Nee, Sargasso geeft uw gegevens niet lukraak weg

De afgelopen dagen was het in de reactiepanelen van Sargasso wat onrustig. Een van onze bezoekers claimde dat Sargasso de informatie van haar bezoekers “weggaf” aan allerlei sites, variërend van de Telegraaf tot Al Jazeera. We kunnen hier kort over zijn: dit is niet het geval. Deze bezoeker vond het vervolgens nodig om van verschillende van onze bezoekers een gedeeltelijk IP te plaatsen om te “bewijzen” dat Sargasso deze gegevens verspreidt. Ook na herhaaldelijk aandringen op enige toelichting deed de bezoeker dit zonder duidelijk te maken hoe hij aan deze gegevens kwam. Na wat onderzoek kwamen we daar – gelukkig – zelf achter.

Plaatje invoegen

Al jaren is het op Sargasso mogelijk plaatjes in je eigen reacties bij te voegen, en deze plaatjes kunnen van overal komen. Dus als je een eigen server of website hebt, dan kan je daar een plaatje neerzetten, en deze vervolgens in je reactie op Sargasso plaatsen. Het nadeel van deze aanpak is dat iedereen die de Sargasso-pagina bezoekt automatisch het plaatje inlaadt, en daarmee zijn ip-adres (en nog wat andere informatie) doorgeeft aan de server waar het plaatje staat. En als er op die server statistieken meedraaien, dan kan de eigenaar van die server zien welk IP-adressen het plaatje wanneer hebben opgehaald. Daarna kan je kijken wanneer de reacties op Sargasso zijn gegeven en je kan zonder al te veel problemen bepalen welke (reacties achterlatende) bezoeker achter welk IP-adres schuil gaat. Nu kan je daar op zich meestal nog niet zoveel mee, maar het is officieel wel een persoonsgegeven.

Dit heeft nadrukkelijk niets te maken met de claim dat wij gegevens zouden versturen naar andere sites. Het is echter wel mogelijk voor een derde partij om indirect persoonsgegevens te verkrijgen door in onze reacties een plaatje te plaatsen en dit plaatje dan actief te monitoren. Dit is echter niet iets waar Sargasso actief aan meewerkt, en staat los van de claim van de bezoeker. We zien echter geen aanleiding dat bovenstaande mogelijkheid door Al Jazeera, Al Qaida of andere kanalen is misbruikt (of überhaupt gebruikt).

Maar – er is altijd een maar – zoals bijna elke site wordt er op Sargasso via het gebruik van andere diensten soms informatie meegestuurd. In ons geval is dat aan Google – we plaatsen dagelijks een Closing Time met daarin een youtube – en gravatar, het systeem van wordpress om dezelfde avatar overal te kunnen gebruiken. Zonder dit kan je bijvoorbeeld geen video’s plaatsen.

Maar hierdoor weet Google dus wel dat u Sargasso bezoekt, en mocht u elders zijn ingelogd bij gmail dan is de kans groot dat google het vinkje “is geinterresseerd in politiek” aanzet in je advertentieprofiel. Heeft u een gravatar? Dan weet WordPress welke sites met gravatar u waar en wanneer bezoekt. Heeft u geen gravatar? Dan waarschijnlijk ook, maar het is wel lastiger. Een goede adblocker kan in deze gevallen uitkomst bieden, maar het IP-adres komt hoe dan ook bij Google terecht,

Wat nu

Buiten Google en gravatar (die laatste gaat er overigens uit op onze nieuwe site) “lekken” we geen informatie. Dat wil niet zeggen dat bepaalde dingen niet beter kunnen. HTTPS wordt op dit moment node gemist, bijvoorbeeld. Aan dit soort dingen wordt gewerkt, maar bovenstaande episode onderstreept maar weer dat voorzichtigheid geboden is, zeker in deze tijden van toenemende polarisatie. We zetten daarom per direct de mogelijkheid om plaatjes in de reacties te embedden uit.

Overigens is het in het kader van “responsible disclosure” gangbaar dat dit soort dingen eerst vertrouwelijk worden gemeld bij de betrokken partij – bij de Sargasso-redactie dus in dit geval. Wij stellen het dan ook op prijs dat als u een lek of potentieel gevaarlijke situatie op Sargasso tegenkomt, u deze eerst aan ons meldt voordat u deze in de comments plaatst.