Безопасность сайта: 4 канала, через которые уходят лиды (54 знака)

Трафик за квартал вырос на треть. Заявок столько же. Подрядчик по рекламе показывает отчёт, в котором всё в порядке: показы растут, цена клика в норме, отказы на уровне прошлого года.

А человеку, который вчера вечером четыре минуты смотрел ваш прайс и закрыл вкладку, сегодня утром позвонили. Не вы.

Он вам об этом не расскажет, потому что вы для него никто: он не оставлял заявку, вы не знаете его имени. В вашей статистике он строка «сеанс без конверсии». В чьём-то отделе продаж он строка «перезвонить сегодня».

Разберём по порядку, через какие каналы это происходит, и что из них закрывается своими руками за один рабочий день.

Сайт открыт наружу по устройству, а не по недосмотру

Первая мысль руководителя: значит, нас взломали. Почти никогда.

Всё, что видит браузер посетителя, видят и все скрипты, загруженные на той же странице. Всё, что лежит в коде страницы, доступно любой программе, которая эту страницу открыла. Это не дыра, это принцип работы веба.

Разница между вашим клиентом и системой сбора данных только в намерении. Технически они делают одно и то же - открывают адрес и читают ответ.

Дата, которая закрывает надежду переждать: 22 апреля 2025 года. Google официально отказалась отключать сторонние cookies в Chrome - от плана, который переносили с 2020 года, отказались совсем. Механика, на которой держится узнавание посетителя между сайтами, никуда не денется сама. Ждать «отмены куки» больше нечего, и решения нужно принимать при той механике, которая есть.

Зачем это вообще существует

Термин объясняю через мотив, а не через определение.

Реклама стала дорогой, потому что в аукционе за один и тот же клик стоят все игроки ниши сразу. Как только цена заявки перестала сходиться с маржой, появился спрос на другое: не покупать показы человеку, который, возможно, что-то ищет, а получать телефон человека, который прямо сейчас выбирает. Так намерение стало товаром.

Дальше рынок разделился на две половины, и обе законные. Одна определяет посетителей вашего собственного сайта и возвращает их вам. Вторая ловит тех, кто взаимодействует с вашими конкурентами, и отдаёт их конкурентам конкурентов. Вы в этой схеме и покупатель, и товар одновременно, в зависимости от того, кто подключился раньше.

Дальше - четыре канала. Внимание на механику: ни в одном из них вы не получаете уведомления. Ничего не ломается, ничего не мигает красным. Менеджеры просто звонят, и ничего.

Канал 1. Трафик до формы

Самый крупный по объёму и самый незаметный.

Человек зашёл, посмотрел три страницы, задержался на прайсе, ушёл. Форму не открывал, кнопку не нажимал. Ваша аналитика фиксирует поведение на вашем сайте и больше ничего: она физически не видит, что происходит с данными о посетителе снаружи.

Отказом Яндекс Метрика считает визит, в котором человек посмотрел одну страницу и провёл на ней меньше 15 секунд. То есть тот, кто читал ваш текст три минуты и закрыл вкладку, в отчёте вообще не отказ - он растворяется среди обычных визитов. И именно он самый ценный: он дочитал, сравнил и ушёл сравнивать дальше.

Капча и антибот тут не работают. Они стоят на отправке формы, а этот канал заканчивается раньше формы. Между «зашёл» и «нажал отправить» защиты обычно нет вообще.

Проверить свой масштаб можно за десять минут, и это первый шаг из блока ниже: посчитайте, сколько визитов длиннее двух минут закончились без заявки.

Ту же самую механику можно развернуть в свою сторону: посмотреть, как вернуть собственных ушедших посетителей.

Канал 2. Сторонние скрипты на странице с формой

На среднем коммерческом сайте одновременно работают от пяти до двадцати чужих скриптов: счётчики, рекламные пиксели, чат, виджет обратного звонка, коллтрекинг, запись сессий. Часть ставили руками, часть приехала через диспетчер тегов, и полного списка обычно нет ни у кого.

Все они выполняются в одном окне браузера и имеют одинаковый доступ к содержимому страницы. Технически каждый из них может прочитать значение поля с телефоном, пока человек его печатает, и увидеть событие отправки формы.

Большинство скриптов ничего такого не делает - у них своя задача. Но есть категория, которая делает это по назначению: запись сессий. По умолчанию такие инструменты пишут действия пользователя, включая ввод в поля. Человек ввёл телефон, передумал, закрыл вкладку - заявки у вас нет, а введённое уже лежит в чужом сервисе.

Отдельно про SSL, потому что это самое частое заблуждение. Замок в адресной строке означает, что канал между браузером и вашим сервером зашифрован. Он не имеет отношения к тому, что делают скрипты в самом браузере: они работают до передачи, на странице, с открытыми данными. Сертификат защищает дорогу, а не комнату, из которой выезжают.

Виджет обратного звонка - тот же случай, только длиннее цепочка: телефон посетителя сначала уходит на серверы поставщика виджета, там инициируется звонок, и только потом событие доходит до вашей CRM. Что поставщик делает с накопленными данными, написано в его условиях использования, в разделе про агрегированную аналитику. Читал их обычно тот, кто подключал, то есть никто.

Канал 3. Страница «Спасибо за заявку»

Эта страница открывается только после успешной отправки формы. Значит, переход на неё - однозначная метка: здесь заявка состоялась.

Метку видит не только ваша аналитика. Наблюдение снаружи считывает связку «источник трафика - посадочная страница - переход на страницу спасибо» и повторяет её по тысячам визитов. На выходе получается карта ваших конверсионных точек: какие страницы реально продают, какой трафик туда идёт.

Практический смысл этой карты для того, кто её собрал, простой. Он не будет ловить весь ваш трафик, он будет ловить те сегменты, которые у вас конвертируются. И его цена контакта окажется ниже вашей, потому что вы находили эти сегменты за деньги и месяцами, а он получил результат вашей работы готовым.

Это, кстати, тот же канал, через который ваш собственный рекламный бюджет начинает работать на соседа: чем точнее вы настроили рекламу, тем чище сигнал, который с вас снимают.

Как выглядит зеркальная сторона задачи - когда посетители вашего сайта возвращаются к вам, а не к соседу.

Канал 4. Телефоны в коде и в открытых источниках

Здесь утекают не клиенты, а разметка вашего отдела продаж.

Коллтрекинг работает через подмену номеров: каждому источнику трафика свой телефон. Эти номера прописаны прямо в коде страниц. До подключения на сайте было один-два номера, после - десятки, и все в одном месте, которое автоматический сбор проверяет первым.

Рядом обычно лежит раздел «Команда» с прямыми номерами менеджеров, карточка компании в справочниках, резюме сотрудников на работных сайтах, подписи в письмах. Из этого за минуты собирается оргструктура: кто за что отвечает, кому звонить, кого переманивать.

Дальше начинается то, о чём в компаниях узнают последними. Существуют агрегаторы, в том числе в виде ботов в мессенджерах, которые по номеру телефона отдают данные из утёкших баз, включая детализацию соединений. Полной картины они не дают, но и половины хватает: видно, с кем ваш менеджер начал разговор на этой неделе.

Результат для клиента выглядит так: в понедельник ему позвонили вы, во вторник - конкурент, который уже знает контекст разговора. Клиент считает это совпадением. Ваш руководитель отдела продаж считает, что менеджер плохо отработал.

Один абзац про хорошее

Ни один из четырёх каналов не требует героических мер. Три из четырёх закрываются настройками, которые уже есть в ваших системах: список скриптов чистится, запись полей выключается, страница спасибо убирается из индекса, номера сотрудников заменяются на общий номер с добавочными. И капча с антиботом, кстати, работают - просто на своём участке, на отправке формы, и от них никто не требовал большего.

Что сделать сегодня самому, без нас

Четыре шага. Бесплатно, своими силами, за один рабочий день.

Шаг 1. Посчитайте свой разрыв. В Метрике постройте отчёт по визитам за последний месяц и отделите те, что длиннее двух минут и закончились без заявки. Разделите на число заявок за тот же месяц. Полученное отношение - это масштаб того, что вы уже оплатили рекламой, но не увидели. Пока нет этого числа, все дальнейшие разговоры про безопасность сайта беспредметны.

Шаг 2. Составьте список чужих скриптов. Откройте страницу с формой, нажмите F12, вкладка «Сеть», перезагрузите страницу и выпишите все домены, на которые уходят запросы. Отдельная колонка - зачем этот скрипт нужен сегодня. Практика показывает, что треть списка ставили под акцию, которая закончилась год назад. Всё, чему не нашли назначения, снимайте: каждый снятый скрипт - минус одна пара глаз на странице с телефонами клиентов.

Шаг 3. Выключите запись содержимого полей. В настройках записи сессий (у Метрики это Вебвизор) проверьте, пишется ли содержимое полей форм, и включите скрытие. Отдельно проверьте виджет обратного звонка и чат: у них свои настройки, и по умолчанию там обычно записывается всё. Заодно откройте условия использования виджета и прочитайте раздел про агрегированные данные - на это уйдёт десять минут, а решение подсказывает само.

Шаг 4. Уберите личные номера и закройте страницу спасибо. С сайта убираются прямые мобильные менеджеров - остаётся один номер с добавочными. Страница «Спасибо за заявку» закрывается от индексации, чтобы не висеть в открытой выдаче как маркер вашей воронки. Проверка сделанного: вбейте в поисковик свой номер и номер менеджера в кавычках и посмотрите, где они уже лежат. Часть площадок удаляет по запросу, часть нет, но список знать надо.

Пятый шаг для тех, у кого несколько сайтов: проверьте поддомены и старые лендинги. Региональные сайты, тестовые копии, промо-страницы прошлого года защищаются отдельно, и защита основного домена на них не распространяется. Растущая компания добавляет новые адреса быстрее, чем вспоминает о старых.

Что дорого делать самому

Всё перечисленное выше закрывает канал утечки, но не возвращает тех, кто уже ушёл. Это разные задачи.

Определять посетителей собственного сайта своими силами нельзя: нужны источники данных, обработка и правовая обвязка. Это отдельный бизнес, а не задача для программиста на подряде. Поэтому такое покупают как услугу.

WantLead делает ровно это: пиксель на вашем сайте определяет телефоны посетителей, которые ушли без заявки. Порядок величин, из которого считается смысл: заявку оставляют около 2% посетителей, остальные 98% уходят молча. Цена - 51,6-95 ₽ за контакт, пакет СТАРТ 76 000 ₽ за 800 контактов. Пиксель работает в реальном времени, первые контакты приходят в день установки, через час-два.

Считайте по своим числам, а не по чужим обещаниям: возьмите число визитов длиннее двух минут без заявки из первого шага, умножьте на цену контакта и сравните с маржой одной сделки. Если одна сделка окупает пакет, разговор имеет смысл. Если нет - не имеет, и никакая презентация этого не изменит.

Отдельная тема - защита периметра, чтобы вашего посетителя не снял кто-то ещё. У нас этим занимается StopParsing, и это оборонительный сервис со своими правилами, о нём отдельный разговор.

Посчитать, сколько контактов даёт ваш собственный трафик - разбор бесплатный, по вашей статистике.

А вы знаете, сколько сторонних скриптов сейчас работает на странице с вашей формой заявки?

---

Внутренние источники: SERVICES-FACTS.md (WantLead: механика, доля ушедших без заявки, цены, срок первых контактов), STOPPARSING-FACTS.md (периметр, позиционирование «щит»), склейка П1 «перехват лидов» и p2 «антибот» - внутренние ссылки при публикации.