Microsoft Clarity adatvédelmi beállításai: maszkolás, hozzájárulás és mit ne rögzíts

Scheo · 2026-10-29 · olvasási idő ~10 perc · Szerző: Schmidt Péter

A Microsoft Clarity ingyenes hőtérkép- és munkamenet-felvevő eszköz, a telepítése néhány perc. Az adatvédelmi beállítása több figyelmet kér, mert a felvétel abból készül, amit a látogató a képernyőjén lát és begépel. A hőtérkép-olvasás és a szegmentálás most kimarad, itt a maszkolás, a hozzájárulás és a kizárás a téma.

A szövegben három jelölést használunk. A Hivatalosan igazolt részek a Microsoft Clarity dokumentációján alapulnak. A Saját tapasztalat az, amit telepítések és utólagos ellenőrzések során láttunk. A Szakmai feltételezés logikus következtetés, amit a dokumentáció nem rögzít, ezért a saját oldaladon érdemes kipróbálni. A cikk nem jogi tanácsadás, a tájékoztató végleges szövegét adatvédelmi szakemberrel nézesd át.

Mit rögzít a Clarity egy munkamenet-felvételen?

A Clarity a felvételt az oldal szerkezetéből (a DOM-ból) és annak változásaiból rakja össze, ehhez jön az egérmozgás, a kattintás, a görgetés és a billentyű-események sorrendje. Ami szövegként megjelenik az oldalon, az a maszkolási beállítástól függően bekerülhet a felvételbe.

Hivatalosan igazolt. A dokumentáció szerint a Clarity a maszkolt tartalmat már a látogató böngészőjében kicseréli, így az el sem jut a Microsoft szervereire. Ez a legfontosabb tény az egész témában. Amit rosszul állítottál be, az a már elkészült felvételekben benne marad, utólag a felületen nem tünteted el.

Saját tapasztalat. A legtöbb gond olyan helyen jelenik meg, amire telepítéskor senki sem gondolt. Ilyen a „Szia, Kovács Anna!” köszöntő a fejlécben, a kosároldalon megjelenő szállítási cím, vagy egy keresőmező, ahová valaki a saját nevét írta be.

Milyen maszkolási szintek vannak, és melyiket válaszd?

A Clarity három maszkolási módot ismer (Strict, Balanced, Relaxed), alapból a Balanced az aktív. Kisvállalkozásnál a Balanced jó kiindulás, de csak a kiegészítő, elemszintű maszkolással együtt.

• Strict (szigorú). Az oldal összes szövege maszkolva van. A felvételen látod a mozgást és a kattintást, a feliratokat nem. Fiókot kezelő, egészségügyi vagy pénzügyi oldalnál ez a biztonságos alap.
• Balanced (kiegyensúlyozott). Az alapbeállítás. A beviteli mezők tartalmát és az érzékenynek ítélt szöveget elrejti, a statikus oldalszöveg látszik.
• Relaxed (laza). Csak a legérzékenyebb mezőket rejti el, minden más látszik. Személyes adatot kezelő oldalon nem javasoljuk.

Saját tapasztalat. Ha nem tudod pontosan, hol jelenik meg személyes adat az oldalon, indulj Strict móddal, és a menüt, a gombokat, a termékneveket egyenként tedd láthatóvá. Így a hiba iránya biztonságos, legfeljebb kevesebbet látsz a felvételen. Fordított sorrendben, Relaxed módból indulva és utólag maszkolva, minden kimaradt elem adatszivárgás, ami csak a következő felvételtől javul.

Hivatalosan igazolt. A mód a projekt Beállítások (Settings) menüjének Maszkolás (Masking) részében váltható. A dokumentáció azt is jelzi, hogy a módosítás csak az új felvételekre vonatkozik.

Szakmai feltételezés. Az automatikus érzékenyszöveg-felismerés mintázat alapú, ezért egy szokatlan formátumú adatot (például egy tagszámot vagy egy kézzel írt megjegyzést) nem biztos, hogy felismer. Erre ezért ne építs. Az ilyen blokkot jelöld meg kézzel.

Hogyan zársz ki egyedi elemeket a felvételből?

Az egyes elemeket a data-clarity-mask="true" HTML-attribútummal maszkolhatod, vagy CSS-szelektorral a Clarity felületén. Az attribútum a gyerekelemekre is érvényes, így egy egész blokk egyetlen sorral elrejthető.

Hivatalosan igazolt. A három leggyakoribb eset így néz ki a sablonban.

• Személyes adatot kérő űrlapmező, például adószám vagy telefonszám. <input type="text" name="adoszam" data-clarity-mask="true">
• A fiókoldal teljes tartalmi része. <main class="fiokom" data-clarity-mask="true">
• Személyes adatot tartalmazó blokk, például a fejléc köszöntője vagy a rendelés összesítője. <div class="udvozlo-nev" data-clarity-mask="true">

Az ellenkező irányra a data-clarity-unmask="true" attribútum való. Strict módban így teheted láthatóvá a menüt vagy a gombfeliratokat. Csak olyan blokkra tedd, amibe biztosan sosem kerül személyes adat.

Ha nem férsz hozzá a sablonhoz (zárt WordPress-téma, webshopmotor), a Clarity felületén a Maszkolás részben CSS-szelektort is megadhatsz, például .woocommerce-MyAccount-content vagy #billing_address_1. Ez is a hivatalos dokumentációban leírt út.

Saját tapasztalat. Az utólag betöltött elemeknél (felugró ablak, AJAX-szal frissülő kosár, egyoldalas alkalmazás komponense) az attribútumnak már a megjelenéskor rajta kell lennie az elemen. Ha egy bővítmény később szúrja be a blokkot, a sablonba írt attribútum nem kerül rá, ilyenkor a felületi szelektor a megbízhatóbb.

Hogyan adod át a hozzájárulási jelzést a Claritynek?

A hozzájárulást a Clarity Consent API-ján adod át, a látogató döntése után, a sütibanner visszahívásából. Az újabb változat a consentv2 hívás, amely külön kezeli a hirdetési és az analitikai tárolást.

window.clarity('consentv2', { ad_Storage: 'denied', analytics_Storage: 'granted' });

Hivatalosan igazolt. A Microsoft közlése szerint az Európai Gazdasági Térségből, az Egyesült Királyságból és Svájcból érkező látogatóknál a Clarity elvárja a hozzájárulási jelzést, és ennek hiányában korlátozott módban, sütik nélkül működik. A Google Consent Mode jelzését a Clarity át tudja venni, ha a sütikezelő platform (CMP) azt helyesen küldi. A pontos viselkedés időről időre változik, ezért élesítés előtt nézd meg az aktuális Consent API leírást.

A dokumentáció a régebbi window.clarity('consent') hívást is leírja, a visszavonásra pedig a window.clarity('consent', false) formát, amely törli a Clarity sütijeit. Szakmai feltételezés. A két API-t ne keverd egy oldalon, mert a hibakeresés így sokkal nehezebb.

Hogyan kösd a Clarity indítását a sütibannerhez?

A legtisztább megoldás, ha a Clarity kódja csak hozzájárulás után töltődik be. Így elfogadás előtt semmi nem fut, és a sütik nélküli mód működésére sem kell hagyatkoznod.

1. Vedd ki a Clarity kódját minden más helyről (sablon, bővítmény, közvetlen beillesztés), hogy csak egy forrásból töltődjön be.
2. Google Tag Managerben a Clarity címkét sorold az analitikai hozzájárulást igénylő címkék közé (Consent Settings, analytics_storage), és a triggerét kösd a CMP hozzájárulási eseményéhez.
3. Ha nincs Tag Manager, a CMP visszahívásában töltsd be a kódot, és rögtön utána add át a consentv2 jelzést. Elutasításnál a kód be sem töltődik, így jelzést sem kell küldened.
4. Kezeld a visszavonást is. Ha a látogató később elutasít, hívd meg a visszavonó függvényt, és a következő oldalbetöltéskor már ne töltsd be a kódot.
5. A kizárt oldaltípusokra tegyél kivétel-triggert, hogy ott hozzájárulás esetén se induljon felvétel.

Saját tapasztalat. A leggyakoribb hiba a duplikált telepítés. A Clarity fut egy WordPress-bővítményből vagy a téma beállításából, közben a Tag Managerből is, és a bővítményes példány nem várja meg a bannert. Ezt a böngésző fejlesztői eszközeinek Hálózat (Network) fülén látod, a clarity.ms felé menő kérések ilyenkor elfogadás előtt is megjelennek.

Mely oldaltípusokon ne készüljön felvétel?

Ahol a látogató személyes, pénzügyi vagy különleges kategóriájú adatot lát vagy ad meg, ott a legjobb, ha a Clarity be sem töltődik. A maszkolás csökkenti a kockázatot, a felvétel kihagyása megszünteti.

• Bejelentkezés, regisztráció és jelszó-visszaállítás.
• Fiókoldalak, vagyis a korábbi rendelések, mentett címek és számlák.
• Pénztár és fizetési lépés, valamint a rendelés-visszaigazoló oldal, amelyen név és cím jelenik meg.
• Egészségügyi adatot kérő űrlap, tünetleírással kért időpontfoglalás, és minden oldal, ahol a GDPR 9. cikke szerinti különleges adat (egészség, vallási meggyőződés, szakszervezeti tagság) kerülhet elő.
• Állásjelentkezés önéletrajz-feltöltéssel, panaszbejelentő és visszaélés-bejelentő felület.
• Ügyfélkapu, üzenetküldő vagy chatfelület, ahol a látogató szabadon gépel.
• Admin- és szerkesztőfelületek, például a WordPress /wp-admin/ része.

Szakmai feltételezés. Ezeken az oldalakon a felvétel elemzési haszna kicsi a kockázathoz képest. A pénztári lemorzsolódást a konverziómérés felvétel nélkül is megmutatja.

Saját tapasztalat. A maszkolás az URL-t nem érinti. Ha egy űrlap GET-paraméterben adja tovább az e-mail-címet vagy a nevet (?email=...), az a felvétel oldallistájában olvasható marad. Ezt a paramétert a forrásnál szüntesd meg.

Hogyan ellenőrzöd egy visszajátszott felvételen, hogy a maszkolás működik?

Készíts tesztfelvételt kitalált, könnyen felismerhető adatokkal, játszd vissza, és minden érzékeny helyen nézd meg, hogy a szöveg helyett maszkolt jelölést látsz-e.

1. Nyiss inkognitóablakot, fogadd el a sütibannert, és járd végig a kritikus útvonalat (űrlap, kosár, regisztráció egy tesztfiókkal).
2. Minden mezőbe olyan adatot írj, amit később azonnal felismersz, például „TESZTNEV-0429” és „teszt0429@pelda.hu”.
3. Várd meg, amíg a felvétel megjelenik a Recordings listában (ez a tapasztalatunk szerint néhány perctől akár egy óráig is tarthat), és szűrj az oldal URL-jére, a saját eszközödre és böngésződre.
4. Játszd vissza lassítva. Állj meg minden mezőnél, a fejléc köszöntőjénél, a kosár összesítőjénél és a megerősítő üzeneteknél. A maszkolt szöveg helyén helykitöltő karakterek vagy üres blokk jelenik meg, a tesztadatnak sehol nem szabad olvashatónak lennie.
5. Nézd meg a hőtérképen a kattintott elemek listáját is, mert ott az elemek szövege külön is megjelenhet.
6. Ellenőrizd az oldallistát és a felvétel adatait az URL-ben maradt paraméterek miatt.
7. Ismételd meg mobilon, mert a mobil menü és a mobilos űrlap gyakran más sablonrészből jön.
8. Végül egy új inkognitóablakban utasítsd el a bannert, és a Hálózat fülön nézd meg, hogy nem indul-e clarity.ms kérés.

Saját tapasztalat. Az ellenőrzést minden sablonfrissítés, új bővítmény és új űrlap után érdemes megismételni. A maszkolás egy témafrissítés után könnyen elvész, mert a sablon felülíródik, és az attribútum vele együtt eltűnik.

Mivel egészítsd ki az adatkezelési tájékoztatót?

A tájékoztatóban külön pontban nevezd meg a Clarityt, a célját, a jogalapját, az adatkört, a megőrzési időt, a sütiket és a harmadik országba történő továbbítást. Ellenőrzőlistaként ezt érdemes végignézni.

• A szolgáltató neve (Microsoft) és a szerepe. Azt, hogy adatfeldolgozó vagy közös adatkezelő, a Clarity aktuális felhasználási feltételei alapján, jogásszal döntsd el.
• A cél, vagyis a weboldal használhatóságának javítása munkamenet-felvétellel és hőtérképpel.
• A jogalap, ami a gyakorlatban a látogató hozzájárulása, és a visszavonás módja (a sütibanner újranyitása).
• Az adatkör, tehát kattintás, görgetés, egérmozgás, eszköz- és böngészőadat, hozzávetőleges hely, a megtekintett oldalak, és annak jelzése, hogy a beviteli mezők tartalmát maszkolod.
• A sütik listája lejárati idővel (például _clck és _clsk), a Clarity aktuális sütilistája alapján.
• A megőrzési idő. A dokumentáció szerint a felvételek alapból 30 napig érhetők el, a megjelölt felvételek és a hőtérképek ennél tovább. A konkrét értéket a tájékoztató írásakor ellenőrizd.
• A harmadik országba továbbítás és annak alapja (EU-USA adatvédelmi keretrendszer).
• Annak rögzítése, mely oldaltípusokon nem készül felvétel.

Szakmai feltételezés. Ha a tájékoztató azt írja, hogy a beviteli mezőket maszkolod, az vállalás is. A fenti ellenőrzést ezért dokumentáld (dátum, ki nézte, mely oldalakat), mert egy panasz esetén ez mutatja meg, hogy a beállítás tényleg működött.

Milyen hibák fordulnak elő a leggyakrabban?

A tipikus hibák a kettős telepítés, a banner előtt induló kód, az URL-ben maradt személyes adat és a frissítés után elveszett maszkolás. Mindegyik kiszűrhető a fenti ellenőrzéssel.

• Egy korábbi teszt után bekapcsolva marad a Relaxed mód.
• Az unmask attribútum egy teljes szakaszra kerül, és a később oda tett űrlap is láthatóvá válik.
• Az élő chat vagy a felugró hírlevél-feliratkozás maszkolatlan, mert egy külső szkript tölti be.
• A Clarity a Google Analyticsszel összekötve fut, és a hozzájárulás csak az egyikre van beállítva.

Szakmai feltételezés. Külső fizetési szolgáltató beágyazott keretének (iframe) tartalmát a Clarity jó eséllyel nem látja, a felvételen ez üres keretként jelenik meg. Erre se hagyatkozz, a fizetési oldalt inkább zárd ki teljesen.

Források és további olvasnivalók

• Microsoft Clarity dokumentáció, Masking content
• Microsoft Clarity dokumentáció, Consent API és Consent API v2
• Microsoft Clarity dokumentáció, Clarity cookies
• Microsoft Clarity adatvédelmi és adatmegőrzési GYIK
• Microsoft adatvédelmi nyilatkozat
• Az (EU) 2016/679 általános adatvédelmi rendelet (GDPR)
• Európai Adatvédelmi Testület, 05/2020 iránymutatás a hozzájárulásról
• Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) tájékoztatói
• Google Tag Manager súgó, Consent Mode