Fingerprinting del Browser: Canvas, WebGL e Fonti Spiegati

Ogni volta che il tuo browser carica una pagina rivela una sorprendente quantità di informazioni su di sé. Un impronta digitale è la combinazione di quegli attributi, hashati in un identificatore che è spesso unico abbastanza da riconoscerti al tuo prossimo accesso — anche in una nuova finestra in incognito senza cookie. Il potere deriva dalla combinazione: qualsiasi singolo attributo è comune, ma dozzine insieme sono raramente condivise da due persone.

I segnali più informativi sono:

• Il fingerprinting del canvas — il sito disegna testo e forme nascosti su un <canvas> e legge i pixel. Piccole differenze nella GPU, nei driver e nel rendering dei font rendono l'output sottilmente unico per ogni macchina.
• Il fingerprinting WebGL — idea simile usando il rendering 3D; espone anche direttamente il tuo fornitore di GPU e la stringa del renderer.
• Font installati — il set di font che il tuo sistema ha, sondato misurando le dimensioni del testo, è altamente distintivo.
• User-agent, lingua, fuso orario e schermo — OS, versione del browser, locale, offset del fuso orario e metriche dello schermo/finestra.
• Indizi hardware — numero di core della CPU, memoria del dispositivo, peculiarità dello stack audio e supporto touch.

Poiché questi vengono letti con normali API JavaScript, il fingerprinting non richiede permessi e non lascia tracce evidenti.

I ricercatori misurano le impronte digitali in termini di entropia — quanto informazioni identificative un segnale trasmette. Progetti come AmIUnique e CreepJS raccolgono milioni di campioni e dimostrano che un'impronta digitale completa rende spesso un browser unico tra tutti gli altri testati. La conclusione pratica: un sito può ri-identificare un visitatore di ritorno solo dall'impronta digitale.

Ecco perché un proxy o VPN è solo una parte del quadro. Cambiare il tuo IP di uscita impedisce alla destinazione di vedere il tuo vero indirizzo e separa la tua identità di rete — davvero importante, e qualcosa che puoi verificare sugli strumenti what-is-my-ip e IP info. Ma se la tua impronta digitale rimane invariata, un sito che utilizza il fingerprinting può comunque capire che il "nuovo" visitatore è lo stesso browser. Una separazione robusta significa cambiare sia l'IP che l'impronta digitale insieme, il che è esattamente ciò che i browser anti-detect cercano di fare — vedi la nostra guida ai browser anti-detect.

Le difese variano dai browser anti-fingerprinting (Tor Browser normalizza molti segnali in modo che gli utenti condividano un'impronta digitale; Firefox ha resistFingerprinting) agli strumenti di spoofing per profilo. Bloccare JavaScript sconfigge la maggior parte del fingerprinting ma rompe la maggior parte dei siti, quindi è raramente pratico.

Non puoi far scomparire un'impronta digitale, ma puoi ridurre quanto si distingue. Passi pratici: mantieni il tuo browser a una versione comune e aggiornata in modo da mescolarti tra la folla; evita pacchetti di font rari e estensioni esotiche che aggiungono entropia; considera un browser che normalizza attivamente i segnali (Tor Browser, o Firefox con resistFingerprinting) se l'uniformità massima è l'obiettivo. Per il lavoro con più account, utilizza un browser anti-detect per dare a ciascun profilo un'impronta digitale coerente piuttosto che valori randomizzati che si contraddicono. Qualunque cosa tu scelga, mantieni anche il lato rete coerente: instrada il profilo attraverso un proxy o VPN la cui geografia di uscita corrisponde al fuso orario e alla località dichiarati dall'impronta digitale, e conferma che non ci siano perdite WebRTC o DNS che espongono il tuo vero indirizzo dietro il tunnel.