Відбиток браузера: canvas, WebGL і шрифти простими словами

Щоразу, коли браузер завантажує сторінку, він розкриває про себе напрочуд багато. Відбиток — це поєднання цих атрибутів, зведене в ідентифікатор, який часто достатньо унікальний, щоб упізнати вас під час наступного візиту — навіть у новому вікні інкогніто без cookie. Сила саме в поєднанні: окремий атрибут поширений, але десятки разом рідко збігаються у двох людей.

Найінформативніші сигнали:

• Canvas-відбиток — сайт малює прихований текст і фігури на <canvas> і зчитує пікселі. Дрібні відмінності GPU, драйверів і рендерингу шрифтів роблять результат ледь помітно унікальним для кожної машини.
• WebGL-відбиток — схожа ідея через 3D-рендеринг; він також прямо розкриває виробника GPU й рядок рендерера.
• Встановлені шрифти — набір шрифтів у системі, який зондують вимірюванням розмірів тексту, дуже вирізняє користувача.
• User-agent, мова, часовий пояс і екран — ОС, версія браузера, локаль, зсув часового поясу та параметри екрана/вікна.
• Апаратні підказки — кількість ядер CPU, пам'ять пристрою, особливості аудіостека й підтримка сенсорного вводу.

Оскільки все це зчитується звичайними JavaScript-API, знімання відбитка не потребує дозволу й не лишає явних слідів.

Дослідники вимірюють відбитки через ентропію — скільки ідентифікуючої інформації несе сигнал. Проєкти на кшталт AmIUnique і CreepJS збирають мільйони зразків і показують, що повний відбиток часто робить браузер унікальним серед усіх перевірених. Практичний висновок: сайт може повторно впізнати відвідувача лише за відбитком.

Саме тому проксі чи VPN — лише частина картини. Зміна вихідного IP не дає сайту бачити вашу справжню адресу й відокремлює вашу мережеву особистість — це справді важливо, і це можна перевірити інструментами what-is-my-ip та IP info. Але якщо відбиток незмінний, сайт, що знімає відбитки, усе одно зрозуміє, що «новий» відвідувач — той самий браузер. Надійне розмежування означає зміну і IP, і відбитка разом — саме це й намагаються робити антидетект-браузери, див. наш гайд про антидетект-браузери.

Захист варіюється від браузерів проти відбитків (Tor Browser нормалізує багато сигналів, тож користувачі мають спільний відбиток; у Firefox є resistFingerprinting) до інструментів підміни для кожного профілю. Блокування JavaScript нейтралізує більшість знімань відбитка, але ламає більшість сайтів, тож рідко практичне.

Зробити відбиток невидимим не вийде, але можна зменшити, наскільки він вирізняється. Практичні кроки: тримайте браузер поширеної, актуальної версії, щоб зливатися з натовпом; уникайте рідкісних наборів шрифтів і екзотичних розширень, що додають ентропії; розгляньте браузер, який активно нормалізує сигнали (Tor Browser або Firefox із resistFingerprinting), якщо мета — максимальна однаковість. Для роботи з багатьма акаунтами використовуйте антидетект-браузер, щоб дати кожному профілю самоузгоджений відбиток, а не випадкові значення, що суперечать одне одному. Що б ви не обрали, тримайте узгодженою й мережеву частину: спрямовуйте профіль через проксі чи VPN, географія виходу якого відповідає часовому поясу й локалі відбитка, і переконайтеся, що немає витоку WebRTC чи DNS, який розкриває вашу справжню адресу за тунелем.