Cloudflare 静默注入分析脚本引发隐私争议
一位 HackerNews 用户近日爆料称，当他将域名服务器切换到 Cloudflare 以启用 R2 存储桶自定义域名服务时，Cloudflare 在未经明确同意的情况下，自动向其纯 HTML 静态网站注入了 JavaScript 分析脚本。这一发现迅速在开发者社区引发广泛讨论，许多用户对 Cloudflare 这种默认开启分析功能的做法表达了强烈不满。
事件经过：从免费服务到隐私隐患
这位用户运营着一个名为 textlog.cc 的纯 HTML 网站，其页面完全不包含 JavaScript。当他将域名服务器切换到 Cloudflare 后，发现自己的网站被自动注入了 Cloudflare 的分析脚本。更令人担忧的是，这个分析功能是默认开启的——用户需要主动进入 Cloudflare 控制面板，在 Analytics 仪表盘中找到并手动禁用该功能，才能停止脚本注入。
换句话说，Cloudflare 将分析功能设为了 opt-out 而非 opt-in 机制。对于注重隐私的站长来说，这种默认行为意味着他们的网站访问者在不知情的情况下被跟踪。Cloudflare 作为全球最大的 CDN 和网络安全服务商之一，每天处理着全球约 20% 的互联网流量，其任何默认设置的变化都会对数亿互联网用户产生直接影响。
用户指出，问题的严重性在于 Cloudflare 没有在切换域名服务器的过程中给出任何提示或确认。当用户为了启用 R2 存储桶的自定义域名功能而切换 DNS 服务时，他们并没有被告知这一操作会导致分析脚本被自动注入。这种信息不对称使得用户很难做出知情的决定。
行业影响与隐私讨论
这一事件再次引发了关于云服务商默认设置和用户隐私保护的讨论。在 GDPR 和 CCPA 等隐私法规日益严格的背景下，云服务商是否应该默认开启分析功能是一个值得深思的问题。Cloudflare 此前一直以注重隐私和安全著称，提供如 Tor 隐私网络集成和加密 DNS 解析等服务，但这次事件可能对其声誉造成一定影响。
从技术角度看，Cloudflare 的分析脚本注入方式也值得关注。它通常通过 Cloudflare 的边缘计算平台 Workers 或通过修改 HTTP 响应来实现，这意味着即使网站本身没有修改任何代码，分析脚本也会被注入到最终用户的浏览器中。这种机制虽然效率高，但也引发了关于中间人修改内容的问题。
对于开发者来说，这一事件提醒他们在使用云服务时需要对默认设置保持警惕。许多云服务商默认开启的功能可能并不符合用户的隐私预期。建议站长在切换域名服务器或启用新服务后，仔细检查 Cloudflare 控制面板中的各项设置，确保了解所有默认启用的功能。同时，用户也可以考虑使用自托管分析工具如 Plausible 或 Umami 作为替代方案，这些工具更加注重隐私保护。