Google Fonts и reCAPTCHA: почему это передача данных за границу

Что именно уходит за границу

При загрузке файла с чужого домена браузер отправляет IP-адрес, версию браузера и адрес страницы, с которой пришёл запрос. Для шрифтов, скриптов аналитики, встроенных видео и капчи это происходит на каждой загрузке страницы и до всякого согласия посетителя.

Честно о рисках

Отдельного штрафа «за Google Fonts» в КоАП нет. Есть обязанность уведомить регулятора о трансграничной передаче до её начала и общая ответственность за обработку данных в случаях, не предусмотренных законом. С 2024 года регулятор выделяет трансграничку в самостоятельный эпизод при проверках — то есть риск реальный, но сумма зависит от квалификации, а не от прайс-листа. Соседнее требование — где физически хранятся сами заявки.

Чем заменить

Шрифты — положить к себе и подключить через @font-face. reCAPTCHA — заменить на Yandex SmartCaptcha. Встроенное видео — на VK Видео или Rutube. Отдельно стоит посмотреть на вход через иностранные сервисы — там та же логика. Замены бесплатны и обычно занимают полдня. Этот сайт сделан ровно так: он проходит собственную проверку, иначе продавать её было бы нечестно.

Как найти такие запросы за минуту

Откройте сайт, нажмите F12, вкладка Network, обновите страницу. В списке запросов ищите чужие домены: fonts.googleapis.com, fonts.gstatic.com, google.com/recaptcha, youtube.com, connect.facebook.net. Каждая такая строка — обращение браузера посетителя к зарубежному серверу, произошедшее до всякого согласия. Тот же механизм разобран в статье про счётчики, срабатывающие до согласия.

Как перенести шрифт к себе

Скачайте файлы шрифта, положите их в свой проект и подключите через @font-face. Это работает быстрее, чем загрузка с чужого сервера, и не зависит от его доступности. Единственное, что стоит проверить, — лицензию шрифта: у большинства открытых шрифтов самостоятельное размещение разрешено прямо в условиях.

@font-face {
  font-family: 'Onest';
  src: url('/fonts/onest-400.woff2') format('woff2');
  font-weight: 400;
  font-display: swap;
}

Где проходит граница «внешнего ресурса»

Убирать надо не всё чужое, а то, к чему браузер посетителя обращается САМ при загрузке страницы. Ссылка на карту, которую человек открывает по клику в новой вкладке, — его собственный переход, и к нам он отношения не имеет. Встроенная карта, грузящаяся вместе со страницей, — уже наш запрос за границу, сделанный без его ведома. Та же граница у видео: превью-картинка на своём сервере и подгрузка проигрывателя по клику ведут себя иначе, чем встроенный плеер, обращающийся к чужому домену при каждом открытии страницы.