Zneužití Meta Pixelu: cizí weby posílají data pod vaším pixel ID
Miloš Zlesa
Jednoho rána dorazil klientovi e-mail od Meta, který nevěstil nic dobrého: jeho Meta Pixel prý posílal data z domén, které porušují politiky platformy - konkrétně z webů s pornografickým a sexuálně explicitním obsahem. Klient přitom provozuje běžný e-shop bez jakékoliv souvislosti s adult obsahem. Jak je tohle možné a co s tím? Tento článek rozebírá reálný incident, vysvětluje, jak zneužití pixel ID funguje, a ukazuje konkrétní obranu.
Co se stalo
Meta detekovala, že do pixelu klienta přicházejí eventy z několika domén s adult obsahem. Systém tyto domény automaticky zablokoval a poslal notifikaci. V Events Manageru se objevila akce "Review blocked domain(s)" s upozorněním, že data byla odeslána z webů porušujících podmínky - a že 100 % zasažených eventů z těchto domén už nebude použito.
Klíčová věc: klient s těmito weby nemá nic společného. Nikdy na nich nebyl, nevlastní je, neposílá z nich data. Přesto do jeho pixelu přicházely eventy s jeho pixel ID. Jak?
Proč se to stává: pixel ID není tajemství
Odpověď je jednodušší, než by člověk čekal, a leží v samotné podstatě toho, jak Meta Pixel funguje. Pixel ID není žádné tajemství. Je to číslo napevno vložené do zdrojového kódu webu - kdokoliv otevře váš web, klikne na "zobrazit zdroj stránky" nebo se podívá do konzole prohlížeče, vaše pixel ID během vteřiny najde.
A přesně to někdo udělal. Zkopíroval pixel ID z webu klienta a nasadil ho na své vlastní stránky - v tomto případě weby s adult obsahem. Od té chvíle tyto cizí weby posílaly eventy s pixel ID klienta, jako by šlo o jeho vlastní návštěvnost.
Jak vážné to je
Krátkodobě to není katastrofa. Meta problematické domény sama zablokovala a data z nich zahodila - to je z pohledu čistoty dat správný výsledek. Kampaně klienta neběžely na základě otrávených dat, protože Meta je vyřadila.
Dlouhodobě je ale potřeba to brát vážně. Pokud se zneužití opakuje nebo eskaluje, Meta může přistoupit k tvrdším opatřením - od omezení celého pixelu až po restrikci Business Manageru. A obnova napadeného nebo omezeného BM je vždy výrazně náročnější než prevence. Ignorovat notifikaci s tím, že "Meta to vyřešila", je proto krátkozraké.
| Aspekt | Krátkodobý dopad | Riziko při opakování |
|---|---|---|
| Kvalita dat | Data z blokovaných domén vyřazena, kampaně nezasaženy | Opakované znečištění může zkreslit optimalizaci |
| Stav pixelu | Funkční, jen s blokovanými doménami | Možné omezení celého pixelu |
| Business Manager | Bez dopadu | Při eskalaci riziko restrikce celého BM |
Obrana: domain allowlist
Nejúčinnější obranou je allowlist povolených domén - nastavení, které Meta umožňuje přímo v konfiguraci pixelu. Princip je jednoduchý: definujete, ze kterých domén smí pixel přijímat data. Cokoliv, co přijde odjinud, Meta ignoruje.
V Events Manageru najdete v přehledu "Top domain traffic" seznam domén, které do pixelu posílají data, s jejich statusem. Vlastní domény nastavíte jako povolené ("Allowed"), vše ostatní zůstane blokované. Od té chvíle je pixel imunní vůči tomu, aby cizí web posílal data pod vaším pixel ID - i kdyby ho zkopíroval, Meta data odmítne, protože doména není na allowlistu.
Co s tím udělat
- Nastavte domain allowlist - v Events Manageru přejděte do nastavení pixelu a v přehledu Top domain traffic povolte pouze vlastní domény. Vše ostatní nechte blokované. Toto je hlavní obrana proti zneužití pixel ID.
- Zkontrolujte, které domény posílají data - před nastavením allowlistu si projděte seznam domén v Top domain traffic. Ověřte, že rozpoznáváte všechny "Allowed" domény a že mezi nimi nejsou cizí weby.
- Neignorujte notifikace od Meta - i když Meta problém částečně vyřeší sama, opakované zneužití může vést k omezení pixelu nebo BM. Každou notifikaci o blokovaných doménách řešte, ne odkládejte.
- Nastavte allowlist preventivně, ne až po incidentu - zneužití pixel ID se může stát komukoliv, protože pixel ID je veřejně viditelné. Allowlist nastavte na všech klientských pixelech jako standard, ne až jako reakci na problém.
- Zvažte doménovou verifikaci a serverové řešení - kombinace ověřené domény, Conversions API a allowlistu dává nejvyšší kontrolu nad tím, jaká data do pixelu vstupují. U větších účtů se to vyplatí nastavit důkladně.
- Zařaďte kontrolu do pravidelného auditu - jednou za čas projděte Top domain traffic u klíčových účtů. Nové cizí domény odhalíte dřív, než z nich vznikne problém.
Závěr: Zneužití pixel ID je důsledek toho, že pixel ID je z principu veřejné - je vidět v kódu každého webu. Nedá se to skrýt, ale dá se to ošetřit. Domain allowlist je jednoduchá, účinná obrana, kterou by měl mít nastavenou každý pixel, ne jen ten, který už byl napaden. V bezpečnosti platí dvojnásob: prevence je levnější než náprava.