Jak zajistit dynamický web forenzně přesně pro potřeby compliance

Proč dynamické stránky rozbijí běžný screenshot

Moderní webová stránka málokdy bývá pevný dokument. Obsah skládá JavaScript až po načtení, části se objeví teprve při rolování, ceny a bannery závisí na zemi návštěvníka, jeho volbě cookies nebo testovací skupině a cookie lišta může zakrýt právě to tvrzení, které potřebujete. Dva lidé, kteří otevřou stejnou URL ve stejné minutě, mohou vidět různé stránky.

Pro compliance záznam to platí dvakrát. Screenshot ukazuje jedno vykreslení a nic o tom, jak vzniklo, takže se snadno zpochybní. A když záznam neříká, kterou verzi stránky zachycuje, nedoložíte, že jde o verzi, kterou viděl zákazník, investor nebo regulátor.

• Vykreslování na straně klienta: první dodané HTML je téměř prázdné a obsah staví skripty, typicky u jednostránkových aplikací (SPA).
• Líné načítání a nekonečné rolování: obrázky, recenze nebo upozornění se načtou, až když se dostanou do zobrazení.
• Souhlasy a překryvy: cookie lišty, ověření věku, chatovací okna a přilepené bannery zakrývají části stránky.
• Varianty: A/B testy, personalizace, cílení podle země a stav přihlášení servírují různým návštěvníkům různý obsah.
• Časově omezený obsah: odpočty akcí, bleskové ceny a střídající se bannery se mění během hodin.

Co po vás regulátor může později chtít doložit

Řada předpisů klade důkazní břemeno na firmu, která obsah zveřejnila. Žádný nepředepisuje konkrétní nástroj, všechny ale předpokládají, že později doložíte, co bylo skutečně zveřejněno.

• Propagace finančních produktů ve Spojeném království: podle pravidla FCA COBS 4.11.1R musí firma pořídit odpovídající záznam každé propagace, kterou šíří nebo schvaluje, a uchovat ho, například pět let u činností podle MiFID, tři roky v ostatních případech a neomezeně u převodů penzí.
• Reklama ve Spojeném království: pravidlo 3.7 kodexu CAP vyžaduje, aby zadavatel měl před zveřejněním reklamy listinné doklady k objektivním tvrzením; ASA může tvrzení bez doložení považovat za klamavá.
• Nekalé obchodní praktiky v EU: článek 12 směrnice 2005/29/ES umožňuje soudům a úřadům požadovat po obchodníkovi důkaz o pravdivosti skutkových tvrzení a považovat je za nepravdivá, pokud důkaz chybí nebo nestačí.
• Slevy v EU: článek 6a směrnice 98/6/ES, vložený směrnicí (EU) 2019/2161, vyžaduje, aby předchozí cena uvedená u slevy byla nejnižší cenou za období nejméně 30 dnů před slevou.

Nejde o právní radu pro vaši situaci; vnitrostátní předpisy a odvětvoví regulátoři přidávají vlastní požadavky. Společný jmenovatel je jednoduchý: pokud stránku nedokážete doložit tak, jak byla, riziko nesete vy.

Co u webové stránky znamená forenzní přesnost

Forenzní přesnost není hezčí screenshot. Je to záznam, který ukazuje, co stránka doručila, jak byl pořízen a že se od té doby nic nezměnilo. Norma ISO/IEC 27037 i Pokyny Rady Evropy k elektronickým důkazům zdůrazňují integritu, metadata a dokumentaci postupu; naše metodika je navržena s ohledem na ISO/IEC 27037. Obhajitelný záznam dynamické stránky v praxi obsahuje:

• Vykreslenou stránku jako screenshot celé stránky a k tomu video jejího načítání.
• Zdroj stránky: surové HTML a MHTML snímek toho, co prohlížeč skutečně obdržel.
• Záznam síťové komunikace (HAR) se všemi požadavky a odpověďmi, s maskovanými hodnotami cookies a autorizačními hlavičkami.
• Kontext serveru: řetězec TLS certifikátů, DNS odpovědi z několika resolverů a registrační údaje domény.
• Podmínky záznamu: čas, viewport, provedené volby souhlasu a případné vizuální zásahy, například skrytý přilepený banner.
• Otisk SHA-256 každého artefaktu svázaný kvalifikovaným elektronickým časovým razítkem, takže každá pozdější změna je zjistitelná.

Krok za krokem: zajištění dynamické stránky

• Určete, kterou verzi potřebujete: zemi, jazyk, zařízení, přihlášení ano či ne a okamžik, na kterém záleží, třeba spuštění kampaně, stížnost nebo změnu ceny.
• Začněte v čistém stavu, aby o tom, co uvidíte, nerozhodly starší cookies nebo dřívější zařazení do testu, a poznamenejte si to.
• Rozhodněte, jak naložíte s cookie lištou, a volbu zaznamenejte; odmítnutí může část obsahu skrýt, přijetí může stránku změnit.
• Ujistěte se, že relevantní části jsou načtené: sjeďte k patičce, rozbalte sekce s upozorněním na rizika nebo s podmínkami, počkejte na ceny a recenze.
• Zajistěte a výsledek zkontrolujte: je tvrzení, upozornění i cena čitelná na screenshotu a přítomná v HTML?
• Sepište krátkou poznámku: kdo, kdy, proč a jakou verzi. Pokud bude záznam zpochybněn, stane se z ní vaše vyjádření.

Než se na balíček spolehnete, ověřte ho nezávisle, například offline open-source nástrojem gpa-verify, který zkontroluje otisky i kvalifikované razítko, aniž byste museli věřit nám.

Zvolte metodu podle typu stránky

Jedna metoda nesedí na všechno. GetProofAnchor nabízí čtyři a poctivá volba závisí na tom, co stránka dělá:

• Veřejné marketingové stránky, ceníky a podmínky: serverový záznam podle URL. Naše infrastruktura stránku stáhne, cookie lišty řeší zaznamenávanou vrstvou pravidel (striktní profil nepoužívá AI) a každý zásah zapíše do zapečetěných metadat.
• Jednostránkové aplikace a stránky za přihlášením: rozšíření prohlížeče. Zachytí stránku ve vašem vlastním prohlížeči a server ji po přijetí zapečetí, razítko tedy prokazuje čas přijetí a integritu, ne nezávislé pozorování. Serverový záznam stránky za přihlášením a SPA odmítne a doporučí rozšíření.
• Vícekrokové cesty jako produktová stránka, konfigurátor, košík a potvrzení, a také videa: Forensic Browser, desktopová aplikace pro Windows, která celou relaci uloží do jednoho zapečetěného balíčku s jedním kvalifikovaným razítkem, jako PDF ověřitelné v Adobe Acrobat Reader nebo jako ZIP. Od 290 EUR ročně bez DPH (350,90 EUR s DPH).
• Bez času nebo lidí: Assisted Capture. URL za vás zajistí operátor; Rush pokryje až 5 URL s garancí 60 minut za 249 EUR bez DPH (301,29 EUR s DPH).

Od jednoho záznamu k důkazní řadě: plánovaný monitoring

Jeden záznam prokazuje jeden okamžik. Otázky compliance se ale obvykle týkají období: bylo upozornění na rizika na webu celé čtvrtletí, kdy se změnila cena, jak dlouho tvrzení viselo online. Monitoring webu zaznamenává veřejnou stránku denně nebo týdně ve zvolený čas. Každá kontrola je plnohodnotný zapečetěný důkaz s kvalifikovaným razítkem eIDAS a e-mailem vás upozorní, když se obsah liší od předchozího běhu.

• Business, 99 EUR měsíčně bez DPH (119,79 EUR s DPH): 10 monitorů, 400 důkazů za 30 dní, 10 uživatelů.
• Monitoring 50, 399 EUR měsíčně bez DPH (482,79 EUR s DPH): 50 monitorů, 1 800 důkazů za 30 dní.
• Monitoring 100, 599 EUR měsíčně bez DPH (724,79 EUR s DPH): 100 monitorů, 3 500 důkazů za 30 dní.
• Každá kontrola spotřebuje jeden důkaz: denní monitor potřebuje asi 30 důkazů měsíčně, týdenní asi 4 až 5.

Hranice, které je dobré znát: monitoring funguje jen u veřejně přístupných stránek, weby s tvrdou ochranou proti botům ho mohou zablokovat a mezi dvěma běhy se nic nezaznamenává, takže změna, která se objeví a zmizí během dne, může uniknout. U stránky za přihlášením použijte rozšíření, jeden záznam po druhém.

Co časové razítko prokazuje a co ne

Podle čl. 41 odst. 2 nařízení eIDAS se u kvalifikovaného elektronického časového razítka presumuje přesnost data a času, které uvádí, a integrita dat, k nimž se váže, a podle čl. 41 odst. 3 musí být jako kvalifikované uznáno ve všech členských státech EU. Pro váš záznam to znamená: artefakty existovaly přesně v této podobě v zapečetěném čase a od té doby se nezměnily.

Neznamená to, že všichni návštěvníci viděli stejnou stránku, že je obsah pravdivý ani že soud či regulátor musí záznam přijmout. Proto jsou podmínky záznamu a vaše poznámka stejně důležité jako pečeť. Žádný nástroj nezaručí, jakou váhu důkazu kdo přizná; zdokumentovaný, zapečetěný a nezávisle ověřitelný záznam se ale odmítá mnohem hůř než screenshot.

Praktické nastavení pro compliance tým

• Sepište stránky s regulovaným obsahem: propagace finančních produktů, tvrzení o produktech, ceny a slevy, obchodní podmínky, informace o ochraně osobních údajů, označení spolupráce nebo AI obsahu.
• Nastavte frekvenci pro každou stránku: týdně u stabilních stránek, denně během kampaní a k tomu ruční záznam při každém spuštění a každé změně.
• Určete odpovědnou osobu a jednou sepište pravidla verze (země, zařízení, volba souhlasu), aby byly záznamy srovnatelné.
• Dobu uchování nastavte podle nejpřísnějšího předpisu, který se na vás vztahuje, a uchovávejte ZIP balíčky s důkazy, ne jen protokoly.
• Důkazy seskupte podle kampaně, produktu nebo klienta do Kauz a celou kauzu exportujte jedním ZIPem pro audit nebo spor.
• Jednou za čtvrtletí si zkušebně ověřte záznam nástrojem gpa-verify, ať víte, že obstojí, až se někdo zeptá.

Časté otázky

Zdroje

• FCA Handbook, COBS 4.11: uchovávání záznamů o propagaci finančních produktů
• ASA a CAP: doložení tvrzení, pravidlo 3.7 kodexu CAP
• Směrnice 2005/29/ES o nekalých obchodních praktikách, článek 12
• Směrnice (EU) 2019/2161, kterou se do směrnice 98/6/ES vkládá článek 6a (slevy)
• Nařízení (EU) č. 910/2014 (eIDAS), článek 41
• Rada Evropy: Pokyny k elektronickým důkazům v civilním a správním řízení