Кабинет

Политика конфиденциальности

Проверки на SpoofLens работают без регистрации, а на сайте нет рекламы и сторонних сервисов аналитики. Кабинет необязателен. Ниже описано все, что происходит с данными, когда вы пользуетесь сайтом.

Коротко

Что происходит при проверке сайта

Когда вы вводите адрес сайта, наш сервер сам подключается к нему и делает публичные запросы: DNS, RDAP (данные регистрации домена), проверку IP в публичных черных списках (Spamhaus, SpamCop, Barracuda, PSBL, Mailspike) и определение сети через Team Cymru. Эти сервисы видят IP-адрес нашего сервера и проверяемый сайт, но не ваш IP-адрес.

Результат полной проверки (оценка, состояние SSL, доступность, заголовки безопасности, черные списки) сохраняется как снимок и доступен по публичной ссылке вида spooflens.com/report/домен. Технические параметры сайта и так публичны, но учитывайте это, если проверяете сайт, который еще не хотите показывать.

Страница «Мой IP»

Страница показывает ваш IP-адрес и данные, которые ваш браузер и так передает любому сайту. Чтобы определить оператора сети и страну, сервер делает DNS-запрос к Team Cymru и обратный DNS-запрос с вашим IP-адресом. Для Starlink страну берём из опубликованного Starlink списка адресов, копия которого хранится на нашем сервере: ваш адрес никуда не отправляется. Если вы нажмете кнопку проверки в черных списках, ваш IP-адрес будет проверен в публичных DNSBL.

Эти данные нигде не сохраняются, а страница отдается с запретом кеширования. Отпечаток браузера, часовой пояс и другие сигналы вычисляются прямо в вашем браузере и на сервер не отправляются.

Проверка браузера

Чтобы сверить данные, страница проверки браузера (а также короткая проверка на главной и в статьях) один раз отправляет на наш сервер характеристики, которые ваш браузер и так сообщает сайтам: систему и версию, языки, часовой пояс, размер экрана, видеокарту, список шрифтов, отпечатки canvas, WebGL (в том числе наших тестовых сцен) и audio, параметры видеокарты без ее названия, какие эмодзи умеет рисовать система, настройки системы (темная тема, контраст, прозрачность), положение панели задач на экране, частоту звука и число каналов, число микрофонов, динамиков и камер, хеш названий голосов системы, класс объема хранилища для сайтов (например, «200-400 ГБ»), а также сводку датчиков движения: поступают ли показания и среднюю силу тяжести в них, без самих показаний. Сервер сравнивает их с заголовками запроса и вашим IP-адресом, возвращает результат и сразу их забывает, если вы сами не сохраните проверку в кабинет.

Часть проверки делает наш отдельный сервер edge.spooflens.com. Ваш браузер подключается к нему напрямую, и он видит то, что видит любой сервер при соединении: ваш IP-адрес, параметры TLS-рукопожатия, версию HTTP, параметры первого TCP-пакета (TTL, окно, MSS, порядок опций) и задержку соединения, которую меряет его система. Ваш браузер также меряет задержку нескольких коротких запросов к этому серверу и отправляет ее вместе с проверкой. Кроме того, он видит адрес DNS-сервера, который распознает тестовое имя, и через WebRTC (STUN) публичный адрес, с которого идет UDP-трафик. На своем втором имени q.spooflens.com он предлагает браузеру HTTP/3 и видит, переходит ли браузер на него, с какого адреса приходит QUIC-соединение, и параметры QUIC-рукопожатия (те же данные, что и в TLS-рукопожатии). Эти данные хранятся в памяти не дольше 10 минут, на диск не записываются и возвращаются вашему браузеру с подписью, чтобы наш основной сервер мог им доверять.

Сохраняется только счетчик того, сколько проверок прошло за день. Полный результат видите только вы; кнопка «Копировать JSON» копирует его в ваш буфер обмена, а не на сервер.

Если вы нажимаете «Это ошибка?» под находкой, мы 90 дней храним: код этой находки, индекс и вердикт проверки, страницу, где вы были, семейство браузера и систему из User-Agent этого запроса, ваши ответы о том, что включено в браузере, и ваш комментарий. IP-адрес не храним. Если вы отмечаете «Приложить этот отчет», мы храним еще и ссылку на общий отчет, созданный из этой проверки (см. «Общие отчеты»). Эти отметки помогают нам проверять правила, мы их не публикуем.

Общие отчеты

Если на странице проверки браузера вы нажмете «Поделиться результатом» и подтвердите, мы еще раз проверим браузер на сервере и сохраним результат под случайным кодом на 90 дней. В отчет не входят IP-адрес, провайдер, страна, часовой пояс, адреса WebRTC и DNS; характеристики браузера и устройства и находки входят. Страницу /s/<код> видит любой, у кого есть ссылка; поисковым системам мы ее не показываем. Удалить отчет можно кнопкой в том же браузере (в нем хранится ключ удаления) или письмом на hello@spooflens.com со ссылкой на отчет. Так же можно поделиться проверкой, сохраненной в кабинете: тогда отчет составляется из нее, с теми же исключениями.

Сравнение проверок в кабинете тоже можно открыть по ссылке для просмотра. Тогда мы храним копию таблицы на момент создания: признаки устройства и браузера, оценки и подписи проверок, без IP-адресов, сети, страны и часового пояса. Ссылка работает 30 дней или пока вы ее не удалите на странице сравнения, и исчезает вместе с аккаунтом.

Кабинет (учетная запись)

Если вы входите через почту, мы храним адрес почты. Если вы создаете аккаунт без почты или ключ входа в настройках, мы храним только хеш ключа: сам ключ видите только вы, и восстановить его мы не можем. Также хранятся дата создания аккаунта, время последнего входа и язык.

Если вы входите через Google, мы запрашиваем у Google только адрес почты (разрешения openid и email) и храним только его, так же как при входе через почту. Имени, фото, контактов и доступа к вашему аккаунту Google мы не получаем; Google при этом видит, что вы вошли на SpoofLens. Пока идет вход, браузер держит технический cookie sl_g на 10 минут, который защищает вход от подделки.

Если вы включаете второй фактор, мы храним секрет приложения-аутентификатора (из него вычисляются коды) и хеши резервных кодов, а между первым и вторым шагом входа браузер держит технический cookie sl_2fa на 10 минут. Выключение удаляет и секрет, и коды. О включении, выключении и входе резервным кодом мы пишем на адрес аккаунта.

Если вы нажимаете «Сохранить в кабинет», проверка сохраняется в вашем аккаунте на 30 дней: характеристики браузера, результат, страна и сеть. Полный IP-адрес и обратное DNS-имя мы не храним, только сокращенный адрес (например, 203.0.113.x) и его хеш, чтобы в будущем сравнении показать «тот же IP», не раскрывая адреса. Любую проверку можно удалить в кабинете. Если в настройках включено автосохранение, так же сохраняется каждая полная проверка сразу после прохождения.

На почту мы отправляем только письма с кодом входа и служебные предупреждения: если вы пользуетесь API, письмо, когда израсходовано 80% и 100% месячного лимита (каждое не чаще раза в месяц), и месячная сводка проверок API, если вы ее не выключили; письма о втором факторе, если он включен. Писем о проверках по вашим ссылкам мы не отправляем: их результаты видны только в кабинете. Код входа действует 10 минут и хранится только в виде хеша. Рассылок нет.

Чтобы вы оставались в системе, браузер получает cookie сессии sl_s на 90 дней (срок продлевается, пока вы заходите), а на странице входа еще и технический cookie sl_pre на час, который защищает формы от подделки. В базе хранятся только хеши этих значений.

В настройках кабинета можно скачать все свои данные в формате JSON и удалить аккаунт. Удаление происходит сразу и безвозвратно. В ежедневных резервных копиях базы данные хранятся еще до 30 дней, потом исчезают и оттуда.

API для сайтов

Владелец сайта может подключить к своим формам наш API (документация: spooflens.com/developers). Тогда данные браузера посетителя того сайта, его IP-адрес и заголовки запроса нам передает сервер того сайта, а мы возвращаем оценку риска. В этом случае решение об обработке принимает владелец сайта, а мы обрабатываем данные от его имени.

Сигналы браузера и полный IP-адрес мы не храним. Журнал запросов в кабинете владельца сайта (его можно выключить) 30 дней хранит время, оценку, решение, коды причин, идентификатор устройства, первые 64 символа идентификатора пользователя, который передал сайт, сокращенный IP-адрес (например, 203.0.113.x), страну и тип сети. Если владелец сайта включил вебхук, данные визита, как в ответе API, мы отправляем на его адрес и удаляем из очереди через 7 дней после доставки; письмо-сводка содержит только количество и причины. Для сводки проверок в кабинете и месячного письма владельцу сайта мы ведем итоги по дням (сколько проверок, выводы, решения, коды причин) без данных посетителей и храним их 400 дней. Если сайт передает свой идентификатор пользователя, мы храним только хеш идентификатора устройства и хеш этого идентификатора 30 дней, чтобы показать, сколько аккаунтов было с одного устройства. Чтобы увидеть, когда тот же снимок браузера отправляют еще раз из другой сети, для другого пользователя или с другого сайта, мы час храним хеш подписанных данных нашего сервера проверок вместе с хешем сети (первой части IP-адреса) и идентификатора пользователя сайта. Чтобы различать агентов и ботов, мы сравниваем User-Agent и IP-адрес, которые передал сайт, со списками адресов, которые публикуют операторы ботов (их копию мы обновляем каждый день); дневные итоги также считают запросы по видам ботов. Идентификатор устройства вычисляется с отдельной солью для каждого сайта, поэтому связать человека между разными сайтами невозможно. Для проверки интеграции в кабинете мы храним только отметки о последнем запросе с каждым ключом (пришли ли blob, IP и заголовки, ошибка или полученная оценка), без самих значений и без данных посетителя.

Для ключей API мы храним хеш ключа, название, дату создания и последнего использования и количество запросов за день. Чтобы удалить данные, связанные с вашим аккаунтом на сайте, который пользуется API, обратитесь к владельцу того сайта.

Оплата

Платежей мы пока не принимаем: во время беты все бесплатно. Перед запуском платных тарифов этот раздел назовет платежного партнера и то, какие данные он получает.

Обращения в поддержку и доступ поддержки

Если вы пишете в поддержку из кабинета, мы храним тип, тему и текст обращения и ответы, пока существует аккаунт, и удаляем их вместе с ним. О новом обращении мы получаем только уведомление с номером и типом, без вашего текста. Ответ поддержки приходит в кабинет, а если к аккаунту привязана почта, то и на почту.

Без вашего разрешения мы видим только служебный минимум, без которого не работают оплата, лимиты и защита от злоупотреблений: почту, тариф, даты, количество проверок и ссылок, расход API, подписки и обращения. Сами проверки, ссылки и ключи API мы можем посмотреть только тогда, когда вы дали доступ: кодом из настроек кабинета или отметкой в обращении. Доступ действует 7 дней, дает только просмотр, и его можно отозвать в любой момент.

Каждый такой просмотр записывается, и в настройках кабинета вы видите, когда и что именно смотрела поддержка. Этот журнал хранится год. Вход в админку защищен вторым фактором, и о каждом входе приходит письмо.

Подарочные коды

Если вы активируете подарочный код (например, тот, что вам подарили), мы храним, какой код, когда и в каком аккаунте его активировали, а также что он дал и до какой даты. Это нужно, чтобы подарок работал и чтобы один код не активировали дважды. Для собственной статистики мы видим, сколько подарков из какого выпуска активировано; подпись выпуска (например, название встречи) видим только мы.

Ссылки для проверки

Владелец аккаунта может создать ссылку вида spooflens.com/c/… Человек, который ее открывает, сначала видит экран согласия со списком того, что будет собрано. До нажатия «Согласен» ничего не собирается.

После согласия проверка (характеристики браузера, результат, страна и сеть, сокращенный IP-адрес и его хеш) сохраняется в аккаунте владельца ссылки на 30 дней, а посетитель сразу видит свой результат. Полный IP-адрес и обратное DNS-имя мы не храним. После проверки мы никуда не перенаправляем.

Каждая ссылка действует до 7 дней и принимает ограниченное количество проверок. На странице ссылки есть кнопка «Пожаловаться»; после нескольких жалоб ссылка отключается автоматически. Чтобы удалить проверку, сделанную по ссылке, напишите на hello@spooflens.com и укажите ссылку.

Исследовательские ссылки

Мы и люди, которым мы доверяем, можем отправлять исследовательские ссылки того же вида spooflens.com/c/… Они собирают образцы устройств, чтобы проверка точнее отличала настоящие браузеры от подделок. Экран согласия прямо говорит, что это исследование, и до нажатия «Согласен» ничего не собирается.

После согласия сохраняются характеристики устройства и браузера, результаты тестов отрисовки (canvas, WebGL, звук) и то, менялись ли они при повторных прогонах, результат проверки, а также ответы участника об устройстве (тип, система, браузер, подключение: Wi-Fi, мобильный интернет или кабель; что включено: VPN, прокси, блокировщик и т. п.) и подпись устройства, если участник их указал. IP-адрес (ни полный, ни сокращенный, ни его хеш), провайдера, страну, часовой пояс, сетевые адреса WebRTC и DNS, точные задержки соединения, число сетевых переходов и MSS мы в таком образце не храним. От задержек остается только грубая разница между сервером и страницей (например, «от 10 до 30 мс»), по которой сами задержки не восстановить. Образцы хранятся без срока, используются только для улучшения проверки и никому не передаются. Чтобы удалить свой образец, напишите на hello@spooflens.com и укажите ссылку и подпись устройства.

Статистика посещений

Мы считаем посещения без cookie. Для подсчета уникальных посетителей используется хеш от даты, IP-адреса и строки браузера. Он меняется каждый день и не позволяет восстановить IP-адрес, а сам IP-адрес в статистике мы не храним.

Чтобы отличить людей от ботов, браузер один раз за сессию отправляет короткий сигнал и ставит отметку tg_v в sessionStorage, которая исчезает после закрытия вкладки. В сигнале только домен сайта, с которого вы пришли (без адреса страницы), страница входа и метка кампании из адреса (ref или utm_source), если она есть.

После каждой проверки браузера на наших страницах мы добавляем единицу к суммам за день: вердикт, названия находок, семейство браузера и системы, телефон или компьютер, страна по IP и тип сети (обычная, хостинг или VPN, Tor, iCloud Private Relay). Один браузер считается не чаще раза в сутки по тому же дневному хешу. Саму проверку мы для этого не храним. Доли из этих сумм за 30 дней, в процентах и без самих чисел, показывает страница «Статистика браузеров», группы меньше чем из 5 браузеров там объединены. Еще мы считаем, сколько раз за день нажимают кнопки под короткой проверкой («Полный отчет», «IP и анонимность», «Копировать»), только сумму, без привязки к человеку.

Защита от злоупотреблений

Чтобы ограничить частоту запросов и не дать использовать инструменты для атаки на чужие сайты, мы ненадолго храним время запросов, привязанное к хешу IP-адреса (а для входа в кабинет еще и к хешу почты). Эти записи автоматически перестают учитываться в течение суток.

Лист ожидания

Если вы записываетесь в лист ожидания на главной, мы храним вашу почту, выбранный тариф, цель использования и язык сайта. Эти данные нужны только для того, чтобы сообщить вам о запуске. Мы не отправляем рассылок до запуска и не передаем адреса третьим лицам. Чтобы удалить запись, напишите на hello@spooflens.com.

Напоминания об окончании SSL

Если вы подписываетесь на напоминания, мы храним вашу почту и домен, чтобы отправить письмо перед окончанием сертификата. Сначала мы отправляем одно письмо со ссылкой для подтверждения: без него напоминания не приходят, а неподтвержденный запрос удаляется через 7 дней. В каждом письме есть ссылка для отписки, которая удаляет все напоминания для вашей почты.

Telegram-бот

Бот обрабатывает сообщения, которые вы ему отправляете, чтобы выполнить проверку. Для защиты от флуда хранится кратковременный счетчик, привязанный к хешу идентификатора чата. На переписку в Telegram распространяется политика самого Telegram.

Данные в вашем браузере

В вашем браузере (localStorage) хранятся только: список последних проверок сайтов (ключ tg_recent); пять последних проверок браузера, чтобы показать, что изменилось с прошлого раза (sl_hist, вместе с IP-адресом, который видел сайт); коды и ключи удаления ваших общих отчетов (sl_shares); отметка, что вы закрыли подсказку языка (sl_lang_hint). На сервер это не отправляется. Историю проверок браузера можно очистить кнопкой под ней, а все сразу, удалив данные сайта в настройках браузера.

Журналы сервера

Как и любой веб-сервер, сервер хостинга ведет стандартные журналы запросов (IP-адрес, время, запрошенная страница). Они нужны для безопасности и устранения сбоев, хранятся ограниченное время и не используются для профилирования.

Кто обрабатывает данные

Сайт ведет SpoofLens. Сайт размещен на серверах хостинг-провайдера TomisHost, а сервер проверки соединения edge.spooflens.com работает на арендованном виртуальном сервере (VPS). Ежедневные резервные копии базы хранятся 30 дней на хостинге и на этом VPS. Вход через Google обрабатывает Google. Другим сторонам данные не передаются, кроме описанных выше технических запросов, без которых проверка невозможна.

Ваши права и связь

Чтобы задать вопрос, получить копию или удалить данные, связанные с вашей почтой или доменом (например, снимок проверки на странице отчета), напишите на hello@spooflens.com.

Обновлено 29.10.2026 (общие отчеты, без писем о проверках по ссылкам, данные в браузере, вход через Google, второй фактор, сводка API, автосохранение, TCP-параметры соединения, ответы участника в исследовательских ссылках, новые признаки устройства, QUIC и HTTP/3, оплата во время беты, страна для Starlink, проверка повтора в API, отметки «Это ошибка?», поле agent в API)