefinito dei due server web più diffusi è stabile da venticinque anni e quasi nessuno lo legge come il registro di una persona. Vale la pena leggerlo così almeno una volta, perché ogni campo qui sotto è una divulgazione a sé, e si sommano tra loro.

Sette campi, una riga, scritta per ogni richiesta effettuata da un browser — il che per una singola visualizzazione di pagina corrisponde di solito a un numero compreso fra venti e ottanta righe. Niente di tutto ciò è stata una decisione. Tutto ciò è un registro.

Nove punti in cui il Suo stack scrive un visitatore

Quasi ogni discussione sui log riguarda la prima riga. È quella di cui tutti sanno l'esistenza, e non è affatto la cosa più rivelatrice presente sulla macchina.

L'ultima riga è quella che vanifica la maggior parte delle buone intenzioni. Ridurre la rotazione di un log da quattordici giorni a uno cambia ciò che si trova sul disco e non cambia assolutamente nulla riguardo alla copia che è stata fatta alle tre del mattino e che verrà conservata per un anno. Cancellare un registro che Lei ha già replicato è un cambiamento di posizione, non una cancellazione.

I due campi che rivelano più dell'indirizzo

L'indirizzo è il campo su cui discutono tutti ed è quello con la vita utile più breve: cambia, viene condiviso, e su una rete mobile appartiene a un operatore piuttosto che a una persona. I due campi accanto ad esso sono, silenziosamente, peggiori.

L'indirizzo di provenienza descrive il lettore, non la richiesta

Risponde a una domanda che Lei non ha mai posto: dove si trovava questa persona un secondo fa. Può trattarsi del link a un documento privato che le è stato inoltrato, di un sistema interno di ticketing, dell'anteprima di un client di posta, o di una pagina di un sito che non vorrebbe veder associata al Suo. I browser ora troncano il percorso quando la destinazione è un'origine diversa, il che aiuta — ma non serve a nulla per i link interni al Suo stesso sito, dove il percorso completo viene ancora inviato e ancora registrato.

Lo user agent è il seme di un fingerprint

Da solo è una folla. Combinato con un indirizzo, un'intestazione della lingua, un ordine delle richieste e un insieme di formati accettati, è spesso un singolo visitatore nell'arco di settimane — senza un cookie, senza consenso, e senza che nessuno abbia deciso di tracciare alcunché. È questo il meccanismo che rende “conserviamo solo i log del server” una frase più debole di quanto creda chi la pronuncia.

I segreti finiscono nel log perché erano nell'URL

Questo è l'errore per cui vale la pena leggere questa pagina, perché è comune, è silenzioso ed è interamente sotto il Suo controllo. Tutto ciò che segue il punto interrogativo fa parte della riga di richiesta, ed è la riga di richiesta a essere scritta.

• I link di reimpostazione della password. Un token monouso in una query string viene registrato in chiaro nel log di accesso, nel backup del log di accesso, e presso ogni proxy tra il lettore e Lei.
• I link di invito e di disiscrizione. La stessa struttura, con una vita più lunga, e in genere senza scadenza alcuna.
• Gli identificatori di sessione passati nell'URL. Rari nel codice nuovo, ancora presenti in quello vecchio, e una completa presa di controllo dell'account per chiunque sia in possesso del file.
• Le chiavi API consegnate a un browser. Una chiave in una query string è una chiave in un log, una chiave in un referrer inviato a terzi, e una chiave nella cronologia del lettore.
• Il campo di ricerca. Una ricerca interna al sito che utilizza il metodo GET scrive ogni query mai digitata da chiunque nel Suo sito accanto all'indirizzo che l'ha digitata.

La soluzione non è un'impostazione di logging. Sposti il valore in un'intestazione o nel corpo della richiesta, dove nessun formato predefinito lo registra, e ruoti tutto ciò che è già stato scritto. Un filtro che rimuove i token dai log è una seconda cosa da mantenere, e sarà sbagliato la prima volta che qualcuno aggiunge un parametro.

Cosa può esserLe richiesto, e da chi

Le altre guide di questo sito riguardano gli strumenti legali che arrivano a una società di hosting in una giurisdizione scelta apposta. Lo strumento che raggiunge i Suoi log è più semplice: viene notificato a Lei, dove si trova Lei, e la posizione della macchina non fa parte della questione.

• Una diffida civile nel Suo stesso paese. Chi fa causa per un commento, una fuga di dati o un acquisto chiede al gestore del sito ciò che il gestore possiede. Il gestore è Lei, e due settimane di log di accesso sono una cosa facile da farsi ordinare di produrre.
• Una richiesta da parte di un lettore. In base al diritto europeo in materia di protezione dei dati, una persona può chiedere cosa Lei conservi su di lei, e un indirizzo è idoneo a costituire un dato personale: la Corte di giustizia lo ha stabilito nel 2016 in Case C-582/14, dove un indirizzo dinamico detenuto da un gestore di siti web era un dato personale perché esisteva una via legale per risalire all'abbonato. Anche la conservazione deve essere giustificata — Article 5(1)(e) prevede che non debba protrarsi oltre il necessario, e “il pacchetto era configurato così di default” non è una finalità.
• Chiunque comprometta la macchina. Il lettore più probabile del Suo log di accesso non è affatto un tribunale. I log sono raramente cifrati, raramente monitorati e quasi mai inclusi in un modello delle minacce, e si trovano in un percorso prevedibile su ogni server costruito nel modo consueto.
• Chiunque sia raggiunto dai Suoi backup. Una copia fuori sede è una copia presso un'altra azienda, sotto un'altra giurisdizione, soggetta a strumenti legali che Lei non ha letto.

Niente di tutto questo è una consulenza legale, e questo parco non è il Suo avvocato. È la stessa logica dell'inventario applicata al Suo lato del filo: ciò che non può produrre non può esserLe richiesto, e tutto il resto è una questione di quale tribunale lo stia chiedendo. Come ciò si traduce sul lato hosting è illustrato in cosa succede davvero quando la polizia lo chiede a un host.

Conservare di meno senza restare alla cieca

L'istinto, dopo aver letto fin qui, è di disattivare del tutto i log, ed è la mossa sbagliata: un server senza log non può essere sottoposto a debug, non può essere sottoposto a un rate limiting sensato e non può dirLe che in questo momento sta subendo un'intrusione. L'obiettivo non è zero. È conservare la parte che risponde a una domanda operativa e scartare la parte che risponde solo a una domanda su una persona.

Due di queste sei modifiche non costano assolutamente nulla e annullano gran parte dell'esposizione descritta in questa pagina. L'ultima è quella a cui nessuno pensa, ed è il motivo per cui le altre cinque non bastano.

Le terze parti che registrano i Suoi lettori al Suo posto

Tutto quanto sopra riguarda file su una macchina che Lei controlla. Un browser che carica la Sua pagina apre anche una connessione verso ogni altra origine menzionata dalla pagina, e ciascuna di esse riceve l'indirizzo, lo user agent e un referrer che indica quale delle Sue pagine si stava leggendo — prima ancora che sia stato dato un riscontro al banner del consenso, perché la richiesta è già partita.

• Un font servito da qualcun altro. Una riga in un foglio di stile, e ogni lettore di ogni pagina viene rivelato a terzi per un file che Lei potrebbe ospitare nella stessa directory di tutto il resto del sito.
• Un video o una mappa incorporati. Caricati a vista, su ogni pagina in cui compaiono, che qualcuno prema play oppure no.
• Un widget di chat o un tag manager. Presenti su ogni pagina per progettazione, e capaci di caricare ulteriore codice che Lei non ha verificato.
• Un tracker degli errori. Il più utile di tutti e il più rivelatore: esiste per inviarLe lo stato della sessione di qualcun altro.
• Una CDN davanti all'intero sito. Non è un argomento contro di essa — è un compromesso ragionevole — ma è un'azienda che vede ogni richiesta prima di Lei, conserva i propri log, e risponde alla propria giurisdizione.

Ospitare autonomamente i primi tre è di solito il lavoro di un pomeriggio, e rimuove più osservazione da parte di terzi di qualsiasi impostazione sul Suo stesso server. È anche la parte di questa pagina che migliora ciò che ricevono i Suoi lettori, e non soltanto ciò che Le si può ordinare di produrre, ed è per questo che va fatta per prima. L'elenco equivalente, rivolto alla Sua esposizione anziché a quella dei Suoi lettori, si trova in le nove cose che identificano un sito.

Cosa può fare questo parco al riguardo, e cosa non può fare

Tracciare il confine con onestà vale più di una rassicurazione, quindi eccolo da questo lato.

• I nostri log di accesso HTTP vengono distrutti con un timer di ventiquattro ore, e non esiste alcuno storico degli indirizzi, alcun registro delle posizioni di accesso, né alcun fingerprint che sopravviva a quel timer. L'elenco completo di ciò che invece sopravvive è pubblicato come inventario, e conta sette voci.
• Ciò che arriva per via legale viene conteggiato nel rapporto di trasparenza, e ciò che un ordine valido produce realmente è messo per iscritto in anticipo, anziché deciso al momento.
• Su un VPS o un server dedicato, i log descritti in questa pagina si trovano all'interno del Suo sistema operativo. Noi non li leggiamo, non li spediamo da nessuna parte, e non possiamo nemmeno configurarli al Suo posto — la single tenancy ha vantaggi e svantaggi insieme, ed è proprio questo il punto.
• Ciò che possiamo garantire è lo strato sottostante: nessun dato identificativo in fase di registrazione, pagamenti esclusivamente on-chain, e una macchina in una giurisdizione scelta da Lei anziché quella in cui risiede l'emittente della Sua carta.

Ed ecco la frase per cui questa pagina esiste: scegliere un host in base a ciò che rifiuta di conservare, per poi conservarne Lei stesso due settimane, è una decisione sulla privacy annullata da un file di configurazione. Le due metà non sono comparabili in termini di impegno. Una ha richiesto una settimana di letture, l'altra richiede un pomeriggio, e solo una delle due è portata a termine.

Una verifica di un'ora dei Suoi log

Nessuno dei passaggi seguenti richiede uno strumento da acquistare, e ognuno Le dice qualcosa che il precedente non diceva.

1. Stampare una singola riga del Suo log di accesso e leggerla come farebbe un estraneo, campo per campo, ad alta voce.
2. Elencare ogni file nella Sua directory dei log, quindi contrassegnare quelli che ha aperto nell'ultimo anno. Quelli non contrassegnati sono puro rischio.
3. Leggere la configurazione della rotazione e annotare il numero di giorni che conserva realmente, anziché il numero che ricorda di aver approvato.
4. Ripristinare il backup del mese scorso in una directory temporanea e cercare il log che Lei crede sia stato cancellato due settimane fa.
5. Cercare nel Suo log di accesso le parole token, reset, key, session e password. Qualunque cosa trovi è un segreto che è già stato scritto su disco e che va rigenerato, non semplicemente corretto.
6. Caricare la Sua home page con il pannello di rete del browser aperto, e annotare ogni dominio contattato che non è il Suo. Ciascuno è un'azienda che detiene i Suoi lettori secondo la propria politica di conservazione.
7. Verificare quale intestazione trasporta l'indirizzo reale dietro il Suo proxy o la Sua CDN, e confermare se l'origine lo registra. Una CDN non impedisce all'origine di registrare i log; sposta soltanto il campo.
8. Aprire l'evento più recente nel Suo tracker degli errori e contare quanti dettagli di un lettore reale compaiono nel payload.
9. Decidere di proposito tre periodi di conservazione — sicurezza, analisi, backup — e annotarli dove la prossima persona che toccherà il server potrà trovarli.
10. Scrivere l'inventario: cosa esiste, dove, per quanto tempo, e cosa produrrebbe se domani mattina arrivasse un ordine valido. Se questo documento è scomodo da scrivere, è l'ora più utile di questo elenco.

Le domande che vengono realmente poste

Ogni prezzo di questa struttura è pubblicato per intero, in un unico posto. Consulti l'intero catalogo