La mayoría de los clubes descubre la extracción de datos de la misma manera: la dirección de la secretaría, que existe en un único lugar de internet, empieza a recibir spam muy específico.
Ofertas de proveedores de uniformes. Propuestas para hacerte el sitio web que ya tienes. A veces algo peor: un mensaje que nombra a tu club, a tu presidente y a tu banco, y le pide a la tesorería que cambie unos datos de pago.
Nada de eso requiere un hackeo. Requiere un programa que lee tus páginas públicas y anota lo que encuentra, algo que le pasa a todo sitio web con una dirección, todo el tiempo, y que no vas a poder frenar.
Esta guía trata de la parte del problema sobre la que sí puedes hacer algo. Empieza por el límite honesto, porque todos los consejos que siguen se desprenden de él.
Qué es realmente la extracción de datos
La extracción de datos (en inglés, scraping) es la copia automatizada de páginas que ya son públicas. Un programa pide tus páginas igual que lo hace el navegador de un visitante, lee el texto y las imágenes que recibe y guarda lo que le indicaron buscar: direcciones de correo, nombres, teléfonos, precios, fechas, fotos.
Conviene dejar claro que esto no es una intrusión. No se esquiva nada. Un extractor ve exactamente lo que ve un visitante anónimo, y nada que un visitante no pueda ver. Eso es a la vez tranquilizador y todo el problema: el límite de lo que se puede extraer es el límite de lo que publicaste.
Mucha extracción es completamente inofensiva y dependes de ella. Los buscadores son extractores. También lo es el servicio que genera la vista previa del enlace cuando alguien comparte tu página de partidos en un chat grupal. La diferencia que importa no es automatizado frente a humano: es qué hace quien recolecta con lo que se lleva.
Por qué se recolectan datos justamente de los sitios de clubes
Los sitios de clubes comunitarios resultan especialmente atractivos para quienes recolectan datos, por razones que no tienen nada que ver con que tu club sea importante.
- Correos de la comisión directiva en texto plano. Una página que muestra a la presidencia, la secretaría y la tesorería con sus direcciones es una lista de contactos lista para ventas en frío, y una lista de objetivos lista para el tipo de fraude en el que alguien se hace pasar por un integrante de la comisión ante la tesorería.
- Nombres reales asociados a cargos reales. Suficiente para un acercamiento convincente. "Hola, soy el presidente, estoy en la cancha y no tengo computadora a mano" es una estafa mucho mejor cuando quien la envía conoce los dos nombres.
- Listas de equipos infantiles. Nombres, categorías, horarios de entrenamiento y una sede. Esta es la categoría que debería incomodar de verdad a una comisión directiva, y muchas veces se publica sin que nadie lo haya decidido.
- Contactos de patrocinadores y proveedores, recolectados por gente que vende en el mismo mercado.
- Datos de sedes, partidos y eventos, recopilados por sitios agregadores que vuelven a publicar la agenda deportiva local, a veces con tus fotos.
- Fotografías, tomadas por granjas de contenido y para reutilizarlas como imágenes de archivo, a veces con el epígrafe que nombra al niño de la foto.
- Texto para entrenamiento y reutilización, recopilado por rastreadores a gran escala que reúnen textos publicados en volumen.
Fíjate en cuánto de esa lista son datos de personas y no datos del club. Nadie extrae la lista de precios de tu cantina para hacerte daño.
El límite honesto
Esta es la parte que la mayoría de los consejos evita decir con claridad.
No puedes impedir la copia masiva de una página pública sin impedir también que los buscadores la lean. Son la misma solicitud. Una herramienta que bloquea de forma confiable al recolector también bloquea al rastreador que te pone en la página de resultados cuando una familia busca inscripciones infantiles. Sea cual sea la protección que agregues, alguien decidido puede visitar tu sitio con un navegador común, parecer una persona y llevarse todo.
Eso significa que "frenar la extracción de datos" no es un objetivo alcanzable, y cualquier producto que lo prometa está exagerando. Los dos objetivos que sí son alcanzables:
- Reducir el valor de lo que se puede llevar, publicando menos información personal desde el principio.
- Darte cuenta cuando hubo una recolección, para poder actuar sobre las consecuencias en lugar de que te tomen por sorpresa.
Todo lo que sigue apunta a uno de esos dos.
Publica menos sobre las personas
De esto se trata todo, y no cuesta nada más que una decisión.
Nombres, sobre todo los de los chicos
Pregúntate por cada nombre publicado: ¿lo necesita un desconocido? El epígrafe de una foto de equipo que nombra a cada jugador sub-11, una tabla de resultados con nombres completos, una publicación de "demos la bienvenida a los nuevos socios infantiles": cada uno es una decisión, y casi nunca se tomó de forma deliberada.
Criterios razonables a los que llegan muchos clubes: nombre e inicial para los chicos, nada de apellidos junto a horarios de entrenamiento y sedes, ninguna fecha de nacimiento y fotos publicadas según una política de imagen y consentimiento que las familias hayan visto de verdad. Nada de esto le impide a una familia encontrar el equipo de su hijo. Todo esto elimina lo que busca un recolector.
Direcciones de contacto
Publica direcciones por cargo, no personales. secretary@yourclub.org se puede reasignar en el traspaso, filtrar cuando atrae spam y abandonar sin afectar el correo personal de nadie. La dirección privada de un voluntario, una vez recolectada, lo sigue durante años después de dejar la comisión directiva. Nuestra guía sobre direcciones de correo del club explica cómo configurarlas.
Mejor todavía, pon un formulario de contacto delante de la dirección, así no se publica nada. Un formulario no es a prueba de extractores (nada lo es), pero no hay ninguna dirección en la página para recolectar.
Todo lo que no necesita ser público
Los directorios de socios, las listas de contactos, las actas de reuniones con datos personales, la información médica o de emergencia y el estado de los pagos deben estar detrás de un inicio de sesión. El contenido detrás de una autenticación queda realmente fuera del alcance de la extracción común, y es el único control técnico que de verdad funciona. Funciona justamente porque deja de ser una publicación.
Qué hacen realmente las medidas técnicas
Mira cada una con realismo, porque se las suele sobrevalorar.
robots.txt. Un pedido cortés, no un control. Los rastreadores que se portan bien lo respetan, incluidos varios de los grandes recopiladores, que publican los nombres de sus rastreadores para que puedas excluirlos. Los recolectores lo ignoran por completo. Sirve para manejar a los rastreadores que cooperan; no vale nada como protección frente a los que no. Además es público, así que nunca pongas rutas "secretas" en él.- Ocultar las direcciones de correo. Partir una dirección o mostrarla como imagen derrota a los recolectores más rudimentarios y a nadie más. También hace que la dirección sea más difícil de usar para la gente de la que sí quieres saber, incluida cualquier persona que use un lector de pantalla. Usa una dirección por cargo o un formulario.
- Bloquear el clic derecho o desactivar la selección de texto. Puro teatro. Molesta a los socios y no frena a ningún programa.
- Límites de solicitudes y filtrado de bots. Encarecen de verdad un rastreo masivo rápido y vale la pena tenerlos si tu plataforma los ofrece. Un recolector paciente que reparte las solicitudes a lo largo de varios días pasa de largo.
- Términos de uso que prohíben la extracción. No tienen ningún efecto técnico, pero vale la pena publicarlos: dejan establecido que la copia no está autorizada, lo que importa si alguna vez necesitas presentar un reclamo.
- Marcas de agua en las fotos. No impiden la copia. Sí hacen que una copia se pueda rastrear, y a veces eso es todo lo que necesitas.
Cómo saber si está pasando
Rara vez vas a atrapar a un extractor en el acto. Lo que atrapas son las consecuencias.
- Planta una dirección trampa. Crea un alias de correo único que se use en un solo lugar (una página de tu sitio público) y en ningún otro. Si empieza a llegarle correo, sabes exactamente de dónde sacó la dirección quien lo envía. Es lo más revelador de esta lista y lleva cinco minutos.
- Busca tus propias frases. Toma una línea característica de una página poco común y búscala entre comillas. Las copias republicadas de contenido de clubes aparecen con sorprendente frecuencia.
- Haz una búsqueda inversa de una foto del club, sobre todo de una que se haya compartido mucho.
- Lee tus reportes de tráfico buscando la forma, no el volumen. Los rastreos masivos se ven raros: cientos de páginas en pocos minutos, ninguna imagen cargada, una hora extraña, un solo origen, un patrón de visitas que ninguna persona produciría.
- Fíjate en lo que llega a las direcciones por cargo. Que la dirección que solo aparece en tu página de la comisión directiva empiece de pronto a recibir correo de ventas del sector te dice que esa página fue recolectada.
- Pregunta a los socios. La gente nota su propio nombre en lugares raros mucho antes que la comisión directiva.
Cuando encuentras tu contenido en otro lugar
Separa los dos casos, porque piden acciones distintas.
Tu contenido, republicado. Molesto y a veces perjudicial para tu posición en los buscadores. Pídele al sitio que lo quite y, si no lo hace, reclama ante quien lo aloja; los buscadores también aceptan denuncias por material copiado. Guarda un registro con fecha de lo que encontraste.
La información personal de tus socios, republicada. Esto no es una disputa por contenido: es un tema de privacidad, y hay que tomarlo en serio en lugar de encogerse de hombros. Escribe una solicitud de eliminación que indique la información concreta, guarda el registro y ten en cuenta que la ley de privacidad del lugar donde opera tu club puede darles a las personas afectadas derechos que puedes ayudarlas a ejercer. Si hay información de menores, avisa a las familias antes de que la encuentren ellas mismas y pide orientación a tu organismo rector.
Intentos de fraude. Si una lista de la comisión directiva recolectada se está usando para hacerse pasar por tus autoridades, avisa de inmediato a la comisión, establece la regla de que cualquier cambio de datos de pago se confirma siempre por teléfono y denúncialo ante la autoridad correspondiente de tu zona.
Diles a tus socios qué va a ser público
Esta es la obligación que sobrevive a la discusión técnica. La gente le da sus datos a un club para ser socia, no para que la publiquen. Di con claridad, en el formulario de alta y en tu política de privacidad, qué aparece en público (nombres en las listas de equipos, fotos, resultados) y ofrece una forma sencilla de pedir que algo no se publique. Un club que puede responder "¿por qué el nombre de mi hijo está en internet?" con una política que la familia ya aceptó está en una posición completamente distinta de uno que no puede.
Cómo hacerlo en ClubHelix
Los controles útiles son los aburridos. Las fichas de los socios están detrás de una autenticación y no en una página, los roles y permisos deciden qué voluntarios pueden ver datos personales, el directorio de socios puede ser solo para socios o público como decisión deliberada y no por defecto, el contacto pasa por un formulario en lugar de una dirección publicada y el registro de auditoría guarda quién cambió qué. Las conversaciones entre socios ocurren en el chat de socios y no en páginas públicas.
Lo que no vamos a afirmar: ninguna plataforma puede impedir que se copien tus páginas públicas, tampoco la nuestra. Lo que una plataforma sí puede hacer es que lo privado sea realmente privado por defecto, para que lo que se copie sean tus partidos y tus noticias y no tus personas.
Si quieres ayuda para revisar qué publica sobre los socios tu sitio actual, nuestro servicio llave en mano incluye esa revisión como parte de una migración. Si no, empieza gratis y fija el límite de forma deliberada desde el primer día.
Preguntas frecuentes
¿Podemos bloquear a los extractores de datos en el sitio web de nuestro club?
No de forma confiable, y no sin bloquear también a los buscadores que te traen socios. Todo lo que un visitante puede ver, alguien decidido se lo puede llevar. Da por hecho que impedirlo es imposible y pon el esfuerzo en publicar menos información personal y en detectar la recolección cuando ocurre.
¿robots.txt protege los datos de nuestros socios?
No. Es un pedido que los rastreadores cooperativos respetan y los recolectores ignoran. Sirve para manejar a los rastreadores que se portan bien, incluidos varios grandes recopiladores que publican los nombres de sus rastreadores. No da ninguna protección a nada que te molestaría perder.
¿Deberíamos publicar las direcciones de correo de la comisión directiva?
Publica direcciones por cargo, como secretary@yourclub.org, o un formulario de contacto, en lugar de la dirección personal de cualquier persona. Las direcciones por cargo se pueden reasignar en el traspaso y abandonar si atraen spam; la dirección personal de un voluntario, una vez recolectada, lo sigue mucho después de que se va.
¿Es seguro publicar las listas de los equipos infantiles?
Publica lo mínimo que exija el propósito. Nombre e inicial alcanzan para que una familia encuentre a su hijo, y son mucho menos útiles para cualquier otra persona. Evita publicar nombres completos junto con edades, horarios de entrenamiento y una sede en el mismo lugar, y asegúrate de que las familias sepan de antemano qué aparece.
¿Cómo sabríamos si extrajeron datos de nuestro sitio?
Planta un alias de correo único en una página pública y en ningún otro lugar, y mira lo que le llega. Además, busca entre comillas una frase característica de tu sitio, haz una búsqueda inversa de una foto conocida del club y revisa tus reportes de tráfico buscando la forma de un rastreo masivo, no la cantidad bruta de visitantes.
Alguien republicó el contenido de nuestro club. ¿Qué podemos hacer?
Pídele que lo quite, después plantéalo ante su proveedor de alojamiento si no lo hace, y denuncia el material copiado ante los buscadores. Si el material copiado incluye información personal de socios, trátalo como un tema de privacidad y no de contenido: haz una solicitud de eliminación, guarda registros con fecha y avisa a las personas afectadas.
