Про счётчики посещений знают все, и большинство представляет их себе как строку в журнале: зашёл, посмотрел две страницы, ушёл. Вебвизор устроен иначе — он пишет саму сессию, и владелец сайта потом просматривает её как видеозапись: куда вы вели мышь, где остановились, что набирали в форме и что стёрли, не отправив.
Этот текст объясняет, что именно попадает в такую запись, и заодно раскрывает собственную настройку: вебвизор стоит на нашей размещённой версии. Мы считаем, что об этом надо говорить самим, а не ждать, пока читатель откроет панель разработчика.
#Короткий ответ
Вебвизор — это дополнительный режим счётчика Яндекс.Метрики, который фиксирует поведение на странице и позволяет воспроизвести его. Записывается взаимодействие с интерфейсом, а не содержимое вашего компьютера: другие вкладки, файлы и приложения счётчику недоступны — браузер этого не позволяет.
По российскому праву запись поведения пользователя рассматривается как обработка персональных данных, поэтому согласие должно спрашиваться до загрузки счётчика, а не после.
#Таблица: что пишет и чего не пишет
Смотреть надо на правый столбец: он объясняет границу, и граница эта техническая, а не добровольная.
| Пишет | Не пишет |
|---|---|
| Движения мыши и точки остановки | Что открыто в других вкладках |
| Клики и нажатия по элементам | Файлы на вашем компьютере |
| Прокрутку и время на экране | Трафик других приложений |
| Ввод в поля форм и правки в них | Содержимое страниц других сайтов |
| Адрес страницы и адрес перехода | Данные после закрытия вкладки |
| Разрешение экрана, класс устройства, приблизительную геолокацию по адресу сети | Пароль, если поле помечено как парольное — но это поведение задаёт счётчик, и его требуется проверять в актуальной документации Яндекса |
Вывод из таблицы: вебвизор ограничен одной вкладкой одного сайта, и это ограничение обеспечивает браузер, а не добросовестность владельца счётчика. Внутри этой вкладки, однако, он видит практически всё, включая набранное и стёртое.
#Что это значит на практике
Черновик — тоже данные. Вы начали писать в форму обратной связи, передумали и стёрли — запись сессии это сохранила. Многие впервые узнают об этом свойстве именно в таком примере.
Cookie счётчика склеивают визиты. _ym_uid, _ym_d, _ym_isad, _ym_visorc и связанные технические cookie позволяют узнать вернувшегося посетителя. Это не имя и не адрес, но это устойчивый идентификатор браузера.
Оператором данных на своей стороне выступает Яндекс. Запись хранится в его инфраструктуре и обрабатывается по его политике, а не по политике сайта, на котором стоит счётчик. Владелец сайта решает, включать ли вебвизор; что дальше происходит с данными — регулируется соглашением между ним и Яндексом.
Согласие должно предшествовать загрузке. Проверяется просто: откройте сайт в чистом профиле браузера и посмотрите в панели разработчика, есть ли обращение к домену счётчика до нажатия кнопки в баннере. Если есть — согласие оформлено формально. Полная методика такой проверки — в гайде про телеметрию в ИИ-приложениях.
#Как отказаться
Три уровня, от самого простого к самому надёжному.
- Нажать «Только необходимые» в баннере. Если реализация корректная, счётчик не загрузится вовсе — не «загрузится и не будет писать», а именно не загрузится. Решение хранится в отдельной cookie и действует до её истечения.
- Изменить решение позже. На корректно сделанном сайте есть ссылка «Настройки cookie» в подвале, возвращающая баннер. У нас она ведёт на страницу Cookie и аналитика, где решение видно и переключается.
- Заблокировать домен счётчика на своей стороне — расширением браузера, файлом
hostsили правилом на маршрутизаторе. Работает независимо от того, насколько добросовестно сделан сайт, и это единственный способ, который не требует доверия.
Отдельный, четвёртый способ существует только для продуктов, которые можно развернуть у себя: в самостоятельной сборке счётчика обычно нет вовсе, потому что он подключается отдельным шаблоном.
#Что здесь честно про нашу размещённую версию
Прямым текстом, чтобы это не пришлось искать.
На persona.getdoday.ru стоит Яндекс.Метрика, счётчик 111901324, с включёнными вебвизором, картой кликов и отслеживанием ссылок. Это факт, и он же записан в нашей политике конфиденциальности.
Загружается он только после нажатия «Принять». До согласия в разметке страницы нет ни адреса счётчика, ни резервного пикселя для браузеров без JavaScript — то есть обращения к серверам Яндекса не происходит вообще. Резервный пиксель раньше срабатывал безусловно; сейчас он живёт внутри той же проверки согласия.
Стоит он на публичных страницах — лендинг, блог, тарифы, правовые документы. В личном кабинете счётчик получает только владелец экземпляра. Зарегистрированному участнику Метрика в кабинете не отдаётся ни при каком согласии: на экране кабинета переписка и память, и писать это вебвизором мы не будем.
При развёртывании у себя счётчика нет. Это один подключаемый шаблон, которого в вашей сборке не будет. Как поднять свою копию — в гайде про собственный сервис на своём железе.
Отказ ничего не ломает. Весь сайт и весь продукт работают одинаково при любом решении.
И ещё одно, раз речь о проверяемости: репозиторий Persona закрыт, публичной лицензии нет, поэтому убедиться в написанном выше чтением кода вы не сможете — только внешней проверкой в панели разработчика. Почему мы вообще не используем аргумент про открытость — в отдельном разборе того, почему мы не приводим этот аргумент. Этот и другие пункты, где мы объективно проигрываем, собраны в разборе где Persona уступает.
#Где интуиция подводит
«Вебвизор видит мой экран». Нет: он видит одну вкладку одного сайта. Ограничение обеспечивает браузер, и обойти его счётчик не может.
«Я не заполнял форму, значит записи нет». Запись ведётся с момента загрузки страницы: движение мыши и прокрутка фиксируются без всякого заполнения.
«Отказ от cookie отключает счётчик автоматически». Только если реализация это предусматривает. Бывает и так, что скрипт грузится всегда, а согласие переключает флаг внутри него — обращение к чужому серверу с вашим IP при этом уже состоялось.
«Аналитика — это всегда плохо». Наличие счётчика само по себе ничего не говорит. Значение имеют три вещи: названа ли аналитика в документах, спрашивают ли согласие до загрузки и работает ли отказ. Продукт, который честно говорит про вебвизор, честнее продукта, который молчит про свой счётчик.
#Частые вопросы
#Можно ли по записи вебвизора узнать, кто я?
Сама по себе запись содержит поведение, а не имя. Но если вы вошли в аккаунт или заполнили форму, идентифицирующие данные попадают в запись вместе со всем остальным. Плюс cookie счётчика связывают ваши визиты между собой — это устойчивый идентификатор браузера, даже без имени.
#Записывается ли вебвизором содержимое моей переписки с ассистентом?
На нашей размещённой версии — нет: в личном кабинете счётчик получает только владелец экземпляра, участнику он не отдаётся ни при каком согласии. На публичных страницах переписки нет по определению. Если вы владелец собственного экземпляра, счётчика в вашей сборке нет вовсе.
#Что произойдёт, если я нажму «Только необходимые»?
Счётчик не загрузится, cookie аналитики не появятся, ваше решение сохранится в отдельной cookie на срок её жизни. Сайт продолжит работать полностью — отказ ни на что не влияет функционально. Позже решение можно поменять через ссылку в подвале.
#Долго ли хранится запись сессии?
Срок хранения определяет Яндекс как оператор данных на своей стороне, и он требует проверки в актуальной документации счётчика: владелец сайта на это не влияет. Это одна из причин, по которым отказ надёжнее настройки.
#Чем собственный счётчик сайта лучше внешнего?
Тем, что данные не уходят третьей стороне. Наш собственный счётчик посещений работает на том же сервере, не ставит сторонних cookie, не пишет IP-адрес ни в каком виде и не ведёт записи сессий. Это не замена внешней аналитике по возможностям, но по объёму передаваемого наружу — принципиально другой инструмент.
#Есть ли способ пользоваться продуктом вообще без аналитики?
Да, и он один: развернуть свою копию. Тогда внешнего счётчика нет, а вопрос согласия не возникает. Что при этом придётся взять на себя — в разборе честных рисков самостоятельного хостинга; общая рамка того, как приватность следует из архитектуры, — в статье про приватный ИИ и локальное хранение.
#Вывод
Если вы читаете это на нашем сайте и не нажимали «Принять» — счётчика на этой странице нет, и его отсутствие проверяется в панели разработчика за десять секунд. Если нажимали и передумали — ссылка в подвале возвращает выбор. А если вам вообще не нужен посредник в вопросе аналитики, единственный полный ответ — своя копия на своём железе: там нет ни счётчика, ни необходимости верить нам на слово.