C’è un momento preciso in cui ti rendi conto che non sei tu a gestire la tua infrastruttura, ma è l’infrastruttura che gestisce te. È quel secondo di puro shock quando apri il sorgente del tuo sito — magari un bel progetto minimalista, ultra-leggero, senza una riga di JavaScript per non disturbare nessuno — e trovi magicamente del codice che non hai mai scritto tu.
Recentemente, un utente su Hacker News ha scoperto che Cloudflare, nel momento esatto in cui ha spostato i suoi nameserver verso il loro servizio (probabilmente per sfruttare le comodità degli R2 bucket), ha deciso di fare il bullo. Senza chiedere il permesso, senza un popup di ‘accetto i termini’, ha iniettato silenziosamente uno snippet di analytics nel suo HTML. Il tutto in un sito che, per inciso, era nato proprio per essere privo di script e super pulito.
La cosa surreale? Per rimuovere questo ‘regalino’, l’utente non doveva semplicemente disattivare un flag, ma doveva prima aggiungere il sito alla dashboard di Analytics e *solo dopo* procedere alla disattivazione. Un loop degno di una missione impossibile di Mission Impossible, ma con molta meno classe e molta più cattiveria.
Non stiamo parlando di una questione che scuote le fondamenta del GDPR europeo o che cambierà la vita dei sysadmin in Italia — le leggi sulla privacy qui da noi sono già un labirinto sufficiente di per sé — ma il principio è quello che fa venire il mal di testa a chiunque abbia un briciolo di rispetto per l’integrità del proprio stack. Il concetto di ‘opt-out’ invece di ‘opt-in’ è la firma digitale di chi vuole espandere il proprio ecosistema di dati a ogni costo, ignorando la volontà di chi sta solo cercando di far girare un servizio senza troppi fronzoli.
È la classica deriva da ‘Platform as a Service’ che si trasforma in ‘Platform as a Spyware’. È comodo, certo. È scalabile, indubbiamente. Ma quando la comodità del cloud inizia a riscrivere il tuo codice sorgente a tua insaputa, il confine tra ‘servizio essenziale’ e ‘ospite molesto’ diventa pericolosamente sottile. Se state configurando i vostri DNS, un consiglio: fate un controllo al sorgente. Non lasciate che il vostro sito inizi a parlare lingue che non avete insegnato voi.
Source: Tell HN: Cloudflare silently injects its analytics when you switch nameservers