← Grįžti į blogą

Lietuvos svetainių privatumas ir apsauga 2026: ką parodė 193 522 svetainės

Atakos vektorius automatizuota naršykle aplankė 211 474 .lt domenus ir išanalizavo 193 522 veikiančių svetainių titulinius puslapius. Žiūrėjome į tris dalykus: ar svetainė seka lankytoją dar iki sutikimo, ar ji siunčia bazines saugumo antraštes ir ar ją saugo koks nors WAF, CDN ar apsaugos nuo botų sluoksnis.

Kodėl dar vienas tyrimas?

2026 m. vasarą „EcomWall“ ir advokatų profesinė bendrija „Constat“ paskelbė iki šiol išsamiausią .lt svetainių BDAR ir e. privatumo atitikties tyrimą: 104 033 svetainės, sutikimo juostų, privatumo politikų ir teisinis vertinimas. Jų išvada, kad bent vieną neatitikties požymį turi 96 % svetainių, o sekimas iki sutikimo užfiksuotas 53,9 % svetainių, plačiai nuskambėjo žiniasklaidoje. Rekomenduojame su ja susipažinti.

Mūsų tyrimas jį papildo, o ne kartoja:

• Didesnė imtis. 193 522 veikiančios svetainės, beveik dvigubai daugiau.
• Nepriklausomas matavimas kitu metodu. Skaičiuojame tik atpažintus slapukus, todėl mūsų rezultatas yra apatinė riba (plačiau žr. metodiką). Du skirtingi matavimai rodo tą pačią kryptį.
• Saugumo pjūvis. Be slapukų, analizavome saugumo antraštes, programinės įrangos versijų atskleidimą ir tai, kas iš tikrųjų stovi priešais lietuviškas svetaines: Cloudflare, F5 BIG-IP, Akamai ar niekas.

Metodika ir imtis

Kiekvieną domeną aplankė automatizuota Firefox naršyklė iš Lietuvos IP adreso, 2026 m. balandžio 19 d.–gegužės 20 d. Naršyklė atidarė titulinį puslapį (pirmiausia per https://, nepavykus per http://), palaukė, kol puslapis užsikraus (load įvykis), ir užfiksavo visus naršyklėje esančius slapukus (pirmosios ir trečiųjų šalių) bei pirmojo HTML atsakymo antraštes. Niekas nebuvo paspausta: jokio sutikimo, jokio slinkimo. Prieš kiekvieną domeną slapukai buvo išvalomi, kad būtų imituojamas pirmą kartą apsilankantis žmogus.

Slapukų klasifikavimas. Slapukų pavadinimus priskyrėme kategorijoms pagal atvirą „Open Cookie Database“ ir nedidelį papildomą sąrašą dažnų sekiklių, kurių ten trūksta (pvz., Amplitude, Omnisend, Microsoft Clarity, „Jetpack“ analitika). „Sekikliu“ laikome analitikos arba rinkodaros slapuką. Būtinieji ir funkciniai slapukai (sesija, kalba, krepšelis) į šį skaičių neįeina.

1. Kas ketvirta svetainė seka lankytoją dar iki sutikimo

Elektroninių ryšių įstatymo 73 str. 4 d. (e. privatumo direktyvos 5 str. 3 d.) principas paprastas: nebūtinus slapukus galima įrašyti tik gavus sutikimą. Vis dėlto 50 470 svetainių (26,1 %) įrašė analitikos ar rinkodaros slapukus pirmo apsilankymo metu, lankytojui dar nieko nepaspaudus. Įskaičiavus „WooCommerce“ užsakymų atribucijos slapukus, kurie seka srauto šaltinį, bet kurių vertinimas ginčytinas, dalis siekia 28,4 %.

Analitikos slapukai rasti 25,7 % svetainių, rinkodaros (reklamos) slapukai 10,3 %. Bent vienas bet koks slapukas rastas 44,7 % svetainių.

Dažniausi sekikliai iki sutikimo

Svetainių dalis, % (iš 193 522). Skalė 0–100 %.

• Google Analytics20,0 %
• Meta (Facebook) Pixel6,5 %
• WooCommerce atribucija*5,6 %
• Google Ads / DoubleClick4,5 %
• Amplitude1,7 %
• Omnisend1,3 %
• Hotjar1,0 %
• Jetpack / WooCommerce analitika0,9 %
• PixelYourSite0,6 %
• Yandex Metrica0,3 %
• TikTok0,2 %

* „WooCommerce“ užsakymų atribucija (sbjs_* slapukai) nuo 8.5 versijos įjungta pagal nutylėjimą; į pagrindinį 26,1 % rodiklį neįskaičiuota. Viena svetainė gali turėti kelis sekiklius.

Sutikimo juosta įdiegta, bet sekikliai jos nelaukia

Labiausiai nustebino šis radinys. 9 902 svetainėse (5,1 %) radome sutikimo platformos slapuką (CookieYes, CookieScript, OneTrust, Complianz, Cookiebot ir kt.), vadinasi, juosta įdiegta. Tačiau 59,8 % iš jų sekiklius jau buvo paleidusios, kai lankytojas juostos dar nė nepalietė. Tarp svetainių be tokio slapuko ši dalis yra 26,7 %.

Sekikliai iki sutikimo pagal tai, ar rastas sutikimo platformos slapukas

Svetainių dalis grupėje, %. Skalė 0–100 %.

• Rastas sutikimo platformos slapukas59,8 %
• Nerastas26,7 %

Dalis juostų slapuką įrašo tik po lankytojo pasirinkimo, todėl „nerastas“ nereiškia, kad juostos nėra. Skirtumas rodo, kad vien įdiegti juostą nepakanka: sekiklius reikia užblokuoti iki sutikimo.

Tikėtina priežastis: juosta pridedama prie svetainės, o analitikos ir reklamos kodai lieka įklijuoti tiesiai į puslapio šabloną arba „Google Tag Manager“ be sutikimo sąlygų. Juosta tada yra tik dekoracija.

2. Sekimas, kuris niekam nebetarnauja

„Google“ standartinių „Universal Analytics“ nuosavybių duomenis nustojo apdoroti 2023 m. liepos 1 d., o „360“ versijos 2024 m. liepos 1 d. Vis dėlto 10 690 svetainių (5,5 %) 2026 m. vis dar įrašo „Universal Analytics“ slapukus, o 3 162 (1,6 %) neturi jokios naujesnės GA4 žymos. Lankytojų duomenys keliauja „Google“, bet svetainės savininkas ataskaitų nebegauna: privatumo kaina mokama be jokios naudos.

3. Parkuoti domenai, kurie seka už savininką

5 698 .lt domenai rodė ne svetainę, o vieno didelio prieglobos paslaugų tiekėjo numatytąjį puslapį. Jame užkraunama paties tiekėjo „Google Analytics“ žyma: lankytojas, užėjęs į ką tik užregistruotą ar dar neparengtą domeną, sekamas be jokio sutikimo, nors domeno savininkas apie tai gali net nežinoti. Šiuos domenus iš pagrindinių skaičių atmetėme, nes tai ne tikros svetainės, tačiau pats reiškinys vertas dėmesio: domeno savininkas atsakingas ir už tai, ką rodo jo „tuščias“ domenas.

4. Saugumo antraštės: 7 iš 10 svetainių neturi nė vienos

HTTP saugumo antraštės yra pigiausia apsauga, kurią svetainė gali įjungti: kelios eilutės serverio konfigūracijoje padeda apsisaugoti nuo spustelėjimų užgrobimo (clickjacking), XSS atakų poveikio, srauto perėmimo per HTTP ir duomenų nutekėjimo per „Referer“. Vertinome šešias antraštes, kurias rekomenduoja OWASP Secure Headers projektas.

Kiek iš šešių saugumo antraščių siunčia svetainė

Svetainių dalis, % (iš 183 258). Skalė 0–100 %.

• 0 antraščių69,3 %
• 116,1 %
• 25,0 %
• 35,5 %
• 42,8 %
• 50,9 %
• Visos 60,5 %

Antraštės: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy.

Kiekvienos antraštės paplitimas

Svetainių dalis, % (iš 183 258). Skalė 0–100 %.

• Content-Security-Policy18,4 %
• X-Content-Type-Options14,4 %
• Strict-Transport-Security12,5 %
• X-Frame-Options8,1 %
• Referrer-Policy4,2 %
• Permissions-Policy3,6 %

Net ir ten, kur antraštė yra, ji ne visada veikia taip, kaip turėtų:

• CSP: 20,2 % CSP turinčių svetainių politika susideda tik iš frame-ancestors (saugo nuo įrėminimo, bet ne nuo XSS), 7,5 % leidžia 'unsafe-inline', 4,3 % leidžia 'unsafe-eval'.
• HSTS: 73,4 % nustato bent metų galiojimą, 50,1 % apima subdomenus, 39,7 % paruošta preload sąrašui; 1,2 % siunčia max-age=0, t. y. HSTS faktiškai išjungia.
• Pasenusios antraštės: 10,2 % svetainių vis dar siunčia X-XSS-Protection, kurios šiuolaikinės naršyklės nebepalaiko, ir ji pasitaiko dažniau nei Referrer-Policy ir Permissions-Policy kartu sudėjus.

5. Kas saugo lietuviškas svetaines?

WAF (žiniatinklio programų ugniasienė), CDN ir apsaugos nuo DDoS bei botų paslaugos palieka pėdsakus. Cloudflare atsakymuose matyti Server: cloudflare ir CF-RAY antraštės, o apsaugos nuo botų slapukas __cf_bm. F5 BIG-IP paprastai slepia save antraštėse, bet išsiduoda slapukais TS… (pvz., TS01a2b3c4) ir BIGipServer…. Akamai turi _abck ir bm_sz, Imperva incap_ses_…, DataDome slapuką datadome.

Specializuotą apsaugos sluoksnį pagal svetainės antraštes matėme tik 13,8 % svetainių (25 377). Įskaičiavus ir tiekėjų slapukus, dalis siekia 15,4 %. Taigi maždaug 85 % .lt svetainių internete stovi be jokio matomo WAF ar anti-DDoS sluoksnio, o aktyvi apsauga nuo botų (Cloudflare su __cf_bm arba cf_clearance) patvirtinta vos 1,3 % svetainių.

Antraštės paimtos iš pačios svetainės atsakymo, todėl jos yra patikimiausias įrodymas. Slapukai fiksuoti visoje naršyklėje, todėl dalis jų gali kilti iš įterptų trečiųjų šalių valdiklių, o ne iš pačios svetainės apsaugos. Prieglobos ir platformų kraštiniai tinklai (Wix, Vercel, Netlify, prieglobos tiekėjų CDN) į specializuotos apsaugos dalį neįskaičiuoti.

Apsaugotos svetainės prižiūrimos geriau, bet seka dažniau

Svetainės už WAF ar CDN turi beveik keturis kartus daugiau saugumo antraščių (dalį jų prideda pats CDN). Tačiau sekiklius iki sutikimo jos paleidžia dažniau. Profesionaliau prižiūrimos svetainės aktyviau naudoja analitiką ir reklamą, o techninė branda dar nereiškia privatumo brandos.

* Įskaitant „WooCommerce“ atribucijos slapukus.

6. Ką svetainės išduoda apie save

Antraštės Server ir X-Powered-By dažnai pasako tikslią programinės įrangos versiją. Užpuolikui tai sutaupo žvalgybos laiko: užtenka susirasti tos versijos žinomus pažeidžiamumus. Tikslią serverio versiją (pvz., nginx/1.18.0 (Ubuntu)) skelbia 10,0 % svetainių, X-Powered-By antraštę siunčia 15,0 %, o PHP versiją atskleidžia 10,6 % (19 343) svetainių.

Tarp jų 44,9 % (8 694 svetainės) veikia su PHP versija, kuriai jau nebeteikiami saugumo atnaujinimai, iš jų beveik 800 su PHP 5.x, kurio palaikymas baigėsi prieš daugiau nei septynerius metus. Atkreipkite dėmesį: PHP 8.2 saugumo palaikymas baigiasi 2026 m. gruodžio 31 d., taigi dar 6 557 svetainės netrukus papildys šį sąrašą.

Atskleistos PHP versijos

Svetainių skaičius (12 dažniausių versijų). Skalė iki didžiausios reikšmės.

Palaikoma (2026-04)Nebepalaikoma (EOL)

• 8.4511
• 8.33 487
• 8.2 (iki 2026-12-31)6 557
• 8.1 · EOL2 621
• 8.0 · EOL834
• 7.4 · EOL3 095
• 7.3 · EOL332
• 7.2 · EOL500
• 7.0 · EOL174
• 5.6 · EOL404
• 5.4 · EOL219
• 5.3 · EOL166

Palaikymo terminai pagal php.net. Matome tik svetaines, kurios PHP versiją atskleidžia patys; tikrasis senų versijų paplitimas greičiausiai didesnis.

Ką daryti svetainės savininkui

Patikrinkite save per dvi minutes

1. Atidarykite savo svetainę privačiame (inkognito) naršyklės lange ir nespauskite sutikimo juostos.
2. Atverkite kūrėjo įrankius (F12) → Application (Chrome) arba Storage (Firefox) → Cookies. Jei matote _ga, _fbp, _gcl_au ar panašius slapukus, sekikliai paleidžiami be sutikimo.
3. Terminale paleiskite curl -I https://jusu-svetaine.lt ir patikrinkite, ar atsakyme yra šešios aukščiau išvardintos saugumo antraštės ir ar nėra tikslių versijų Server bei X-Powered-By antraštėse.

Privatumas

• Analitikos ir reklamos žymas paleiskite tik po sutikimo: blokuokite jas sutikimo platformoje arba „Google Tag Manager“ taisyklėmis („Consent Mode“). Juostos įdiegimas be blokavimo problemos neišsprendžia.
• Pašalinkite „Universal Analytics“ kodą (UA-…, ga.js, analytics.js): jis nebeveikia, bet vis dar seka.
• Patikrinkite, ką rodo jūsų neaktyvūs ar „parkuoti“ domenai.
• Kaip analitiką galima vykdyti serverio pusėje ir gerbti sutikimą, aprašėme straipsnyje „Cloudflare Zaraz ar Worker GA4“.

Saugumas

• Įjunkite šešias saugumo antraštes. Daugumai svetainių tinka toks pradinis rinkinys (CSP pritaikykite savo svetainės ištekliams):

Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'self'
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()

• Paslėpkite versijas: expose_php = Off (PHP), server_tokens off; (nginx), ServerTokens Prod (Apache).
• Atnaujinkite PHP bent iki 8.3. Jei svetainė veikia su 8.2, planuokite atnaujinimą dar šiais metais.
• Pastatykite svetainę už WAF ar CDN. Net nemokamas Cloudflare planas suteikia bazinę apsaugą nuo DDoS ir botų bei leidžia pridėti saugumo antraštes be serverio pakeitimų. Kaip tai padaryti, aprašėme straipsnyje „Cloudflare WAF nemokamame plane“.

Antraštės ir WAF yra pirmasis sluoksnis, o ne visa apsauga. Ar jūsų svetainėje nėra realių pažeidžiamumų, parodo tik testavimas: įsilaužimo testavimas, WAF konfigūravimo konsultacijos arba nemokamas DAST skenavimas.

Išvados

Lietuviškų svetainių problema nėra sudėtingos atakos. Ji prasideda nuo bazinių dalykų: kas ketvirta svetainė seka lankytojus dar iki sutikimo, net trys iš penkių svetainių su įdiegta sutikimo juosta jos nelaukia, septynios iš dešimties neturi nė vienos saugumo antraštės, o apie 85 % neturi jokio matomo WAF ar anti-DDoS sluoksnio. Beveik pusė savo PHP versiją atskleidžiančių svetainių veikia su nebepalaikoma versija.

Gera žinia ta, kad dauguma šių problemų sprendžiamos per valandas, o ne mėnesius: tinkamai sukonfigūruota sutikimo platforma, kelios serverio konfigūracijos eilutės ir nemokamas CDN sluoksnis. Tai pigiausios saugumo ir privatumo investicijos, kokias galima padaryti.

Šaltiniai

1. „Auditas: 96 proc. lietuviškų svetainių turi BDAR ar privatumo spragų“ (EcomWall ir „Constat“ tyrimas) — LRT
2. Open Cookie Database — GitHub
3. OWASP Secure Headers Project
4. „Universal Analytics is going away“ — Google Analytics pagalba
5. Supported Versions — PHP.net
6. „Atakos vektorius“ matavimas, 2026 m. balandžio 19 d.–gegužės 20 d. (211 474 .lt domenai, Firefox, Lietuvos IP). Apibendrinti duomenys ir analizės metodika pateikiami pagal užklausą.