Отпечаток браузера: canvas, WebGL и шрифты простыми словами

Каждый раз, когда браузер загружает страницу, он раскрывает о себе на удивление много. Отпечаток — это сочетание этих атрибутов, сведённое в идентификатор, который часто достаточно уникален, чтобы узнать вас при следующем визите — даже в новом окне инкогнито без cookie. Сила именно в сочетании: отдельный атрибут распространён, но десятки вместе редко совпадают у двух людей.

Самые информативные сигналы:

• Canvas-отпечаток — сайт рисует скрытый текст и фигуры на <canvas> и считывает пиксели. Мелкие различия GPU, драйверов и рендеринга шрифтов делают результат едва заметно уникальным для каждой машины.
• WebGL-отпечаток — похожая идея через 3D-рендеринг; он также прямо раскрывает производителя GPU и строку рендерера.
• Установленные шрифты — набор шрифтов в системе, зондируемый измерением размеров текста, сильно выделяет пользователя.
• User-agent, язык, часовой пояс и экран — ОС, версия браузера, локаль, сдвиг часового пояса и параметры экрана/окна.
• Аппаратные подсказки — число ядер CPU, память устройства, особенности аудиостека и поддержка сенсорного ввода.

Поскольку всё это считывается обычными JavaScript-API, снятие отпечатка не требует разрешения и не оставляет явных следов.

Исследователи измеряют отпечатки через энтропию — сколько идентифицирующей информации несёт сигнал. Проекты вроде AmIUnique и CreepJS собирают миллионы образцов и показывают, что полный отпечаток часто делает браузер уникальным среди всех проверенных. Практический вывод: сайт может повторно узнать вернувшегося посетителя по одному отпечатку.

Именно поэтому прокси или VPN — лишь часть картины. Смена исходящего IP не даёт сайту видеть ваш настоящий адрес и отделяет вашу сетевую личность — это действительно важно, и это можно проверить инструментами what-is-my-ip и IP info. Но если отпечаток не изменился, сайт, снимающий отпечатки, всё равно поймёт, что «новый» посетитель — тот же браузер. Надёжное разделение означает смену и IP, и отпечатка вместе — именно это и пытаются делать антидетект-браузеры, см. наше руководство об антидетект-браузерах.

Защита варьируется от браузеров против отпечатков (Tor Browser нормализует многие сигналы, поэтому у пользователей общий отпечаток; в Firefox есть resistFingerprinting) до инструментов подмены для каждого профиля. Блокировка JavaScript нейтрализует большинство снятий отпечатка, но ломает большинство сайтов, поэтому редко практична.

Сделать отпечаток невидимым не выйдет, но можно уменьшить, насколько он выделяется. Практические шаги: держите браузер распространённой, актуальной версии, чтобы сливаться с толпой; избегайте редких наборов шрифтов и экзотических расширений, добавляющих энтропию; рассмотрите браузер, который активно нормализует сигналы (Tor Browser или Firefox с resistFingerprinting), если цель — максимальная одинаковость. Для работы с многими аккаунтами используйте антидетект-браузер, чтобы дать каждому профилю самосогласованный отпечаток, а не случайные значения, противоречащие друг другу. Что бы вы ни выбрали, держите согласованной и сетевую часть: направляйте профиль через прокси или VPN, география выхода которого соответствует часовому поясу и локали отпечатка, и убедитесь, что нет утечки WebRTC или DNS, раскрывающей ваш настоящий адрес за туннелем.