Dlaczego strona rozpoznaje użytkownika nawet po usunięciu plików cookies?

Usunięcie plików cookies nie zawsze sprawia, że strona traktuje użytkownika jak całkowicie nową osobę. Cookies są tylko jednym z kilku sposobów łączenia kolejnych wizyt. Serwis może wykorzystać również dane zapisane w przeglądarce, konto użytkownika, adres IP, identyfikator umieszczony w linku oraz tak zwany odcisk palca przeglądarki.

Co ważne, „rozpoznanie” nie zawsze oznacza ustalenie imienia i nazwiska. Czasami strona jedynie ocenia z dużym prawdopodobieństwem, że odwiedza ją ta sama przeglądarka lub to samo urządzenie.

Co właściwie znika po usunięciu cookies?

Pliki cookies to niewielkie porcje danych zapisywane przez stronę w przeglądarce. Mogą zawierać między innymi:

• identyfikator sesji,
• informację o zalogowaniu,
• ustawienia języka,
• zawartość koszyka,
• zgodę na określone rodzaje przetwarzania danych,
• identyfikator używany przez system statystyczny lub reklamowy.

Po usunięciu cookies strona traci dostęp do zapisanych w nich identyfikatorów. Użytkownik może zostać wylogowany, koszyk może się opróżnić, a baner dotyczący zgód pojawić ponownie.

Nie oznacza to jednak automatycznego usunięcia wszystkich informacji związanych z poprzednimi wizytami.

Strona może przechowywać także inne dane

Przeglądarki udostępniają stronom więcej mechanizmów przechowywania danych niż tylko cookies. Należą do nich między innymi localStorage oraz bazy IndexedDB.

localStorage może zachowywać informacje nawet po zamknięciu i ponownym uruchomieniu przeglądarki. Strony wykorzystują je na przykład do zapamiętywania ustawień, stanu aplikacji internetowej lub identyfikatorów urządzenia.

Jeżeli użytkownik usunie wyłącznie cookies, pozostałe dane witryny nie w każdej przeglądarce i przy każdej metodzie czyszczenia muszą zostać skasowane. Inaczej działa polecenie „usuń cookies”, a inaczej „usuń wszystkie dane witryny”.

Dlatego przed czyszczeniem warto sprawdzić, czy zaznaczona opcja obejmuje również dane stron, pamięć lokalną i bazy przechowywane przez przeglądarkę.

Zalogowanie ponownie łączy wizytę z kontem

Usunięcie cookies nie kasuje konta ani danych znajdujących się na serwerze. Historia zamówień, zapisane produkty, subskrypcje, ustawienia i wcześniejsza aktywność mogą być przypisane do profilu użytkownika.

Po ponownym zalogowaniu strona od razu wie, z jakim kontem ma do czynienia. Może więc przywrócić wcześniejsze ustawienia i rekomendacje, mimo że wszystkie lokalne cookies zostały wcześniej usunięte.

Podobnie może zadziałać logowanie za pomocą konta Google, Facebooka, Apple albo innego zewnętrznego dostawcy.

Odcisk palca przeglądarki nie potrzebuje cookies

Jedną z najważniejszych metod rozpoznawania powracających urządzeń jest fingerprinting. Polega on na zebraniu zestawu parametrów opisujących przeglądarkę i komputer.

Strona może sprawdzić między innymi:

• rodzaj i wersję przeglądarki,
• system operacyjny,
• język i strefę czasową,
• rozmiar ekranu i okna,
• obsługiwane funkcje internetowe,
• sposób renderowania grafiki,
• charakterystykę procesora i układu graficznego,
• wyniki wybranych operacji wykonywanych przez przeglądarkę.

Pojedyncza informacja zwykle nie wystarcza do rozpoznania urządzenia. Dopiero połączenie wielu parametrów może utworzyć względnie charakterystyczny profil.

Dokładne wyjaśnienie tego mechanizmu znajduje się w artykule czym jest i jak działa fingerprinting przeglądarki.

Odcisku palca nie zapisuje się na komputerze tak jak zwykłego pliku cookie. Jest on ponownie obliczany na podstawie parametrów dostępnych podczas wizyty. Z tego powodu samo wyczyszczenie danych przeglądania może go nie zmienić.

Czy fingerprinting zawsze rozpoznaje użytkownika bezbłędnie?

Nie. Odcisk przeglądarki może zmienić się po aktualizacji systemu, wymianie sprzętu, zmianie rozdzielczości, instalacji nowej wersji przeglądarki lub modyfikacji jej ustawień.

Dwie osoby mogą również korzystać z bardzo podobnych urządzeń. Dotyczy to szczególnie popularnych telefonów z taką samą wersją systemu i przeglądarki.

Z tego powodu systemy śledzące zazwyczaj nie opierają się na jednym sygnale. Łączą fingerprint z adresem IP, sposobem korzystania ze strony, danymi konta oraz innymi dostępnymi informacjami. Wynikiem bywa ocena prawdopodobieństwa, a nie stuprocentowe potwierdzenie tożsamości.

Adres IP pomaga połączyć kolejne wizyty

Każde połączenie ze stroną internetową ujawnia serwerowi publiczny adres IP. Jeżeli po usunięciu cookies użytkownik nadal korzysta z tego samego łącza, adres może być jednym z sygnałów sugerujących, że jest to ta sama osoba lub to samo gospodarstwo domowe.

Sam adres IP nie jest jednak niezawodnym identyfikatorem. Może:

• zmieniać się po ponownym połączeniu z internetem,
• być współdzielony przez wiele urządzeń,
• należeć do całej sieci firmowej lub domowej,
• wskazywać serwer operatora komórkowego,
• zostać zastąpiony adresem serwera VPN.

VPN zmienia adres widoczny dla strony, ale nie usuwa cookies, nie wylogowuje z konta i nie likwiduje wszystkich elementów odcisku przeglądarki.

Identyfikator może znajdować się w odwiedzonym linku

Rozpoznanie użytkownika może nastąpić również za pomocą indywidualnego adresu URL. Takie linki są często używane w newsletterach, powiadomieniach, kampaniach reklamowych i wiadomościach dotyczących konta.

Adres może zawierać unikalny parametr, na przykład:

strona.pl/oferta?id=123456

Po otwarciu linku serwer otrzymuje identyfikator zapisany bezpośrednio w adresie. Cookies nie są wówczas potrzebne, aby połączyć kliknięcie z konkretną wiadomością, kampanią lub odbiorcą.

Przed udostępnieniem linku innej osobie warto więc sprawdzić, czy jego końcówka nie zawiera długiego ciągu znaków albo parametrów wskazujących źródło wizyty.

Dlaczego CAPTCHA zachowuje się tak, jakby znała użytkownika?

System CAPTCHA nie musi znać tożsamości osoby, aby oceniać ryzyko. Może analizować dane przeglądarki, adres IP, sposób poruszania kursorem, tempo wykonywania działań oraz wcześniejsze sygnały związane z daną sesją lub urządzeniem.

Właśnie dlatego jedna osoba zobaczy tylko pole wyboru, a inna będzie musiała wskazać kilka obrazków. Więcej informacji znajduje się w artykule jak CAPTCHA rozpoznaje człowieka.

Czy tryb incognito rozwiązuje problem?

Tryb incognito tworzy oddzielną, tymczasową sesję przeglądania. Nie korzysta bezpośrednio z cookies zapisanych w zwykłym oknie, a dane utworzone podczas prywatnej sesji są zazwyczaj usuwane po zamknięciu wszystkich jej okien.

Nie zapewnia jednak anonimowości. Strona nadal może zobaczyć adres IP, parametry przeglądarki i informacje przesyłane podczas logowania. Szczegółowo opisuje to poradnik czy tryb incognito zmienia adres IP.

Czy połączenie HTTPS zapobiega rozpoznaniu?

HTTPS szyfruje dane przesyłane pomiędzy przeglądarką a serwerem. Chroni między innymi przed łatwym podejrzeniem ruchu przez osoby znajdujące się w tej samej sieci.

Nie ukrywa jednak użytkownika przed odwiedzaną stroną. Serwis nadal otrzymuje informacje niezbędne do obsługi połączenia i może stosować własne mechanizmy identyfikacji. Więcej na temat działania szyfrowanego połączenia wyjaśnia artykuł czym jest szyfrowanie SSL.

Które metody przetrwają usunięcie cookies?

Jak ograniczyć możliwość rozpoznawania?

Nie istnieje pojedynczy przycisk zapewniający pełną anonimowość, ale można ograniczyć liczbę dostępnych sygnałów:

1. Wylogować się z kont przed rozpoczęciem prywatnej sesji.
2. Usuwać wszystkie dane witryny, a nie wyłącznie cookies lub historię.
3. Włączyć ochronę przed śledzeniem i blokowanie cookies firm trzecich.
4. Korzystać z oddzielnych profili przeglądarki do różnych rodzajów aktywności.
5. Regularnie aktualizować przeglądarkę.
6. Sprawdzać parametry w linkach otwieranych z e-maili i reklam.
7. Nie traktować trybu incognito ani VPN jako kompletnego narzędzia do anonimowości.

Należy też pamiętać, że bardzo nietypowa konfiguracja przeglądarki może paradoksalnie ułatwiać jej odróżnienie od innych. W ochronie przed fingerprintingiem ważne jest nie tylko ukrywanie parametrów, lecz także upodobnienie przeglądarki do większej grupy użytkowników.

Podsumowanie

Strona może rozpoznać powracającego użytkownika po usunięciu cookies, ponieważ wykorzystuje również inne źródła informacji. Najważniejsze z nich to dane konta, pamięć lokalna przeglądarki, odcisk urządzenia, adres IP oraz identyfikatory umieszczane w linkach.

Wyczyszczenie cookies nadal ma sens — usuwa jeden z najprostszych i najdokładniejszych identyfikatorów. Nie powinno być jednak utożsamiane z całkowitym usunięciem śladów wizyty ani z anonimowością w internecie.