Il bug, catturato da chi l’ha visto

Il plugin disegna la sezione scelta in un’immagine, direttamente nel browser del visitatore, a partire dal contenuto della pagina e dagli stili applicati. Non è uno screenshot pixel per pixel: un font o un’immagine ospitata su un altro dominio che vieta l’accesso tra origini diverse può mancare. La segnalazione porta sempre l’URL della pagina, il selettore CSS e la posizione della sezione, così ritrovate l’elemento anche se l’immagine è incompleta.

Una cattura riproduce la pagina così come viene visualizzata, campi dei moduli compresi: ciò che un visitatore ha inserito in un campo fa parte dell’immagine. Glitchpin, nella sua versione gratuita, non offre alcun modo di mascherare una parte di una cattura, né automaticamente, né a mano. Il mascheramento automatico delle password, dei numeri di carta e dei codici monouso, i marcatori data-octoscope-private e data-octoscope-ignore, l’opzione «mascherare tutti i campi dei moduli» e l’oscuramento manuale nell’editor di annotazione sono funzioni di Glitchpin Pro. Se le vostre pagine mostrano dati personali, tenetene conto prima di attivare il widget in quel punto.

Per ogni segnalazione: l’URL e il titolo della pagina, il contesto del vostro stesso sito (versione di WordPress, ambiente, tema, versione di PHP), e quello del browser: nome e versione principale, sistema operativo, tipo di dispositivo, dimensione dello schermo, densità di pixel, orientamento, lingua, fuso orario, posizione di scorrimento, e la pagina di provenienza soltanto quando viene dal vostro sito. Nessuna impronta digitale viene calcolata: né canvas, né elenco dei font, né elenco dei plugin, né rilevamento dell’hardware. L’indirizzo IP non viene mai memorizzato in chiaro: viene conservato soltanto un hash salato, per applicare il limite di frequenza. Un indirizzo e-mail viene memorizzato solo se il visitatore lo ha inserito per essere avvisato della correzione.

Il punto di ingresso è protetto da un token firmato a durata limitata, una trappola per robot, un ritardo minimo prima dell’invio, un limite di 5 segnalazioni per indirizzo IP ogni 10 minuti e una soglia globale di 200 segnalazioni al giorno. Le catture sono limitate in numero, in peso e in risoluzione, e una segnalazione che riguarda un sito diverso dal vostro viene rifiutata. Tutto questo senza imporre un captcha al visitatore.

Sì. Il token anti-spam viene recuperato nel momento in cui il visitatore apre il widget, e non al caricamento della pagina: una pagina servita dalla cache non pone quindi alcun problema.

La cattura è prodotta a partire dal contenuto reale della pagina e dagli stili che le sono applicati: non dipende da alcun tema né da alcun page builder in particolare. Due riserve oneste: non è una cattura pixel per pixel, e un font o un’immagine ospitata su un altro dominio che vieta l’accesso tra origini diverse può mancare all’immagine. In ogni caso, il selettore CSS e la posizione della sezione permettono di ritrovare l’elemento. Il widget del visitatore è scritto in JavaScript e CSS nativi, senza dipendenze da un framework.