Rozpoznawanie bez plików cookie
Pliki cookie znikają z przeglądarek – rozpoznawanie nie. Fingerprinting, piksele zliczające i metody po stronie serwera robią to samo, są trudniejsze do zauważenia i podlegają tym samym przepisom.
Debata o końcu plików cookie trzecich stron sugeruje, że wraz z nimi kończy się śledzenie. W rzeczywistości ono się przeniosło. Następcze metody osiągają ten sam cel drogami, które nie pojawiają się na liście plików cookie w przeglądarce i których nie da się usunąć przez skasowanie czegokolwiek.
Jak trudno zauważyć poszczególne metody
Fingerprinting: urządzenie jako własny identyfikator
Każda przeglądarka zdradza przy wywołaniu mnóstwo drobiazgów: rozdzielczość ekranu, strefę czasową, ustawienie języka, zainstalowane czcionki, kartę graficzną, obsługiwane funkcje. Osobno żaden z nich nic nie mówi. Razem tworzą jednak często kombinację występującą dokładnie w tej postaci tylko na jednym urządzeniu.
Różnica wobec pliku cookie jest zasadnicza: nic nie zostaje zapisane. Kasowanie nie pomaga, bo nie ma czego kasować. A kombinacja pozostaje w dużej mierze stabilna między sesjami.
Piksele i obejście przez własne adresy
Piksel zliczający to obrazek o wielkości jednego piksela ładowany z obcego serwera. Samo pobranie jest raportem: przesyła adres IP, moment i stronę, na której obrazek się znajdował. W e-mailach to od dekad zwykły sposób liczenia otwarć.
Krok dalej idzie metoda CNAME: usługę pomiarową osadza się przez subdomenę własnego adresu – na przykład statystyki.przyklad.pl. Dla przeglądarki wygląda to jak własny adres, dlatego listy blokujące i ochrona przeglądarki często nie działają. Prawnie nic to nie zmienia: odbiorcą danych pozostaje ten sam obcy podmiot.
Przekazywanie po stronie serwera
Przy tagowaniu po stronie serwera to nie przeglądarka raportuje usłudze pomiarowej, lecz własny serwer. Przeglądarka rozmawia już tylko z odwiedzaną stroną; co jest stamtąd przekazywane, z zewnątrz nie jest widoczne.
Ma to uzasadnione powody – mniej skryptów, szybsze strony, większa kontrola nad przesyłanymi polami. Przesuwa jednak możliwość weryfikacji: czego blokada w przeglądarce nie widzi, tego nie zatrzyma, a czego kontroler nie zobaczy w logu sieciowym, musi przyjąć na słowo operatora.
Obowiązek zezwolenia wiąże się z dostępem do urządzenia, nie z formą zapisu. Metoda nie staje się legalna przez to, że trudniej ją wykryć.
Dla inwentaryzacji wynika stąd, że sama lista plików cookie nie wystarcza. Staje się kompletna dopiero wtedy, gdy obok plików cookie obejmuje local storage, treści osadzone, piksele, subdomeny wskazujące na obce usługi i przekazywanie po stronie serwera – to ostatnie da się ustalić wyłącznie wewnętrznie, nigdy kontrolą z zewnątrz.