Cloudflare âm thầm chèn mã analytics khi bạn đổi DNS

Đổi DNS sang Cloudflare có thể đi kèm một bất ngờ không mong muốn: một script theo dõi tự động bị chèn vào trang web.

Một lập trình viên trên Hacker News phát hiện Cloudflare âm thầm chèn một đoạn JavaScript analytics vào trang web textlog.cc của anh sau khi trỏ nameserver. Chủ web chỉ chuyển DNS để trỏ một subdomain về Cloudflare R2 storage, cứ nghĩ trang web thuần HTML của mình sẽ hoàn toàn sạch script. Nhưng không, anh phải mò vào dashboard Cloudflare Analytics, đăng ký domain đó rồi mới tắt đoạn script kia bằng tay được.

Tại sao phải quan tâm: Cài đặt mặc định định hình cách web vận hành. Khi một nhà cung cấp DNS tự ý sửa source code trang web mà không hỏi ý kiến, họ đã biến một thao tác hạ tầng đơn giản thành một quy trình ép người dùng tự tìm cách tắt (opt-out) rất phiền phức.

Nếu gần đây bạn có trỏ nameserver sang Cloudflare, thử soi lại HTML gốc của trang web xem. Để tắt đoạn script này, bạn cần vào phần cài đặt trong dashboard Cloudflare Analytics, xác nhận domain rồi gạt nút tắt mã theo dõi.

Trang web "zero-JavaScript" của bạn chưa chắc đã thực sự zero-JavaScript đâu — trừ khi bạn mò vào sâu trong menu cài đặt để tắt nó đi.