Comunicato flash – iFrame e XING: in cerca di una soluzione

Microsoft ha introdotto gli “inline frame” nel 1997, con il lancio di IE 3. Basati sulla tecnologia HTML 4, gli iFrame sono una modifica dei tag <frame> e consentono di collocare un documento HTML (frameset) in un frame all’interno di un normale documento HTML.

Se conoscete gli “inline frame”, sapete che possono essere davvero molto utili per visualizzare su un’unica pagina Web diversi tipi di informazioni, provenienti spesso da varie origini. In un iFrame può essere integrato il contenuto interno di un’altra parte del sito Web come pure il contenuto di siti Web esterni. Inoltre, gli “inline frame” consentono di organizzare l’elemento incorporato come meglio desideriamo, con barre di scorrimento e altri elementi.

Un uso comune per gli iFrame è costituito dalla pagina del negozio su Internet delle aziende: la barra di scorrimento, il piè di pagina e anche i riquadri laterali sono programmati dall’azienda e il contenuto rimane identico, mentre l’area del “negozio virtuale”, posta al centro, è programmata e gestita da un provider di servizi di Web commerce esterno.

Semplice, no? È proprio questa assoluta semplicità di integrazione, tuttavia, che può causare qualche problema con gli iFrame. Se è formattato correttamente, infatti, un iFrame è veramente difficile da individuare. Il negozio online appare come il resto della pagina, giusto? Eppure, a volte, questa invisibilità di altri contenuti in un sito Web può essere un problema.

Cosa ha a che fare questo con XING?

Ogni profilo di Xing ha un URL dedicato e pertanto può anche essere incorporato in un sito Web tramite un iFrame, se il progettista lo desidera, e può essere visitato da chiunque visiti la pagina in cui è incorporato. Ciò può essere utile, ad esempio, per includere una parte del vostro profilo nel vostro sito Web, privato o professionale, consentendo a potenziali business partner o clienti di contattarvi tramite XING.

Tuttavia, non è possibile escludere a priori che un hacker abile non possa usare impropriamente un iFrame per i propri fini. Mettiamo che abbiate eseguito il login a XING. In un’altra finestra o scheda, fate clic su un sito Web in cui il programmatore ha incorporato un iFrame di collegamento al proprio profilo su XING. Visitando questo sito Web esterno, “visitate” di fatto il profilo della persona. In tal caso, se appare come un utente Premium, il malintenzionato potrà vedere il vostro nome completo.

Ciò è particolarmente irritante se il frame che contiene il profilo XING è invisibile, come, ad esempio, se la dimensione è stata impostata su un pixel o se è stato programmato per essere nascosto. Torniamo alla realtà: non si tratta di un mero esercizio teorico, in quanto effettivamente una persona sta, in questo momento, programmando un sito Web in questo modo. Anche se è impossibile vederlo a occhio nudo, gli utenti di XING visitano il profilo XING di un altro utente tramite un iFrame invisibile incorporato in un sito Web.

È sufficiente visitare un qualsiasi sito Web così creato nel World Wide Web perchè un utente riveli la propria identità alla persona che gestisce il sito. Potrebbe persino ricevere un messaggio e-mail come risultato. Ricordate che nella situazione peggiore qualcuno può vedere il vostro vero nome e tutte le informazioni che avete scelto di rivelare agli utenti che non sono vostri contatti su XING.

Cosa sta facendo XING al riguardo?

Questo problema riguarda, di norma, tutti i social network su cui all’utente viene mostrato chi ha visitato il proprio profilo. Una soluzione provvisoria consiste nell’implementare quello che è conosciuto come “framebreaker”, ovvero un javascript che verifica se i contenuti sono indirizzati a un frame, e, in caso affermativo, “rompe” la struttura o interrompe la visualizzazione della pagina Web.

Vista la situazione attuale, abbiamo deciso di non implementare un semplice “framebreaker”, perchè farlo significherebbe porre un freno anche a tutti gli usi positivi e visibili dei frame, insieme a quelli meno positivi. Abbiamo pertanto sviluppato un “framebreaker” intelligente, che interroga la dimensione di un iFrame e interrompe un frame solo se è evidente che è usato per applicazioni invisibili o nascoste. In questo modo, gli iFrame che sono evidenti all’utente non sono interessati.

Usare gli iFrame in modo che siano invisibili per gli utenti di XING rappresenta una violazione dei nostri Termini e condizioni generali d’uso nonché delle nostre regole di protezione dei dati. Nel caso notiate un abuso da parte di un utente, potete contattarci usando il modulo di contatto oppure segnalarci il profilo in questione facendo clic sul pulsante “Contrassegna questo profilo” dal profilo dell’utente in questione. Il nostro team Community eseguirà le opportune verifiche.

Cosa posso fare personalmente?

La protezione dei dati sulla piattaforma XING è una delle nostre principali preoccupazioni. Ecco perchè XING è l’unico social network che usa la crittografia SSL per l’intero sito Web. Potete inoltre regolare le vostre impostazioni di protezione per rendere più sicuri i vostri dati: quando eseguite il login a XING, avete la possibilità di attivare l’accesso automatico (vedere l’immagine sotto). Se non selezionate questa casella, dovrete semplicemente eseguire il login più spesso.

Se volete evitare chiamate da contatti sconosciuti, potete bloccare la vostra Posta in arrivo su XING eseguendo la selezione appropriata in Le mie impostazioni per la privacy. Inoltre, se sospettate un abuso o siete preoccupati per la sicurezza, vi raccomandiamo di limitare rigorosamente le informazioni che condividete con chi non appartiene ai vostri contatti.

Ancora un volta, se avete dei sospetti su un utente in particolare (uno che non è tra i vostri contatti, ad esempio), potete sempre segnalarlo all’attenzione del nostro team Community.

Come sempre, attendiamo il vostro feedback e saremo lieti di ricevere domande, suggerimenti e idee.