Проблема API-ключей, которые никогда не истекают
Ключ, выданный много лет назад, ни разу не заменённый и до сих пор действующий, это не удобство. Это риск, на который никто не смотрел уже много лет.
Почему конфиденциальность по умолчанию должна быть нормой, а не преимуществом для продаж
Приватность чаще продвигают как функцию, чем делают её поведением по умолчанию. Продукт добавляет переключатель «режим приватности» или платный тариф, отключающий определённые виды отслеживания, и называет это преимуществом. Такая подача выдаёт устройство продукта: если приватность можно включить, значит, продукт поставлялся без неё для всех, кто не стал искать этот переключатель.
Мы не запускаем скрипты отслеживания ни для посетителей нашего собственного сайта, ни для сайтов и приложений, которые вызывают наш API, и не продаём аналитику о посетителях, собранную через наш сервис. IP-геолокация выполняется на стороне сервера как часть ответа на тот запрос, который вы действительно сделали, а не как побочный канал, собирающий поведенческие данные о человеке на другом конце этого IP-адреса. Переключателя для этого нет, потому что выключать нечего. Этого изначально никогда не было.
В данных о местоположении это различие важнее, чем в большинстве других видов API, потому что IP-адрес или поиск адреса по своей природе являются персональной информацией. По ним можно определить город человека, а иногда и район. Провайдер, который получает эту информацию как побочный эффект проверки на мошенничество или расчёта доставки, а затем ещё и сохраняет её, чтобы создать аналитический продукт для продажи кому-то другому, втихую превратил трафик каждого клиента во второй источник дохода, на который этот клиент никогда не соглашался.
Регуляторные рамки, такие как GDPR, существуют отчасти потому, что эта практика стала достаточно распространённой, чтобы потребовать ответа на уровне закона. Но мы не считаем, что правильный ответ на вопрос о приватности звучит как «что формально требует регулирование». Регулирование задаёт нижнюю планку. Строить продукт по нижней планке, потому что это минимум, который сойдёт с рук, это иная позиция, чем изначально обходиться без отслеживания, потому что вы решили, что его не должно быть в вашей системе, что бы ни требовала нижняя планка.
Здесь есть и практический аргумент, а не только принципиальный. У компании, которая выполняет IP-геолокацию на стороне сервера, без клиентского скрипта, отправляющего данные третьей стороне, система проще для понимания и меньше поверхность, на которой что-то может пойти не так. Чем меньше мест, через которые проходят данные, тем меньше мест, откуда они могут утечь, быть похищены или позже перепрофилированы тем, кто в итоге станет владельцем этого конвейера данных.
Мы не ставим себе в заслугу сдержанность, которую считали бы трудной. Не продавать данные, собранные как побочный продукт платного сервиса, не сложная инженерная задача. Это бизнес-решение, и его принимает каждый API местоположения, говорит он об этом на странице цен или нет. Наше решение простое: запрос, за который вы платите, и есть продукт. У данных, стоящих за ним, нет второй жизни, о которой мы бы вам не сказали.