Google Analytics-フォームデータを収集できますか？

Question

単純なシナリオ： サインアップフォームがあり、ユーザー名、パスワード、メールアドレス、クレジットカード番号を入力できます。

ページの下部に、Google Analyticsコードを実装します。
ユーザーが[送信]をクリックすると、Googleアナリティクスのないページに移動します。

質問は.. ユーザーがデータを入力した後、GAは最初の形式でデータ（ユーザーnaem、password..email..etc）を取得できますか？

彼らはTOSまたはプライバシーポリシーでそれについて何か言っていますか？

Answer 1

はい。ページに含める<script>には、完全なアクセスがあり、同一生成元ポリシーにより、ユーザーのサイトとの対話を変更できます。 Googleが今日悪を感じているなら、あなたのactionの<form>を確実に書き換えて自分自身を指すか、すべてのキー入力を記録するか、サイト上の別のページを含む<iframe>を作成し、ユーザーがクリックすることをシミュレートすることができますそのページのアクション。

サイト上のすべてのセキュリティを完全に信頼していない関係者のwindow.domain 任意のページを含めないでください。いずれかのページで1つのトラッキングスクリプトまたは広告主スクリプトでさえ、同じホスト名（および<=>を設定してクロスホスト名スクリプトを許可する場合、またはホスト名間でCookieを共有する場合は他のサブドメイン）のすべてを侵害します。

ただし、Analyticsスクリプトは現在これらのことを しておらず、フォーム送信は当然のことながらGoogleに送信されません。データを盗むために故意に行動する必要があります。明らかに、彼らがそれを行うことを発見することは悲惨なことなので、おそらく彼らはそうしないでしょう。しかし技術的には、彼らはできました。銀行サイトでサードパーティの広告とトラッキングスクリプトを見るのはいつも苦痛です。

Answer 2

更新：以下の最初の回答が書かれてから、長年にわたって状況は大きく変わりました。現在、スクリプトは一般的にHTTPS経由で提供されています（または、少なくとも取得するオプションがあります）。そのため、これらのスクリプトは、ささいな中間者攻撃に対して安全でなければなりません。ただし、スクリプトソースはページ内で悪意のある操作を行わないことを信頼しています。なぜなら、Webページで何が起こるかを完全に制御できるからです。

---

元の答え：

はい。 SSLで保護された機密ページにサードパーティのスクリプトを配置しないことをお勧めします。 Googleがページ上の機密データをハイジャックする可能性は低いですが、悪意のあるISPがGoogleアナリティクススクリプトへのリクエストを（たとえばDNSを使用して）ハイジャックし、ページ上で必要なことを行う可能性を考慮する必要があります。