Насколько безопасен iframe с одного домена?

Question

[WalkinDed]

Доброго времени суток!.
Такой вопрос. Мне нужно подключить счетчик Google Аналитика ( подключается он через tag manager ) на некоторые страницы, чтобы отправить js объект с данными, но сделать этого не могу, т.к. помимо моих кастомных данных аналитика будет собирать и другие данные, а у меня на этих страницах приватные данные пользователей.
Придумал решение подключить на этих страницах iframe, а внутри iframe-a уже подключить аналитику, и в этот iframe передать только нужные данные с главного окна.
Делаю следующим образом
js код в главном окне
var data = {
'event': '***',
'eventCategory': '****',
'eventAction': '****г'
};
var iframe = window.frames.test;
iframe.onload = function () {
iframe.postMessage(data);
};
Код в iframe:
function listener (event) {
dataLayer.push(event.data);
}
window.addEventListener("message", listener);

Насколько безопасен такой метод? Если допустим, вместо кода google analytics, который подключается в iframe, будет вредоносный js, сможет ли он дотянуться до данных главного окна? Если да, как можно запретить это дело?
Спасибо.

Answer 1

[nvdfxx]

из iframe никак нельзя обратиться к родительскому окну, вопрос в другом, если там у вас настолько важные сведения, гугл аналитика - ваша меньшая из проблем. Ее можно отключать просто на страницах с конфиденциальной информацией, вряд ли там для аналитики что-либо важное на этих страницах

Comments

[WalkinDed]

Отключать можно, что сейчас и сделано. Но на этих страницах нужно анализировать поведение пользователя, а без счетчика это никак не сделать. И еще момент что с фрейма, если он с того же домена можно менять элементы родительского окна через window.parent.document.