Sledování zařízení vs. sledování pomocí cookies: technické srovnání

Éra sledování založeného na cookies končí. Safari ve výchozím nastavení blokuje třetí-stranové cookies. Chrome je postupně ruší. Firefox má rozšířenou ochranu proti sledování (Enhanced Tracking Protection). Dokonce i první-stranové cookies čelí stále přísnějším omezením ze strany ITP a podobných mechanismů. Pro aplikace, které závisí na identifikaci vracejících se návštěvníků — prevence podvodů, personalizace, analytika — nabízí fingerprinting zařízení zásadně odolnější přístup.

Jak funguje sledování pomocí cookies

Sledování pomocí cookies je koncepčně jednoduché. Při první návštěvě vygeneruje server jedinečný identifikátor a uloží jej do cookie. Při dalších návštěvách prohlížeč cookie posílá zpět, což serveru umožňuje návštěvníka rozpoznat. První-stranové cookies (nastavené stejnou doménou, kterou uživatel navštěvuje) přetrvávají napříč relacemi. Třetí-stranové cookies (nastavené jinou doménou) umožňují sledování napříč weby.

Jednoduchost cookies je zároveň jejich slabinou. Uživatelé mohou cookies kdykoliv smazat. Anonymní režim prohlížení cookies neuchovává. Aktualizace prohlížečů stále více omezují dobu platnosti cookies — Safari ITP omezuje první-stranové cookies nastavené přes JavaScript na 7 dní. A chystané zrušení třetí-stranových cookies v Chrome odstraňuje hlavní mechanismus pro identifikaci napříč weby.

Jak funguje fingerprinting zařízení

Fingerprinting zařízení identifikuje návštěvníky sběrem technických atributů jejich zařízení a prohlížeče — výstup vykreslování canvasu, parametry WebGL, charakteristiky zpracování zvuku, nainstalované fonty, vlastnosti obrazovky a desítky dalších signálů. Tyto signály jsou zkombinovány do hashe, který slouží jako identifikátor zařízení. Protože je identifikátor odvozen z vlastních charakteristik zařízení, nikoliv z uložených dat, přežije smazání cookies, anonymní prohlížení i přeinstalaci prohlížeče.

Přesnost fingerprintingu závisí na počtu a kvalitě sebraných signálů. S komplexní sadou signálů — více než 130 signálů, které sbírá tracio.ai — je pravděpodobnost, že dvě různá zařízení vyprodukují stejný fingerprint, mizivě malá. Náš vícevrstvý přístup k identifikaci zvládá přirozený drift signálů na úrovni softwaru a zároveň udržuje stabilní identifikaci díky signálům na úrovni hardwaru.

Srovnání vedle sebe

Trvanlivost je nejvýznamnějším rozdílem. Cookies vydrží do smazání nebo vypršení platnosti. Fingerprinty zařízení přetrvávají tak dlouho, dokud zůstává hardware stejný — u spotřebitelských zařízení obvykle 3–5 let. Identifikace napříč prohlížeči je s cookies nemožná (každý prohlížeč má vlastní úložiště cookies), ale s fingerprintingem dosažitelná, když zařízení sdílejí stejné hardwarové signály.

Dopad na soukromí bývá často špatně chápán. Cookies mohou ukládat libovolná data, včetně osobních informací. Fingerprinting zařízení sbírá pouze technické atributy — žádný osobní obsah, žádnou historii prohlížení, žádná data z formulářů. Z pohledu GDPR mohou cookies i fingerprinty představovat osobní údaje, pokud se používají k identifikaci, ale rozsah sbíraných dat je u fingerprintingu užší.

Složitost implementace hraje ve prospěch cookies u jednoduchých případů — nastavení cookie je jeden řádek kódu. Fingerprinting zařízení však poskytuje úplnější řešení pro prevenci podvodů, kde útočníci aktivně mažou cookies a používají anonymní prohlížení k obcházení detekce. JavaScriptový agent tracio.ai zpracovává veškerý sběr signálů, přenos i identifikaci automaticky.

Kdy použít který přístup

Cookies zůstávají správnou volbou pro správu relací a předvolby uživatele — data, která uživatel očekává, že bude moci ovládat a mazat. Fingerprinting zařízení je správnou volbou pro bezpečnost a prevenci podvodů, kde identifikace musí přežít aktivní obcházení. V praxi má většina aplikací prospěch z použití obojího: cookies pro stav relace, fingerprinting zařízení pro bezpečnostní signály.

Budoucnost identifikace

Jak prohlížeče nadále omezují mechanismy sledování, odvětví se posouvá směrem k metodám identifikace šetrným k soukromí. Fingerprinting zařízení, je-li implementován s minimalizací dat a omezením účelu, s tímto směrem dobře ladí. Sběrem pouze technických atributů a jejich zpracováním na infrastruktuře zákazníka poskytuje tracio.ai trvalou identifikaci, která respektuje soukromí uživatelů.