Śledzenie w internecie: jak strony rozpoznają użytkownika bez plików cookie

Otwierasz sklep internetowy w trybie prywatnym, odrzucasz zgodę na reklamy i usuwasz dane witryny. Mimo to po ponownym wejściu strona rozpoznaje język, przywraca część ustawień, proponuje podobne produkty, a po zalogowaniu od razu pokazuje historię zamówień. Czy oznacza to, że pliki cookie zostały zapisane inną drogą? Niekoniecznie. Cookies są tylko jednym z wielu sposobów łączenia wizyt, urządzeń i aktywności użytkownika.

Śledzenie w internecie bez cookies może opierać się na koncie, adresie IP, parametrach przeglądarki, pamięci aplikacji, identyfikatorach umieszczonych w linkach albo analizie zachowania po stronie serwera. Nie każda taka technika służy reklamie i nie każda pozwala ustalić tożsamość konkretnej osoby. Różnica między rozpoznaniem sesji, rozpoznaniem urządzenia, identyfikacją zalogowanego użytkownika i budowaniem profilu jest kluczowa przy ocenie prywatności. ^[2]

Czy brak plików cookie oznacza brak śledzenia?

Cookie to tylko jeden z elementów układanki

Plik cookie to niewielki fragment danych zapisany przez przeglądarkę na polecenie odwiedzanej witryny. Serwis może umieścić w nim między innymi identyfikator sesji, ustawienia języka, zawartość koszyka, informację o wyświetleniu komunikatu albo losowy identyfikator używany w analityce. Przy kolejnych żądaniach przeglądarka może automatycznie przesłać ten plik z powrotem do serwera, dzięki czemu strona wie, że kolejne żądanie pochodzi z tego samego profilu przeglądarki.

Trzeba jednak odróżnić cookies własne od cookies zewnętrznych. Pierwsze są ustawiane przez domenę, którą użytkownik aktualnie odwiedza, na przykład sklep.pl. Drugie mogą pochodzić z domeny należącej do zewnętrznego dostawcy reklamy, analityki, czatu lub elementu osadzonego na stronie. Współczesne przeglądarki ograniczają cookies zewnętrzne znacznie silniej niż dawniej, ale samo ograniczenie tego mechanizmu nie usuwa logowania, adresu IP, identyfikatorów w adresach URL ani odcisku palca przeglądarki.

Można więc wyłączyć klasyczne ciasteczka, a jednocześnie pozostawić inne kanały rozpoznawania. Aplikacja może zapisywać dane w local storage, session storage lub IndexedDB. Serwer może zapamiętać charakterystyczny wzorzec połączeń. System logowania może powiązać aktywność z adresem e-mail. Platforma analityczna może otrzymać identyfikator w parametrze linku. Żaden z tych przykładów nie wymaga identycznego mechanizmu jak tradycyjny cookie.

Dlatego pytanie „czy strona używa cookies?” jest zbyt wąskie. Lepsze brzmi: jakie dane są zbierane, gdzie są przechowywane, z czym są łączone i jaki jest cel ich użycia? Dopiero odpowiedź na te cztery pytania pokazuje, czy chodzi o techniczne utrzymanie usługi, pomiar ruchu, ochronę przed nadużyciami, personalizację, czy szerokie profilowanie użytkownika.

Trzy różne znaczenia słowa „rozpoznanie”

Strona może rozpoznać powracającą przeglądarkę, nie wiedząc, kto konkretnie siedzi przed ekranem. Jeśli urządzenie ma ten sam zestaw parametrów, podobny adres sieciowy i zachowuje ten sam identyfikator aplikacji, system może uznać, że kolejna wizyta prawdopodobnie pochodzi od tego samego środowiska. To rozpoznanie techniczne, a nie potwierdzenie tożsamości człowieka.

Drugi scenariusz to identyfikacja osoby po zalogowaniu. W tym przypadku serwis nie musi nawet rozpoznawać urządzenia. Wystarczy, że użytkownik poda poprawne dane logowania, użyje aktywnej sesji albo potwierdzi dostęp za pomocą aplikacji. Konto staje się stabilnym punktem odniesienia. Zmiana przeglądarki czy wyczyszczenie pamięci witryny może usunąć lokalny identyfikator, lecz nie usuwa danych zapisanych na koncie. ^[3]

Trzeci wariant to analiza pojedynczej sesji. Serwer obserwuje kolejność żądań, czas ich nadejścia, wybierane podstrony, błędy formularza i sposób korzystania z interfejsu. Nie musi wiedzieć, czy użytkownik wróci jutro. Może ocenić, czy aktualna sesja wygląda jak automatyczny skrypt, próba przejęcia konta, zwykłe przeglądanie oferty czy proces składania zamówienia.

Serwis może więc nie znać imienia, nazwiska ani adresu e-mail użytkownika, a mimo to łączyć jego wizyty w jeden wzorzec zachowania. Taki profil może mieć postać techniczną, na przykład „przeglądarka A odwiedza kategorię elektronika”, albo marketingową: „osoba korzystająca z tego środowiska wykazuje zainteresowanie określoną grupą produktów”. W obu przypadkach mówimy o śledzeniu, choć zakres wiedzy jest zupełnie inny.

Jaki masz cel jako właściciel konta lub użytkownik? Chodzi o wygodę, bezpieczeństwo, pomiar ruchu, reklamę, czy pełne profilowanie? To pytanie pomaga odróżnić mechanizm proporcjonalny od rozwiązania, które zbiera znacznie więcej danych, niż wymaga działanie serwisu.

Dlaczego firmy szukają zamienników cookies

Klasyczny model śledzenia stał się mniej skuteczny z kilku powodów. Przeglądarki ograniczają cookies zewnętrzne, użytkownicy blokują reklamy, tryby ochrony prywatności utrudniają zapis identyfikatorów, a przepisy wymagają większej przejrzystości i odpowiedniego uzasadnienia przetwarzania danych. Reklamodawca nie może już zakładać, że jeden identyfikator zapisany w przeglądarce będzie dostępny w każdej witrynie i przez dowolnie długi czas.

Jednocześnie strony nadal muszą realizować funkcje niezwiązane z reklamą. Sklep potrzebuje utrzymać koszyk, bank musi wykrywać podejrzane logowania, serwis streamingowy musi wiedzieć, czy użytkownik ma aktywną subskrypcję, a panel administracyjny powinien odróżniać prawidłowe żądanie od próby automatycznego ataku. Część danych identyfikacyjnych jest więc potrzebna do działania usługi, choć nie oznacza to automatycznie zgody na reklamowe śledzenie między witrynami.

Najważniejszy jest cel oraz zakres. Identyfikator sesji ważny przez czas logowania i wykorzystywany do ochrony konta to co innego niż identyfikator pozwalający rozpoznać tę samą przeglądarkę na wielu niezależnych stronach. Tak samo lokalne zapamiętanie ustawienia kontrastu różni się od trwałego identyfikatora używanego do odtwarzania profilu po usunięciu innych danych.

Firma może też przenieść część analityki na własny serwer. Taki tracking server-side ogranicza widoczność zewnętrznych skryptów, ale nie sprawia, że śledzenie przestaje istnieć. Dane nadal mogą być zbierane przy żądaniu HTTP, podczas logowania albo w procesie zakupu. Z perspektywy prywatności liczy się nie miejsce wykonania kodu, lecz to, jakie informacje są rejestrowane i jak długo można je połączyć z użytkownikiem.

Jeśli chcesz pogłębić ten wątek, sprawdź też: Miniaturowe serwery domowe: nowy trend w NAS i homelab.

Jak strony rozpoznają użytkownika bez cookies?

Logowanie, adres e-mail i identyfikatory po stronie serwera

Najskuteczniejszym sposobem rozpoznania użytkownika nie jest wcale skomplikowany fingerprinting, lecz konto. Po zalogowaniu serwis otrzymuje dowód, że osoba korzystająca z danego urządzenia ma dostęp do konkretnego profilu. Może to być hasło, kod jednorazowy, klucz dostępu, potwierdzenie w aplikacji albo inny mechanizm uwierzytelnienia.

Przeglądarka zazwyczaj otrzymuje wtedy token sesyjny, ale sam fakt przypisania aktywności do konta zachodzi po stronie serwera. Token może być przechowywany w cookie, w pamięci aplikacji, w mechanizmie właściwym dla aplikacji mobilnej albo przekazywany w nagłówku autoryzacyjnym. W każdym wariancie serwer widzi, że żądanie dotyczy konkretnego konta, na przykład klienta o określonym numerze wewnętrznym.

Adres e-mail może służyć do połączenia wielu zdarzeń: rejestracji, zamówień, zgłoszeń do obsługi, kliknięcia wiadomości i korzystania z aplikacji. Nie trzeba zapisywać ciasteczka reklamowego, aby wiedzieć, że użytkownik oglądał produkt przed zakupem, jeśli wcześniej zalogował się na konto. Połączenie następuje w bazie danych, a niekoniecznie w pamięci przeglądarki.

Wylogowanie, usunięcie danych lokalnych lub skorzystanie z trybu prywatnego nie usuwa informacji zapisanych na koncie. Może przerwać bieżącą sesję na danym urządzeniu, ale historia zamówień, ustawienia profilu, lista zapisanych produktów czy informacje o subskrypcji pozostają po stronie usługi. Zmienia się sposób dostępu, niekoniecznie sam zbiór danych.

Praktyczny przykład jest prosty: sklep rozpoznaje klienta po zalogowaniu i pokazuje wcześniejsze zamówienia oraz rekomendacje. Użytkownik może zablokować reklamy oparte na cookies, ale sklep nadal będzie personalizować widok w ramach własnego konta. Nie jest to dowód, że blokada nie działa. Oznacza raczej, że reklamy i funkcje konta opierają się na dwóch różnych mechanizmach.

Fingerprinting, czyli odcisk palca przeglądarki i urządzenia

Fingerprinting przeglądarki polega na łączeniu wielu informacji o środowisku, w którym działa strona. Mogą to być między innymi rodzaj i wersja przeglądarki, system operacyjny, język, strefa czasowa, rozmiar obszaru roboczego, dostępne formaty, parametry grafiki, obsługa określonych funkcji czy sposób renderowania elementów. ^[1]

Pojedyncza cecha zwykle nie identyfikuje osoby. Tysiące urządzeń mogą korzystać z tej samej przeglądarki i tego samego systemu. Znaczenie pojawia się dopiero przy kombinacji wielu sygnałów. Im mniej typowa jest konfiguracja, tym łatwiej odróżnić ją od innych. Nie oznacza to jednak, że odcisk palca jest niezmiennym numerem seryjnym urządzenia.

W fingerprintingu aktywnym skrypt uruchomiony w przeglądarce prosi o dostęp do różnych właściwości środowiska. Może badać między innymi możliwości graficzne, dostępne czcionki, cechy canvasu, obsługę API albo zachowanie określonych funkcji. Każdy odczyt z osobna może wydawać się niegroźny, ale ich zestaw tworzy bardziej charakterystyczny opis.

Fingerprinting pasywny wykorzystuje dane widoczne przy zwykłym połączeniu. Serwer analizuje nagłówki, wersję protokołu, sposób zestawienia połączenia, wspierane funkcje i inne parametry przekazywane bez specjalnego skryptu. Użytkownik może nie zobaczyć dodatkowego żądania w interfejsie, choć jego środowisko nadal dostarcza informacji technicznych.

Odcisk palca ma ograniczenia. Aktualizacja przeglądarki może zmienić część parametrów, podłączenie zewnętrznego monitora wpłynie na rozdzielczość, a przejście na inną sieć zmieni sygnały transportowe. Z kolei przeglądarka, która celowo ujednolica wiele cech użytkowników, utrudnia wyróżnienie jednej konfiguracji. Paradoksalnie bardzo nietypowe ustawienia ochrony prywatności mogą czasem zwiększyć unikalność profilu, jeśli korzysta z nich niewiele osób.

Adres IP, sieć i sygnały transportowe

Każde połączenie z serwerem internetowym wiąże się z adresem IP widocznym dla infrastruktury obsługującej żądanie. Na jego podstawie można zwykle określić przybliżony region, operatora lub typ sieci. Sam adres nie wskazuje jednak automatycznie konkretnej osoby ani dokładnego miejsca pobytu. Jego znaczenie zależy od operatora, rodzaju połączenia i dodatkowych danych.

W domu wiele urządzeń może korzystać z jednego publicznego adresu dzięki NAT. Ten sam adres może więc reprezentować kilka osób, telewizor, telefon, komputer i urządzenia automatyczne. W firmie lub szkole wspólna sieć może obejmować jeszcze większą liczbę użytkowników. Serwis widzący jeden adres nie powinien traktować go jako jednoznacznego identyfikatora człowieka.

Adres IP może być stały, zmienny albo współdzielony. Operator może przydzielać inny adres po ponownym połączeniu, a sieć komórkowa często korzysta z rozbudowanego NAT-u operatora. W takiej sytuacji ten sam adres może w krótkim czasie obsługiwać ruch wielu, niezależnych abonentów. Z drugiej strony stały adres firmowy, powtarzalna pora połączeń i charakterystyczny zakres operatora mogą dostarczyć serwisowi użytecznego kontekstu.

Co zmienia VPN, proxy i sieć Tor?

Połączenie przez VPN sprawia, że odwiedzana strona widzi zazwyczaj adres serwera VPN, a nie publiczny adres domowej lub mobilnej sieci użytkownika. Utrudnia to określenie przybliżonej lokalizacji i operatora dostępu. Nie usuwa jednak innych sygnałów. Serwis nadal może widzieć parametry przeglądarki, sposób korzystania ze strony, dane konta, nagłówki oraz wzorzec kolejnych żądań.

Przy planowaniu kolejnych kroków pomocny może być tekst: Jak wybrać monitor Mini-LED do pracy kreatywnej.

Adres serwera VPN może być zresztą rozpoznawalny. Dostawcy usług utrzymują publiczne listy zakresów używanych przez centra danych, a wiele osób może korzystać z tego samego punktu wyjścia. Dla sklepu taki ruch może wyglądać inaczej niż typowa wizyta z sieci domowej. Niektóre usługi ograniczają logowanie, wymagają dodatkowego potwierdzenia albo blokują część ruchu po wykryciu adresu centrum danych.

Proxy działa podobnie, ale jego zakres może być węższy. Czasem pośredniczy tylko w ruchu określonej aplikacji lub przeglądarki. Serwer docelowy może otrzymać dodatkowe nagłówki wskazujące wcześniejszy adres, choć nie powinno się zakładać, że każdy proxy przekazuje takie informacje. Wiele zależy od konfiguracji pośrednika i od tego, czy jest on zaufany.

Sieć Tor kieruje połączenie przez kilka przekaźników i zwykle ukrywa bezpośredni adres użytkownika przed odwiedzaną stroną. Jednocześnie wyjściowy węzeł Tor może być publicznie znany, a sama konfiguracja przeglądarki Tor jest celowo ujednolicana. To pomaga ograniczać wyróżnianie użytkownika, lecz może powodować dodatkowe kontrole, wolniejsze działanie lub blokady w serwisach wymagających stabilnego profilu ryzyka.

VPN, proxy i Tor są więc narzędziami zmieniającymi jeden element obrazu połączenia. Nie są automatycznym przełącznikiem „brak śledzenia”. Jeśli użytkownik loguje się na to samo konto, podaje ten sam adres e-mail albo wykonuje podobne działania w jednej usłudze, zmiana trasy sieciowej nie przerywa połączenia tych informacji po stronie serwera.

Inne sygnały widoczne podczas połączenia

Poza samym adresem IP serwer może analizować nagłówki HTTP, wersję używanego protokołu, kolejność żądań i sposób zestawienia bezpiecznego połączenia. Znaczenie mogą mieć między innymi deklarowany język, obsługiwane formaty, kolejność nagłówków, sposób negocjowania szyfrowania oraz to, czy klient korzysta z HTTP/1.1, HTTP/2 lub HTTP/3.

Pojedynczy parametr rzadko wystarcza do rozpoznania. Wartość pojawia się przy zestawieniu wielu sygnałów: adresu z określonego zakresu, typu sieci, charakterystycznej konfiguracji protokołu, powtarzalnego harmonogramu żądań i podobnego zachowania na stronie. Taki zestaw może pomóc wykrywać nadużycia albo łączyć zdarzenia, ale nadal jest oceną prawdopodobieństwa, a nie pewnym dowodem tożsamości.

Serwer może również obserwować czas i kolejność działań. Jeżeli żądania pojawiają się z nieludzką regularnością, formularze są wysyłane szybciej, niż da się je przeczytać, a podstrony są odwiedzane według stałego schematu, system może przypisać ruch do automatu. Z kolei charakterystyczny rytm logowań, powtarzające się godziny aktywności i te same ścieżki przechodzenia przez panel mogą ułatwić połączenie zdarzeń nawet po zmianie adresu IP.

Ten rodzaj analizy służy nie tylko reklamie. Bank może porównać urządzenie, sieć, lokalizację i sposób wpisywania danych, aby ocenić ryzyko transakcji. Platforma może wykryć masowe zakładanie kont. Forum może ograniczyć automatyczne publikowanie. Z punktu widzenia prywatności istotne pozostaje jednak to, czy dane są używane wyłącznie do ochrony bieżącej sesji, czy także przechowywane i łączone z długoterminowym profilem.

Kiedy rozpoznawanie po sygnałach sieciowych ma sens?

Rozwiązanie może być uzasadnione, gdy jego cel jest konkretny i proporcjonalny. Przykładem jest krótkotrwała ocena ryzyka podczas logowania, ochrona formularza przed masowym spamem albo ograniczenie liczby prób odzyskania hasła. W takich sytuacjach serwis może potrzebować informacji o sieci i zachowaniu, ale nie musi budować trwałego profilu odwiedzającego.

Warto zachować ostrożność, gdy ten sam zestaw sygnałów służy do śledzenia użytkownika przez długi czas, łączenia aktywności na niezależnych stronach albo personalizowania reklam bez jasnego wyjaśnienia. Szczególnie problematyczne jest łączenie danych transportowych z fingerprintingiem, historią konta i informacjami od partnerów. Każdy element może wyglądać niepozornie, lecz razem tworzą znacznie dokładniejszy obraz aktywności.

Jak podjąć bezpieczną decyzję jako użytkownik?

Najpierw ustal, przed czym chcesz się chronić. Jeśli chodzi o zwykłe ograniczenie reklamowego profilowania, samo usunięcie cookies może nie wystarczyć, ale pomocne będzie ograniczenie skryptów zewnętrznych, blokowanie śledzących elementów i rozdzielanie kont używanych do różnych celów. Jeżeli priorytetem jest bezpieczeństwo konta, ważniejsze od ukrywania adresu IP może być używanie unikalnego hasła, uwierzytelniania wieloskładnikowego i powiadomień o nowych logowaniach.

Następnie sprawdź, czy serwis wymaga logowania i jakie dane zapisuje w profilu. Tryb prywatny może ograniczyć lokalne zapamiętywanie historii, ale nie ukryje aktywności przed stroną, operatorem konta ani administratorem zarządzanej sieci. VPN może zmienić widoczny adres, lecz nie powinien być traktowany jako zamiennik kontroli nad kontem i ustawieniami prywatności.

Pomocna jest krótka lista kontrolna:

• jaki jest cel rozpoznawania: bezpieczeństwo, działanie usługi, statystyka czy reklama,
• czy dane są używane tylko w jednej usłudze, czy przekazywane także innym podmiotom,
• jak długo pozostają połączone z kontem, adresem IP lub urządzeniem,
• czy można wyłączyć personalizację bez utraty podstawowych funkcji,
• czy polityka prywatności opisuje fingerprinting, identyfikatory serwerowe i dane sieciowe,
• czy dodatkowa ochrona nie powoduje nowych zagrożeń, na przykład korzystania z niezaufanego proxy.

Najbezpieczniejsza decyzja zwykle nie polega na szukaniu jednego narzędzia, które ukryje każdy sygnał. Lepiej ograniczyć zakres danych do potrzebnej funkcji, wybierać usługi jasno opisujące swoje praktyki, rozdzielać aktywność wymagającą anonimowości od aktywności przypisanej do konta i pamiętać, że zmiana adresu sieciowego nie usuwa informacji już zapisanych po stronie serwera.

Najczęściej zadawane pytania (FAQ)

Czy brak plików cookie oznacza brak śledzenia?

Nie. Strona może korzystać między innymi z kont użytkowników, adresu IP, pamięci aplikacji, identyfikatorów w adresach URL, danych po stronie serwera i fingerprintingu.

Czy tryb prywatny usuwa informacje zapisane na koncie?

Nie. Tryb prywatny ogranicza dane przechowywane lokalnie, ale nie usuwa historii zamówień, ustawień ani innych informacji zapisanych na koncie użytkownika.

Czym różni się rozpoznanie urządzenia od identyfikacji osoby?

Rozpoznanie urządzenia wskazuje na prawdopodobny powrót tego samego środowiska technicznego. Identyfikacja osoby następuje na przykład po zalogowaniu i powiązaniu aktywności z konkretnym kontem.

Co to jest fingerprinting przeglądarki?

To metoda łączenia wielu informacji o przeglądarce i urządzeniu, takich jak system, język, rozmiar ekranu czy możliwości graficzne, aby utworzyć charakterystyczny opis środowiska.

Czy tracking server-side oznacza brak śledzenia w przeglądarce?

Nie. Przeniesienie analityki na serwer ogranicza działanie zewnętrznych skryptów, ale dane nadal mogą być zbierane podczas żądań HTTP, logowania lub zakupów.

Co warto zapamiętać

• Wyłączenie lub usunięcie cookies nie oznacza automatycznie braku śledzenia.
• Serwisy mogą rozpoznawać użytkownika za pomocą kont, identyfikatorów po stronie serwera, pamięci aplikacji, parametrów linków i fingerprintingu.
• Rozpoznanie przeglądarki, identyfikacja zalogowanej osoby i analiza pojedynczej sesji to różne poziomy przetwarzania danych.
• O wpływie mechanizmu na prywatność decydują przede wszystkim zakres zbieranych informacji, cel ich użycia i możliwość łączenia ich z użytkownikiem.
• Tracking server-side nie eliminuje śledzenia, lecz zmienia miejsce, w którym odbywa się część analizy.

Źródła

• [1] MDN Web Docs – Fingerprinting — MDN Web Docs ↑
• [2] Information Commissioner’s Office – What are storage and access technologies? — ICO ↑
• [3] Electronic Frontier Foundation – Cover Your Tracks — About ↑