[{"data":1,"prerenderedAt":173},["ShallowReactive",2],{"publication:he:P196":3},{"meta":4,"copy":16,"relatedArticles":142,"terms":165,"term":166,"resourceParent":167,"glossaryParent":170},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":9,"description":10,"incoming":11,"updated":14,"preparedOn":15},"P196","\u002Fblog\u002Fthird-party-script-data-flow","article","אילו נתונים רואים סקריפטים באתר","אילו נתונים רואים סקריפטים באתר ואיך בודקים גבולות","מפת גישה לסקריפטים חיצוניים: DOM, טפסים, Tag Manager ויעדי מידע. הבחנה בין data layer לבידוד, בדיקת טעינה ותעבורה וגבולות CSP ו-SRI.",[12,13],"\u002Fservices\u002Fsecurity-audit","\u002Fservices\u002Fweb-resilience-audit","2026-06-08","2026-10-30",{"intro":17,"sections":18,"checklist":99,"faq":105,"sources":115,"links":120,"cta":137},"סקריפט צד שלישי שפועל בתוך עמוד יכול לקבל גישה למידע שהקשר ההרצה מאפשר, כולל חלק מתוכן העמוד ושדות טופס. ההיקף תלוי באופן הטעינה ובבקרות, ולכן בודקים מה נטען ומה נשלח בפועל. הצהרה שספק אוסף רק מדידה אינה לבדה מנגנון שמבודד את הקוד משאר העמוד.",[19,28,63,70,82,91],{"title":20,"paragraphs":21,"sources":24},"מפו קוד נטען ותנאים ולא רק שמות ספקים",[22,23],"רשמו מאין נטען כל סקריפט, באילו עמודים ומתי: כניסה, פעולה או תנאי נוסף. כללו קוד שמגיע דרך תוסף, כלי תגיות וצאט ולא רק תגיות שקיימות בתבנית. אותו ספק יכול להפעיל כמה רכיבים, ורכיב אחד יכול לטעון קוד נוסף. בדיקת עמוד הבית בלבד לא מכסה בהכרח טופס או קופה.","OWASP מתארת דרכי טעינה ישירות ועקיפות של JavaScript ואת הסיכון שבהרחבת גבול האמון. הרשימה צריכה לכלול מי מוסמך לפרסם שינוי ולמה הוא נחוץ. שינוי בכלי תגיות יכול להשפיע על מבקרים גם בלי פריסת קוד חדשה של האתר.",[25],{"label":26,"url":27},"OWASP: ניהול JavaScript של צד שלישי","https:\u002F\u002Fcheatsheetseries.owasp.org\u002Fcheatsheets\u002FThird_Party_Javascript_Management_Cheat_Sheet.html",{"title":29,"paragraphs":30,"table":32},"הקשר הרצה קובע יותר משם הקובץ",[31],"הטבלה היא מסגרת עבודה מקורית. היא אינה טוענת שכל ספק קורא כל שדה, אלא ממפה מה צריך לאמת. יכולת טכנית אפשרית, התנהגות שנצפתה והסכמה חוזית הן שלוש שאלות שונות; אף אחת אינה מחליפה את האחרות.",{"caption":33,"headers":34,"rows":38},"אופן שילוב וגבולות שצריך לבדוק",[35,36,37],"שילוב","שאלת גישה","מה מאמתים",[39,43,47,51,55,59],[40,41,42],"סקריפט בעמוד הראשי","אילו נתוני DOM זמינים בהקשר","קוד, תעבורה ותנאי הפעלה",[44,45,46],"Tag Manager","מי יכול להוסיף קוד ויעדים","הרשאות פרסום והיסטוריית שינוי",[48,49,50],"data layer","אילו ערכים נועדו להיאסף","שהוא אינו מוצג כבידוד קוד",[52,53,54],"iframe נפרד","איזו הפרדה ותקשורת הוגדרו","מקור, sandbox והודעות לפי הצורך",[56,57,58],"שילוב שרת","איזה מידע יוצא מהשרת","סכמה, יעדים והרשאות",[60,61,62],"קופה או טופס","מה משתנה בזמן הקלדה ושליחה","בדיקת ניסיון ללא מידע לקוחות",{"title":64,"paragraphs":65,"sources":68},"data layer הוא ממשק נתונים ולא ארגז חול",[66,67],"אפשר להגדיר בו מידע מצומצם שהעסק רוצה להעביר למדידה, אך קוד שרץ בעמוד אינו בהכרח מוגבל לקריאתו בלבד. OWASP מדגישה ש-data layer אינו sandbox. צריך לבחון גם הרשאות כלי תגיות, קוד מותאם ואופן הטעינה ולא להסיק מבנה משתנים כמנגנון אכיפה.","גם שילוב שרת אינו הוכחה שאין קוד חיצוני בדפדפן. בודקים מה עדיין נטען בעמוד, ומה יוצא מכל רכיב. אם בוחרים הפרדה כגון iframe, יש לבדוק את התצורה ואת ערוץ התקשורת; שם הטכנולוגיה אינו אישור שכל מידע נחסם.",[69],{"label":26,"url":27},{"title":71,"paragraphs":72,"sources":75},"CSP ו-SRI עוזרים בשאלות שונות",[73,74],"CSP יכולה להגביל מקורות ואופני טעינה בהתאם למדיניות. SRI בודק התאמה של משאב לערך שלמות צפוי. אף אחד מהם אינו הוכחה שקוד שהותר אינו קורא מידע זמין בהקשר שלו. גם משאב שתוכנו תואם לערך שאושר יכול לבצע פעולה שלא מתאימה לצורך העסקי.","למשאב שמשתנה נדרש תהליך תחזוקת גרסה ובדיקת השפעה. אין להעתיק מדיניות שמפסיקה כל חיבור בלי לתכנן בדיקה, ואין להפוך חריגה גורפת לפתרון. בוחנים אכיפה ותפקוד בתנאים מתאימים, עם דרך חזרה למקרה ששינוי חוסם פעולה לגיטימית.",[76,79],{"label":77,"url":78},"MDN: מדיניות CSP וגבולות ההפעלה","https:\u002F\u002Fdeveloper.mozilla.org\u002Fen-US\u002Fdocs\u002FWeb\u002FHTTP\u002FGuides\u002FCSP",{"label":80,"url":81},"MDN: בדיקת שלמות משאבים באמצעות SRI","https:\u002F\u002Fdeveloper.mozilla.org\u002Fen-US\u002Fdocs\u002FWeb\u002FSecurity\u002FDefenses\u002FSubresource_Integrity",{"title":83,"paragraphs":84,"sources":87},"דוגמה: אירוע תודה כלל כתובת דואר בכתובת העמוד",[85,86],"התרחיש להמחשה בלבד. שדה מטופס הועבר ל-URL של עמוד תודה, וכלי מדידה אסף את הכתובת. בקשת העסק הייתה לספור פניות, לא להעביר פרטי קשר. הצוות מתקן את סכמת האירוע ובודק שוב טעינה ותעבורה עם ערכי ניסיון סינתטיים.","Google Analytics מזהירה ממידע מזהה בכתובות, בכותרות ובקלט שנשלח לשירות. זו דוגמה לדרישת מוצר, לא רשימה מלאה של כל חובות הפרטיות. היעדר מידע בפנייה אחת אינו שולל תנאי הפעלה אחר; מציינים אילו עמודים, פעולות ומצבים נבדקו.",[88],{"label":89,"url":90},"Google Analytics: מניעת העברת מידע מזהה","https:\u002F\u002Fsupport.google.com\u002Fanalytics\u002Fanswer\u002F6366371?hl=en",{"title":92,"paragraphs":93,"example":96},"סגרו בדיקה עם היקף, צורך ותוצאה שניתנת לחזרה",[94,95],"המסירה כוללת מקור קוד, בעלים, מידע נחוץ, יעדים והתנהגות שנצפתה בתנאים שנבדקו. לכל חריגה יש החלטה, אחראי וטריגר לבחינה לאחר שינוי ספק או קוד. אל תשלחו HAR מלא או צילום טופס עם מידע לקוח בערוץ פנייה רגיל; ראיות יכולות להכיל אסימונים ונתונים רגישים.","ב-CyberFixCrew אפשר לתאם סקירת אתר ותהליך מידע לפי השירותים הקיימים. הבדיקה אינה אישור שכל תנאי התנהגות של ספק נשלל. מסכמים מה נבדק, מה דורש גורם נוסף ואיך מאמתים צמצום בלי לפגוע בתהליך העסקי.",{"title":97,"text":98},"כרטיס גישה לסקריפט","עמוד ותנאי: __. מקור קוד: __. דרך טעינה: __. מפרסם מורשה: __. מידע נחוץ: __. גישה אפשרית: __. יעד והתנהגות שנצפו: __. בקרות ומגבלות: __. בדיקה חוזרת ואחראי: __.",[100,101,102,103,104],"מופו גם קוד עקיף ועמודים רגישים.","יכולת, התנהגות והתחייבות הופרדו.","data layer אינו משמש כהוכחת בידוד.","מדיניות טעינה נבחנת יחד עם תפקוד.","הבדיקה השתמשה בנתונים סינתטיים ותיעדה מגבלות.",[106,109,112],{"question":107,"answer":108},"ספק יכול לקרוא כל מידע באתר בלי הגבלה?","לא קובעים זאת באופן גורף. בודקים הקשר הרצה, מקור, תצורה ובקרות. קוד בעמוד הראשי שונה מרכיב מבודד כראוי, ומידע שאינו זמין בדפדפן אינו הופך לזמין רק בגלל סקריפט. גם יכולת אפשרית אינה הוכחה שאיסוף אכן בוצע.",{"question":110,"answer":111},"data layer מצומצם מבטיח שסקריפט לא יקרא שדות אחרים?","לא בפני עצמו. הוא מגדיר ממשק מידע מתוכנן, אך אינו מגביל אוטומטית את סמכות הקוד בעמוד. צריך לבחון טעינה, גישה ופרסום שינויים, ובמידת הצורך בקרות בידוד ותכנון אחר.",{"question":113,"answer":114},"אם SRI תקין אפשר לסיים את בדיקת הספק?","SRI עונה על שאלת התאמת תוכן המשאב לערך צפוי, לא על כל התנהגות ומידע. צריך לבדוק גם מקור, צורך, תנאי הפעלה ויעדים. שינוי בגרסה או באופן הטעינה מחייב בחינת ההנחות והתפקוד מחדש.",[116,117,118,119],{"label":26,"url":27},{"label":77,"url":78},{"label":80,"url":81},{"label":89,"url":90},[121,124,127,130,133,135],{"path":122,"label":123},"\u002Fblog\u002Fcontact-form-data-security","מסלול מידע מטופס יצירת קשר",{"path":125,"label":126},"\u002Fglossary\u002Fcsp","תפקיד מדיניות CSP",{"path":128,"label":129},"\u002Fblog\u002Fbusiness-data-map","מיפוי מידע ונמענים",{"path":131,"label":132},"\u002Fblog\u002Fwordpress-supply-chain-risk","אמון בקוד ובעדכונים",{"path":12,"label":134},"סקירת אבטחת אתר",{"path":13,"label":136},"בדיקת תהליך ותלות חיצונית",{"title":138,"description":139,"button":140,"type":141},"לא ברור איזה קוד נטען ולאן הוא מעביר מידע?","נמפה רכיבים, תנאי טעינה ויעדים ונגדיר בדיקה ותוכנית צמצום לפי היקף מוסכם.","לתיאום בדיקה ותוכנית טיפול","check",[143,151,158],{"id":144,"path":145,"title":146,"description":147,"category":148,"artwork":148,"order":149,"publishedOn":150},"P119","\u002Fblog\u002Fapi-security-business-checklist","רשימת בדיקה לאבטחת API עסקי: מה לבקש ומה לאמת","בדיקת אבטחת API לעסק: זהות, הרשאות לרשומה ולפעולה, מכסות, סודות, webhooks ורישום. שאלות לספק וטבלת קבלה עם משתמשי בדיקה ונתונים מלאכותיים.","integrations",69,"2026-05-23",{"id":152,"path":153,"title":154,"description":155,"category":148,"artwork":148,"order":156,"publishedOn":157},"P080","\u002Fblog\u002Fwebhook-security","איך מאבטחים webhook ומונעים טיפול כפול באירועים","אבטחת webhook באתר עסקי: אימות לפי הספק, חתימה, מסירות חוזרות, הרשאות וטיפול כפול. כולל טבלת בדיקות ותרחיש CRM להמחשה.",86,"2026-06-24",{"id":159,"path":160,"title":161,"description":162,"category":148,"artwork":148,"order":163,"publishedOn":164},"P079","\u002Fblog\u002Fapi-keys-secrets","איפה שומרים מפתחות API באתר ואיך מחליפים סוד שנחשף","מדריך לניהול מפתחות API באתר עסקי: הפרדת צד שרת ודפדפן, הרשאות, סביבת בדיקה, החלפה ובירור חשיפה בלי לשלוח סודות לתמיכה.",93,"2026-07-10",[],null,{"path":168,"label":169},"\u002Fresources","כלים ורשימות בדיקה לאבטחת העסק: משאבים שימושיים",{"path":171,"label":172},"\u002Fglossary","מילון סייבר בעברית: מושגים עם הסברים מעשיים",1794134061926]