Безопасность и данные
Что делает сайт
- Владелец приложения (данного сайта) не получает доступ к вашему токену, вашим файлам и сведениям о них. Приложение работает целиком на клиенте (в вашем браузере). Авторизация в Яндекс и запрос доступов нужны исключительно для работы приложения. Единственное, что видит владелец, — обезличенная статистика использования сайта (см. «Статистика посещений»).
- При работе с Яндекс.Диском, при авторизации Яндекс ID выдаёт токен доступа к Диску. Сайт хранит его в sessionStorage этой вкладки: закрыли вкладку — токен забыт. Сразу после входа токен убирается из адреса, чтобы не остаться в истории и закладках.
- Токен отправляется только в API Диска (cloud-api.yandex.net) и в сервис профиля Яндекса (login.yandex.ru).
- Права — минимальные: чтение Диска для поиска; запись — только если её отметить, и только для перемещения дубликатов в Корзину. Безвозвратно сайт ничего не удаляет.
- Политика безопасности страницы (CSP) запрещает загружать чужие скрипты и отправлять данные куда-либо, кроме Яндекса.
Статистика посещений
- Сайт использует Яндекс.Метрику, в том числе Вебвизор: так видно, где пользователи путаются в интерфейсе — как проходит подключение, чем заканчивается поиск, как работает сравнение и удаление.
- Ни мы, ни Метрика не получаем ваши личные и персональные данные: названия файлов и папок, пути, сами изображения, их метаданные (размер, разрешение, даты, хэши), а также имя, логин и аватар вашего аккаунта Яндекса. Эти элементы страницы помечены как скрытые от записи, и в Вебвизоре на их месте остаются пустые блоки.
- Метрике доступны только действия на странице (клики, прокрутка, смена этапов) и обезличенные числа, которые показывает сам интерфейс: сколько файлов просмотрено и сколько найдено групп дубликатов.
Чего сайт сделать не может
- «Выйти» забывает токен в браузере, но не отзывает его у Яндекса: отозвать токен может только сервер приложения, а его нет. Срок жизни токена задаёт Яндекс, и он намного дольше жизни вкладки.
- Расширения браузера с доступом ко всем сайтам видят всё на странице, в том числе токен. Защиты от них у сайта нет.
Что можете сделать только вы
- Входите только на этом сайте и только со страницы oauth.yandex.ru. Проверяйте адрес в строке браузера.
- При выдаче доступов выберите только "чтение" - если приложение необходимо только для поиска дубликатов. Выдайте право "запись", если хотите использовать функционал удаления дубликата.
- При работе на чужом или общем компьютере по окончании работы нажмите «Выйти» и закройте вкладку. А еще лучше после этого ещё и отзовите доступ (п. 5).
- Не держите на этом браузере непроверенные браузерные расширения с доступом ко всем сайтам. Не вставляйте в консоль разработчика код, который вам прислали: так крадут токены.
- Подозреваете утечку или больше не пользуетесь сайтом — отзовите доступ в Яндекс ID → Безопасность, в списке приложений с доступом к аккаунту. Отзыв обнуляет токен везде.
- Обновляйте браузер: дыры в нём сайт закрыть не может.