Auditoria interna de perfis de navegação: o que amostrar por trimestre

Auditoria de perfil de navegação na agência de publicidade vira slide uma vez por ano ou vira checker colado no Slack toda manhã. Os dois extremos falham. O trimestre é o ritmo que o time aguenta: amostra, achado, correção, dono. Não é pentest. Não é KPI de ban. É a pergunta chata: o perfil que fatura ainda é o perfil que combinamos.

Este texto lista o que amostrar. O complemento de privacidade está em LGPD e acessos a contas de anúncio. O complemento de métrica de conta está no recorte de saúde — sinais, não oráculo. Aqui o objeto é o ambiente de browser da operação.

Por que trimestre e não “quando der”

Perfil apodrece no silêncio. Proxy vence. Extensão entra. Dono sai. Alguém cola o Facebook pessoal. Ninguém percebe enquanto o CPC está aceitável.

Mensal demais cansa e vira checklist mentiroso. Anual demais deixa um ano de BYOD. Trimestre cabe na cadência de comitê, de contrato e de revisão de admin. Exceção: depois de incidente, de saída em massa, de troca de fornecedor de proxy. Aí a amostra é sob demanda.

Três horas de ops, uma página de relatório, lista de correções com prazo. Se a auditoria precisa de consultoria de duas semanas, ela não vai se repetir. Desenhe pra caber.

Universo e amostra: o que entra na urna

Universo: todo perfil marcado como produção, mais os de teste que compartilham máquina ou proxy com produção. Perfil morto arquivado não entra, a não ser pra confirmar que está arquivado de verdade.

Critério de amostra, em ordem:

Perfis com gasto no trimestre. Dinheiro primeiro.

Perfis com incidente — restrição, checkpoint, publicação errada, suspeita de malware.

Perfis sem dono na coluna, ou dono que já saiu.

Perfis criados no trimestre. Entrada recente erra extensão e proxy.

Perfis de plantão e de home office. BYOD mente mais.

Um ou dois perfis “tranquilos” do sênior. O herói também vaza. Amostra que só pega estagiário é teatro.

Tamanho: o suficiente pra achar padrão, não pra statistificar o parque. Agência com 40 perfis de produção: 8 a 12. Com 200: 20 a 30, estratificado por cliente e por plataforma. Cem por cento só faz sentido em parque pequeno ou depois de incidente grave.

O pacote de cada perfil amostrado

Cada item da amostra ganha uma ficha. Uma página. Não um romance.

Identidade. Cliente, plataforma, se é produção. Confere com o inventário. Se o perfil na ferramenta não bate com a planilha, o achado já existe.

Dono e papéis. Quem abre. Quem administra. Convites ativos. Acesso de gente que não está mais no time.

Rede. Tipo de proxy, geo, sticky, provedor, quem paga. IP observado no teste versus IP esperado. IPv6 ligado sem querer. DNS do escritório vazando.

Vazamento. WebRTC, DNS, IP real da máquina. O ritual está em vazamento WebRTC. Faça no perfil, não no Chrome pessoal ao lado.

Fingerprint e consistência. Não como nota de concurso. Como leitura: como ler testes de fingerprint sem transformar CreepJS em KPI. Idioma, fuso, user agent versus o que a conta espera.

Extensão. Lista do que está instalado. Password manager de consumo, cupom, VPN, “produtividade”. Cada uma é superfície. Cofre da operação no browser do perfil, não extensão solta de terceiros no perfil de ads.

Cookie e sessão. Há export recente? Há sessão em máquina pessoal? Há Facebook pessoal no mesmo perfil?

Score de higiene, se existir. Lauth Score como sinal: conta e ambiente com alerta. Não como previsão de desativação. Alerta vira item pra olhar. Score verde com admin órfão continua falha.

Rede e WebRTC: o bloco que mais acha coisa

A maior parte dos achados reais não é “canvas único”. É IP de escritório no perfil que deveria estar em residencial de SP. É WebRTC mostrando a máquina. É proxy datacenter em conta que o roteiro manda residencial. É sticky que cai a cada clique em conta logada.

Procedimento curto:

Abrir só aquele perfil. Não empilhar.

Rodar o teste de IP e de WebRTC. Anotar.

Comparar com a ficha de proxy. Divergência é achado, mesmo se a conta está viva.

Ver IPv6. Planilha de IPv4 não cobre vazamento em IPv6.

Não trocar proxy no meio da auditoria “pra ficar bonito no print”. O print tem que mostrar o estado real. Correção vem depois, com dono e com data.

Qualidade de IP — ASN, vizinhança, reputação — entra como leitura, não como terror. O texto de qualidade de IP na prática é o complemento. Auditoria não precisa virar NOC.

Extensão, cofre e o perfil que virou Chrome da casa

O segundo bloco de achados: o perfil de produção acumulou a vida digital do analista.

Extensão de e-mail pessoal. WhatsApp Web. Banco. LinkedIn pessoal. Gerenciador de senha de consumo com cofre pessoal e cofre de cliente no mesmo plugin. VPN da casa. Bloqueador que quebra pixel.

Regra da amostra: lista de extensões permitidas no checklist do time. Tudo fora é achado. Exceção documentada, com prazo. Exceção eterna é checklist morto.

Cookie de identidade pessoal no perfil de ads é achado grave. Não é “o gestor precisa do Facebook pra ver o anúncio”. Preview tem outro caminho. Grafo pessoal colado em BM de cliente é o incidente que a auditoria existe pra achar antes da plataforma.

Log de acesso: auditar o rastro, não só o retrato

Ambiente no dia do teste é um snapshot. Acesso no trimestre é o filme.

Na amostra, cruze o perfil com o histórico: quem abriu, quantas vezes, de que papel, se houve export, se houve troca de proxy fora do rito, se o plantão usou o perfil no domingo.

Achados típicos: perfil de produção aberto por pessoa que não está no convite da BM — o browser e a plataforma divergem. Perfil sem abertura no trimestre e proxy ainda pago — zumbi. Abertura em horário e geo incompatíveis com o roteiro de agência remota.

Sem log, a auditoria só vê o palco. Com log, vê o elenco. Quem viu o painel no trimestre é pergunta de acesso. A auditoria entrega o elenco. O DPO usa.

Score: como usar sem mentir na reunião

Se a operação usa Lauth Score, a auditoria lê os alertas dos perfis amostrados e de um corte dos não amostrados. Alerta é fila. Não é sentença.

O que o score não faz: ler criativo, ler cartão, ler ToS, prever desativação. Relatório de auditoria que abre com “risco de ban 12%” é ficção. Relatório que abre com “7 de 12 perfis com WebRTC vazando, 3 donos desatualizados, 2 extensões fora da lista” é operação.

Misture os dois mundos e o comercial vende milagre. Separe e o comitê consegue priorizar.

Relatório de uma página e correção com prazo

Formato que sobrevive:

Universo e tamanho da amostra.

Achados por gravidade: vazamento de IP real; identidade pessoal no perfil; admin órfão; proxy divergente; extensão; ficha desatualizada.

Correções: dono, prazo, verificação. Vazamento em produção: dias, não “no próximo sprint de criativo”.

O que ficou de fora: perfis não amostrados, limites do checker, eixos de política e pagamento que a auditoria não cobre.

Anexo: fichas. O comitê lê a página. Ops lê o anexo.

Correção sem verificação na amostra seguinte é achado reincidente. Reincidente vira pauta de gente, não de proxy.

O que a auditoria não é

Não é QA de campanha. URL, UTM e pixel errado são outro checklist.

Não é apelação de conta. Ambiente limpo não limpa reivindicação de saúde no criativo.

Não é auditoria financeira de verba.

Não é desculpa pra nascer perfil gêmeo. Achado de vazamento se corrige no perfil que fatura, com método. Clonar identidade no mesmo cartão não é remediação.

Cadência, dono e o teatro que se evita

Dono da auditoria: ops de mídia com sponsor de risco ou de TI. Execução no calendário, não no “quando a conta cair”.

O teatro: checker em todos os perfis toda sexta, print no Slack, zero correção. Ou PDF anual de 80 páginas que ninguém abre. O trimestre com amostra e prazo é o meio chato que muda o parque.

Quando o trimestre fecha com menos vazamento e menos perfil sem dono, a auditoria trabalhou. Quando fecha com o mesmo Chrome do herói e um score no slide, não trabalhou. Só ocupou a reunião.

Gravidade e prazo: pra não virar backlog eterno

Achado sem prazo é decoração. Três níveis bastam.

P0, horas ou poucos dias. IP real da máquina vazando em perfil de produção. Identidade pessoal no mesmo perfil da BM. Admin de pessoa que já saiu. Extensão com permissão ampla e origem desconhecida. Isso é incidente, não “item do Jira”.

P1, nesta sprint de ops. Proxy divergente da ficha. Geo errada. IPv6 ligado sem procedimento. Dono desatualizado. Extensão fora da lista, mas conhecida. Score de higiene em alerta com conta que fatura.

P2, neste trimestre. Ficha incompleta. Perfil zumbi com proxy pago. Naming de perfil ilegível. Teste de fingerprint inconsistente sem vazamento de IP. Não ignore. Não trate como P0.

Verificação: o item só sai da lista com reteste no perfil. Print antigo não vale. Quem corrige não é quem assina a auditoria sozinho — ops corrige, risco ou o par lê o reteste.

Reincidente P0: sobe pra gente. Treino, restrição de papel, troca de máquina. Ferramenta nova não é a primeira resposta. A primeira é o procedimento que ninguém seguiu.

Calendário e o que amostrar além do browser

Semana 1 do trimestre: sorteio da amostra, aviso aos donos. Não audite de surpresa o plantão no sábado. Surpresa cabe em incidente, não em higiene.

Semana 2–3: fichas. Teste de rede, extensão, log.

Semana 4: relatório, prazos, leitura de quinze minutos com o sponsor.

Meio do trimestre: verificação dos P0 e P1. Não esperar o trimestre seguinte pra saber se o WebRTC continua aberto.

Além do browser, a mesma visita olha: convites na BM versus pessoas no perfil; cartão de teste no perfil de produção; Facebook pessoal. A auditoria de perfil não substitui a auditoria de admin na plataforma. Juntas, fecham o recorte. Separadas, cada uma acha que a outra viu o órfão.

Checker no dia do teste é fotografia. Três meses de log são o filme. Faça os dois. Não venda o checker como filme.

Amostra que o cliente grande pede pra ver

Anunciante enterprise, no contrato de agência, pode exigir o resumo trimestral. Entregue a página, não as fichas com IP e cookie. Achados agregados, correções, reincidentes. Sem expor a carteira inteira à unidade de risco do cliente vizinho se a agência opera vários.

Se o cliente pede pra assistir o teste no perfil dele, aceite no recorte dele. Não no parque. Call com o perfil certo aberto. Sem senha no chat. O teste de WebRTC no perfil do cliente é higiene combinada. Não é auditoria da agência inteira.

Agência que recusa qualquer evidência parece que não tem isolamento. Agência que manda print de CreepJS de todos os clientes no e-mail parece que não tem LGPD. O meio é o relatório de uma página, no ritmo do trimestre, com dono.

O que fazer com perfil de teste e perfil de demo comercial

Demo pro comercial, sandbox de estágio, conta piloto: entram na amostra se compartilham máquina, extensão ou proxy com produção. Demo no mesmo Chrome do cliente que fatura é produção com outro nome. Separe. Arquive demo velha. Proxy de demo pago sem dono é o zumbi mais caro e o menos glamoroso do trimestre.