fingerprinting przeglądarki

Fingerprinting przeglądarki (browser fingerprinting) to rozpoznawanie użytkownika po unikalnej kombinacji cech przeglądarki i urządzenia, bez zapisywania czegokolwiek na jego sprzęcie. W3C definiuje go jako zdolność witryny do zidentyfikowania albo ponownego rozpoznania odwiedzającego użytkownika, przeglądarki lub urządzenia na podstawie ustawień konfiguracji i innych obserwowalnych cech ^[1]. Wynikiem jest fingerprint, nazywany też „odciskiem palca” (ang. fingerprint), czyli identyfikator wyliczany z tych cech. W odróżnieniu od ciasteczka fingerprintu zwykle nie da się wyczyścić ani zresetować ^[1].

Jak działa

MDN wymienia typowe składniki fingerprintu: wersję przeglądarki, strefę czasową i preferowany język, dostępne kodeki audio i wideo, zainstalowane czcionki, stan ustawień przeglądarki oraz rozmiar i rozdzielczość ekranu ^[3]. Witryna zbiera je, uruchamiając na urządzeniu JavaScript i CSS, a ich połączenie często daje unikalny fingerprint, który pozwala śledzić użytkownika między witrynami ^[3]. Niebezpiecznik opisuje fingerprint jako skrót wyliczany przez skrypty strony z danych takich jak User-Agent, rozdzielczość ekranu czy lista czcionek systemowych ^[6].

RYS. 1Wyliczenie fingerprintu

Odmiany

W3C rozróżnia fingerprinting pasywny i aktywny ^[1].

Niezależnie od odmiany W3C podkreśla, że zbieranie takich danych zwykle odbywa się bez wyraźnej informacji dla użytkownika ^[1].

W WordPressie

Na stronach WordPress fingerprinting pojawia się w trzech rolach: jako element śledzenia w internecie (online tracking) przez wtyczki analityczne i reklamowe, jako sygnał w ochronie przed nadużyciami oraz jako narzędzie atakujących.

• Wtyczki i zgoda. Wytyczne katalogu wtyczek WordPress.org stanowią, że wtyczki nie mogą śledzić użytkowników bez ich zgody ^[7]. Za zabronione uznają między innymi automatyczne zbieranie danych bez wyraźnego potwierdzenia użytkownika ^[7]. Skrypt fingerprintingowy dołączony do wtyczki podlega więc tym samym zasadom co zgoda na pliki cookie.
• Ochrona przed nadużyciami. Niebezpiecznik opisuje, że instytucje finansowe traktują fingerprint jako dodatkową warstwę ochrony: urządzenie o nieznanym fingerprincie może zostać zatrzymane do dodatkowej weryfikacji ^[6]. Sekurak opisuje, że automaty zdradzają się jednolitym fingerprintem, na przykład śladami bibliotek automatyzacji ^[8]; to ten sam problem, który rozwiązują CAPTCHA i filtry przeciw złośliwym botom.
• Cloaking. Sekurak opisał we wrześniu 2025 roku atak, w którym serwer na podstawie fingerprintu podaje człowiekowi lub znanemu robotowi, takiemu jak Googlebot, nieszkodliwą wersję strony, a agentowi AI wersję zmienioną ^[8]. Wśród cech zdradzających automat wymieniono ślady bibliotek automatyzacji, na przykład właściwość navigator.webdriver ^[8].

Zagrożenia i skutki

Dla prywatności fingerprinting jest groźniejszy od ciasteczek, bo działa bez wyraźnych i skutecznych mechanizmów kontroli po stronie użytkownika ^[1]. Tryb incognito i usuwanie ciasteczek nie zmieniają konfiguracji urządzenia, więc fingerprint pozostaje ten sam. Połączony z innymi danymi powiększa ślad cyfrowy użytkownika.

Grupa Robocza Art. 29 w opinii 9/2014, przyjętej 25 listopada 2014 roku, stwierdziła, że fingerprinting urządzeń budzi poważne obawy dotyczące ochrony danych i bywa proponowany jako alternatywa dla ciasteczek do śledzenia bez zgody ^[4]. Uznała, że art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej obejmuje także fingerprinting, więc przetwarzanie fingerprintów uzyskanych przez dostęp do informacji na urządzeniu wymaga uprzedniej ważnej zgody użytkownika, chyba że zachodzi wyjątek ^[4]. Jeśli fingerprint pozwala zidentyfikować osobę, zastosowanie ma także RODO.

Fingerprint może też działać przeciw ofiarom oszustw. Niebezpiecznik opisał narzędzia takie jak AntiDetect i FraudFox, którymi przestępcy zmieniają parametry przeglądarki, by każda transakcja kradzioną kartą wyglądała na wykonaną przez innego użytkownika ^[6]. Takie przygotowanie poprzedza zwykle testowanie kart (card testing attack) w sklepach internetowych ^[6].

Jak się bronić

Obrona polega na zmniejszeniu unikalności. Tor Browser stara się, by użytkownicy wyglądali możliwie podobnie: stosuje letterboxing, czyli marginesy dopasowujące okno do kilku typowych rozmiarów, ujednolica User-Agent tak, że wszystkie systemy Windows zgłaszają się jako Windows 10, blokuje odczyt obrazu z elementu canvas i stosuje izolację pierwszej strony (first-party isolation) ^[5]. MDN wskazuje, że standardy sieciowe projektuje się tak, by ograniczać możliwość zbierania danych identyfikujących, a przeglądarki dodają własne zabezpieczenia ^[3].

Eckersley zwrócił uwagę na paradoks: technologie mające chronić prywatność mogą same ułatwiać fingerprinting, jeśli używa ich zbyt mało osób ^[2]. Rzadko spotykane rozszerzenie albo nietypowo zmieniony User-Agent wyróżnia przeglądarkę zamiast ją ukrywać.

Wytyczne WordPress.org wymagają od autorów wtyczek, by opisywali zbieranie danych w pliku readme i uzyskiwali zgodę przed kontaktem z zewnętrznymi serwerami ^[7]. Po stronie właściciela witryny obowiązek uzyskania zgody na fingerprinting wynika z opinii 9/2014 ^[4], a przy danych osobowych także z RODO.

Historia i przykłady

Pierwszy duży pomiar skali zjawiska przeprowadziła Electronic Frontier Foundation w projekcie Panopticlick. Dane zebrano od 27 stycznia do 15 lutego 2010 roku z próby 470 161 przeglądarek ^[2]. Rozkład fingerprintów miał co najmniej 18,1 bita entropii, co oznacza, że losowo wybraną przeglądarkę dzieli ten sam fingerprint najwyżej z jedną na 286 777 innych ^[2]. Unikalny fingerprint miało 83,6 procent przeglądarek w próbie, a wśród przeglądarek z Flashem lub Javą 94,2 procent ^[2]. W3C opublikowało wytyczne dla autorów specyfikacji, jak ograniczać ryzyko fingerprintingu, jako Group Note z 25 września 2025 roku ^[1].