पोस्ट-कुकी दुनिया में डिवाइस फ़िंगरप्रिंटिंग: 2026 का नियामक और तकनीकी नक्शा

"पोस्ट-कुकी दुनिया" वाक्यांश दो बहुत अलग कहानियों को एक में समेट देता है, और यही घालमेल 2026 में इस बात के इर्द-गिर्द अधिकांश भ्रम पैदा करता है कि क्या डिवाइस फ़िंगरप्रिंटिंग अभी भी व्यवहार्य है। एक कहानी तकनीकी है: ब्राउज़रों ने थर्ड-पार्टी कुकीज़ को सीमित किया और फिर हटा दिया, और प्रतिस्थापन मैकेनिज़्म बनाए। दूसरी कहानी कानूनी है: नियामकों ने स्पष्ट किया कि फ़िंगरप्रिंटिंग उन्हीं नियमों से नियंत्रित होती है जो कुकीज़ पर लागू होते हैं। दोनों कहानियाँ वास्तविक हैं, दोनों मायने रखती हैं, और दोनों को अक्सर "फ़िंगरप्रिंटिंग मर चुकी है" के रूप में गलत पढ़ा जाता है, जबकि वे वास्तव में जो स्थापित करती हैं वह कहीं अधिक विशिष्ट है।

यह लेख दोनों का नक्शा बनाता है — ब्राउज़रों में क्या बदला, कानून क्या कहता है, और दोनों किस तरह परस्पर क्रिया करते हैं — एक सुसंगत सूत्र के साथ: पहचान का उद्देश्य, न कि मैकेनिज़्म, ही तकनीकी व्यवहार्यता और कानूनी स्थिति दोनों को निर्धारित करता है। दर्शक वे privacy, कानूनी और इंजीनियरिंग हितधारक हैं जो यह तय कर रहे हैं कि device intelligence को तैनात किया जाए या नहीं और कैसे।

"पोस्ट-कुकी दुनिया" ने वास्तव में क्या हटाया

पोस्ट-कुकी बदलाव ने थर्ड-पार्टी कुकीज़ — क्रॉस-साइट ट्रैकिंग मैकेनिज़्म — को हटाया, जबकि फ़र्स्ट-पार्टी स्टेट और फ़र्स्ट-पार्टी डिवाइस पहचान को बरकरार रखा। यह अंतर फ़िंगरप्रिंटिंग का मूल्यांकन करने के लिए सबसे महत्वपूर्ण तथ्य है, और यही वह बात है जो सबसे अधिक बार खो जाती है।

थर्ड-पार्टी कुकी एड्रेस बार में मौजूद डोमेन के अलावा किसी अन्य डोमेन द्वारा सेट की जाती है, और यह उस थर्ड पार्टी को उन सभी असंबंधित साइटों पर एक उपयोगकर्ता को पहचानने देती है जहाँ उसका कोड चलता है। यही क्रॉस-साइट व्यवहारपरक विज्ञापन का इंजन है, और यही वह चीज़ है जिसे ब्राउज़रों ने ध्वस्त किया। फ़र्स्ट-पार्टी कुकी — जो उसी साइट द्वारा सेट की जाती है जिस पर आप वास्तव में जा रहे हैं, और केवल उसी साइट द्वारा पढ़ी जा सकती है — कभी लक्ष्य नहीं थी और काम करती रहती है।

ब्राउज़र अलग-अलग समयरेखाओं पर अलग-अलग मैकेनिज़्म के साथ आगे बढ़े, लेकिन दिशा एकसमान थी: क्रॉस-साइट थर्ड-पार्टी स्टेट को समाप्त करना, फ़र्स्ट-पार्टी संबंध को संरक्षित करना।

Safari (Intelligent Tracking Prevention)। Apple के ITP ने 2020 से डिफ़ॉल्ट रूप से थर्ड-पार्टी कुकीज़ को ब्लॉक किया है और ट्रैकिंग वर्कअराउंड को सीमित करने के लिए स्क्रिप्ट-सेट स्टेट के लिए फ़र्स्ट-पार्टी स्टोरेज की अवधि को क्रमशः कड़ा किया है। ITP विशेष रूप से क्रॉस-साइट ट्रैकिंग उपयोग मामले को लक्षित करता है।

Firefox (Enhanced Tracking Protection / Total Cookie Protection)। Firefox डिफ़ॉल्ट रूप से थर्ड-पार्टी ट्रैकिंग कुकीज़ को ब्लॉक करता है और स्टोरेज को प्रति-साइट विभाजित करता है, ताकि एक थर्ड पार्टी को हर साइट पर सभी में साझा एक ही पहचान के बजाय एक अलग कुकी जार मिले। फिर से — क्रॉस-साइट लिंकेज ही लक्ष्य है।

Chrome (Privacy Sandbox)। Chrome का रास्ता लंबा और अधिक विवादित था। थर्ड-पार्टी कुकीज़ को केवल ब्लॉक करने के बजाय, Google ने Privacy Sandbox बनाया — उद्देश्य-सीमित APIs का एक सेट (रुचि सिग्नलों के लिए Topics, रीमार्केटिंग के लिए Protected Audience, कन्वर्ज़न मापन के लिए Attribution Reporting) जिसका इरादा क्रॉस-साइट पहचानकर्ताओं के बिना विज्ञापन परिणाम देना था। रोलआउट, deprecation समयरेखा, और उपयोगकर्ता-सामने वाले विकल्प की सटीक स्थिति 2024–2026 के दौरान बार-बार बदली, लेकिन आर्किटेक्चरल इरादा कायम रहा: क्रॉस-साइट पहचानकर्ता को समुच्चयित, privacy-scoped मैकेनिज़्मों से बदलना। विशेष रूप से फ़िंगरप्रिंटिंग पर प्रभाव को Privacy Sandbox impact में शामिल किया गया है।

इनमें से हर एक एक ही चीज़ को लक्षित करता है: एक थर्ड पार्टी द्वारा उन साइटों पर एक उपयोगकर्ता को पहचानना जिनका वह मालिक नहीं है। इनमें से कोई भी — वेब को तोड़े बिना — किसी साइट द्वारा अपने ही पृष्ठों पर अपने ही आगंतुकों को पहचानने को लक्षित नहीं करता, और न ही कर सकता है। यही वह जगह है जहाँ फ्रॉड फ़िंगरप्रिंटिंग बसती है।

फ़र्स्ट-पार्टी फ्रॉड फ़िंगरप्रिंटिंग एक अलग उपयोग मामला है

फ्रॉड रोकथाम के लिए फ़िंगरप्रिंटिंग स्वभाव से फ़र्स्ट-पार्टी और एकल-साइट है: एक प्लेटफ़ॉर्म अपने ही पृष्ठों पर अपने ही आगंतुकों की पहचान करके सुरक्षा निर्णय लेता है। यह ब्राउज़रों द्वारा ध्वस्त किए गए क्रॉस-साइट विज्ञापन उपयोग मामले से श्रेणीगत रूप से अलग है, और ब्राउज़र मैकेनिज़्म इसे सीमित नहीं करते — क्योंकि वे ऐसा कर ही नहीं सकते, बिना उस आवश्यक कार्यक्षमता को तोड़े जिस पर हर साइट निर्भर करती है।

विचार करें कि फ़र्स्ट-पार्टी डिवाइस पहचान को रोकने के लिए एक ब्राउज़र को क्या तोड़ना पड़ेगा। उसे किसी साइट को उस ब्राउज़र की विशेषताएँ पढ़ने से रोकना होगा जो उसके ही पृष्ठों को रेंडर कर रहा है — स्क्रीन का आकार, भाषा, वह टाइमिंग और रेंडरिंग व्यवहार जिसकी एक साइट को काम करने के लिए ज़रूरत है, वह नेटवर्क स्टैक जिससे वह पहले से बात कर रहा है। ये ट्रैकिंग हुक नहीं हैं; ये वह बुनियादी सतह हैं जिस पर एक वेब एप्लिकेशन चलता है। इन्हें सीमित करना वैध कार्यक्षमता को तोड़ता है, इसलिए ब्राउज़र इन सिग्नलों के क्रॉस-साइट संयोजन और दुरुपयोग को सीमित करते हैं, न कि उनके फ़र्स्ट-पार्टी अवलोकन को।

यही कारण है कि डिवाइस-बनाम-कुकी अंतर मायने रखता है। एक फ्रॉड सिस्टम जो किसी एकल प्लेटफ़ॉर्म पर लौटने वाले डिवाइस की पहचान करता है, वह थर्ड-पार्टी कुकी का पुनर्निर्माण नहीं कर रहा — वह कुछ ऐसा कर रहा है जो थर्ड-पार्टी कुकीज़ ने वैसे भी कभी अच्छी तरह नहीं किया: साइट के अपने सुरक्षा उद्देश्य के लिए, क्लियरिंग के प्रति प्रतिरोधी एक स्थिर पहचान बनाना। और इसे बिना किसी कुकी के करना, जो पूरे कुकी-deprecation प्रश्न को दरकिनार कर देता है।

इसलिए तकनीकी व्यवहार्यता का फैसला सीधा है: पोस्ट-कुकी ब्राउज़र बदलाव क्रॉस-साइट फ़िंगरप्रिंटिंग को कम करते हैं (कठिन, अधिक सीमित) और फ़र्स्ट-पार्टी फ्रॉड फ़िंगरप्रिंटिंग को अनिवार्य रूप से बरकरार छोड़ देते हैं। एक फ्रॉड सिस्टम जो क्रॉस-साइट सिग्नल साझाकरण पर निर्भर था, वह मुश्किल में होगा; फ़र्स्ट-पार्टी डिवाइस पहचान के इर्द-गिर्द बना सिस्टम नहीं।

GDPR और ePrivacy वास्तव में फ़िंगरप्रिंटिंग के बारे में क्या कहते हैं

यूरोपीय कानून डिवाइस फ़िंगरप्रिंटिंग को उसी तरह मानता है जैसे वह कुकीज़ को मानता है: यह विशिष्ट तकनीक से नहीं, बल्कि उद्देश्य और उपयोगकर्ता के डिवाइस तक पहुँच से नियंत्रित करता है। फ़िंगरप्रिंटिंग कुकी न होने के कारण नियमों से बच नहीं जाती, और यह स्वचालित रूप से उनके अंतर्गत भी नहीं आती — विश्लेषण इस पर टिका है कि आप ऐसा क्यों कर रहे हैं।

दो साधन लागू होते हैं, और वे क्रम में काम करते हैं।

ePrivacy Directive (Article 5(3)) किसी उपयोगकर्ता के terminal equipment पर जानकारी संग्रहीत करने, या उसमें पहले से संग्रहीत जानकारी तक पहुँच प्राप्त करने के कार्य को नियंत्रित करता है। यह "कुकी कानून" है, लेकिन इसका पाठ तकनीक-निरपेक्ष है — यह "जानकारी" और "पहुँच" को शामिल करता है, जिसे नियामकों (और European Data Protection Board के मार्गदर्शन) ने लगातार ऐसे पढ़ा है कि इसमें वे फ़िंगरप्रिंटिंग तकनीकें भी शामिल हैं जो डिवाइस विशेषताओं तक पहुँचती हैं। इसलिए किसी डिवाइस से सिग्नल पढ़ना ePrivacy के दायरे में आता है, चाहे कुकी शामिल हो या नहीं।

महत्वपूर्ण रूप से, Article 5(3) में छूट शामिल है। सहमति आवश्यक नहीं है जहाँ पहुँच किसी संचार को प्रसारित करने के लिए या उपयोगकर्ता द्वारा स्पष्ट रूप से अनुरोधित किसी सेवा प्रदान करने के लिए कड़ाई से आवश्यक है। सुरक्षा और फ्रॉड रोकथाम, जिस पर उपयोगकर्ता की अनुरोधित सेवा वास्तव में निर्भर करती है, के पास कड़ाई-से-आवश्यक छूट के लिए एक वास्तविक आधार है — एक बिंदु जिस पर नीचे लौटा जाएगा।

GDPR किसी भी परिणामी व्यक्तिगत डेटा के प्रसंस्करण को नियंत्रित करता है। एक डिवाइस फ़िंगरप्रिंट जो किसी व्यक्ति को अलग कर सकता है, वह व्यक्तिगत डेटा है, इसलिए इसके प्रसंस्करण को Article 6 के तहत एक वैध आधार चाहिए। फ्रॉड कार्य के लिए प्रासंगिक आधार हैं वैध हित (Article 6(1)(f)) — और GDPR के अपने recitals स्पष्ट रूप से फ्रॉड रोकथाम को एक वैध हित के रूप में नामित करते हैं — और, जहाँ लागू हो, कानूनी दायित्व। यहीं विस्तृत अनुपालन तंत्र रहते हैं: उद्देश्य सीमा, डेटा न्यूनीकरण, पारदर्शिता, प्रतिधारण सीमाएँ, और एक प्रलेखित वैध-हित मूल्यांकन। एक अनुपालक तैनाती का व्यावहारिक रूप GDPR-compliant device fingerprinting में रखा गया है।

दोनों साधन एक-दूसरे पर टिकते हैं: ePrivacy तय करता है कि डिवाइस तक पहुँचने के लिए आपको सहमति चाहिए या नहीं, GDPR तय करता है कि आपने जो प्राप्त किया उसे संसाधित करने का वैध आधार आपके पास है या नहीं। फ्रॉड रोकथाम के लिए, संभावित रास्ता ePrivacy की कड़ाई-से-आवश्यक छूट प्लस GDPR वैध हित है — लेकिन उस रास्ते की शर्तें हैं, और यह स्वचालित नहीं है।

क्या फ्रॉड फ़िंगरप्रिंटिंग को सहमति चाहिए?

यह उद्देश्य पर निर्भर करता है, और विभाजन तीव्र है: विज्ञापन, विश्लेषण, या क्रॉस-साइट ट्रैकिंग के लिए फ़िंगरप्रिंटिंग को सहमति चाहिए; उपयोगकर्ता द्वारा अनुरोधित फ्रॉड-रोकथाम सेवा के लिए कड़ाई से आवश्यक फ़िंगरप्रिंटिंग के पास उसी opt-in के बिना काम करने का एक वास्तविक आधार है। मैकेनिज़्म दोनों मामलों में एकसमान है — कानूनी व्यवहार पूरी तरह इस पर विभाजित होता है कि क्यों।

विज्ञापन और विश्लेषण उद्देश्यों के लिए, कोई गंभीर तर्क नहीं है: यह ठीक वही है जिसके लिए ePrivacy की सहमति आवश्यकता लिखी गई थी, यह उपयोगकर्ता द्वारा माँगी गई किसी सेवा के लिए कड़ाई से आवश्यक नहीं है, और इसे किसी भी ट्रैकिंग कुकी की तरह पूर्व सूचित सहमति चाहिए।

फ्रॉड रोकथाम के लिए, कड़ाई-से-आवश्यक छूट का मामला वास्तविक है लेकिन सशर्त है। यह सबसे मज़बूती से तब टिकता है जब:

• फ़िंगरप्रिंटिंग वास्तव में उपयोगकर्ता द्वारा अनुरोधित सेवा प्रदान करने के लिए आवश्यक है — उनके लॉगिन को सुरक्षित करना, उनके भुगतान की रक्षा करना, उनके खाते के अधिग्रहण को रोकना। सुरक्षा उस चीज़ का हिस्सा है जो उपयोगकर्ता सेवा का उपयोग करते समय माँग रहा है।
• प्रसंस्करण सुरक्षा उद्देश्य तक सीमित है और मार्केटिंग, प्रोफाइलिंग, या किसी ऐसी चीज़ के लिए पुनः उपयोग नहीं किया जाता जिसका उपयोगकर्ता ने अनुरोध नहीं किया। उद्देश्य सीमा यहाँ वास्तविक काम कर रही है; जिस पल वही फ़िंगरप्रिंट विज्ञापन को खिलाता है, छूट का तर्क ढह जाता है।
• डेटा संग्रह को सुरक्षा उद्देश्य की आवश्यकता तक न्यूनतम किया जाता है, प्रतिधारण सीमित है, और प्रसंस्करण प्रलेखित और पारदर्शी है (privacy नोटिस में प्रकट किया गया भले ही सहमति आधार न हो)।

यह कोई खामी नहीं है और इसे ऐसा नहीं माना जाना चाहिए। यह एक उद्देश्य-बद्ध छूट है जो केवल तब तक बची रहती है जब तक उद्देश्य सीमित रहता है। एक फ्रॉड सिस्टम जो चुपचाप अपने सिग्नल किसी विज्ञापन ग्राफ़ में साझा करता है, वह अब कड़ाई-से-आवश्यक सुरक्षा प्रसंस्करण नहीं कर रहा, और वह छूट खो देता है। टिकाऊ स्थिति वह फ्रॉड तैनाती है जो है, और बनी रहती है, ठीक वही जो होने का वह दावा करती है: फ़र्स्ट-पार्टी, सुरक्षा-उद्देश्यक, न्यूनीकृत, और मार्केटिंग से अलग।

इसमें से कुछ भी कानूनी सलाह नहीं है, और सटीक अनुप्रयोग क्षेत्राधिकार, राष्ट्रीय ePrivacy कार्यान्वयनों, क्षेत्रीय नियमों, और आपके विशिष्ट प्रसंस्करण पर निर्भर करता है — यहाँ का विश्लेषण सामान्य नियामक रूप है, और एक वास्तविक तैनाती को अपने स्वयं के वैध-हित मूल्यांकन और वकील की समीक्षा की आवश्यकता है।

टिकाऊ आर्किटेक्चर

वह आर्किटेक्चर जो तकनीकी और कानूनी दोनों बदलावों को झेल जाता है, वही है जिसकी ओर फ्रॉड-केंद्रित फ़िंगरप्रिंटिंग पहले से ही अभिसरित हो रही थी: फ़र्स्ट-पार्टी, सर्वर-साइड सिग्नलों की ओर भारित, सुरक्षा तक उद्देश्य-सीमित, और क्रॉस-साइट मैकेनिज़्मों से स्वतंत्र।

उपरोक्त नक्शे से तीन डिज़ाइन प्रतिबद्धताएँ निकलती हैं।

फ़र्स्ट-पार्टी और सर्वर-साइड सिग्नलों पर टिकें। ब्राउज़र बदलाव क्रॉस-साइट क्लाइंट-साइड प्रोब्स को सबसे कठोरता से सीमित करते हैं। सर्वर-साइड सिग्नल — नेटवर्क स्टैक फ़िंगरप्रिंट, TLS विशेषताएँ, कनेक्शन व्यवहार — जब उपयोगकर्ता आपकी सेवा से जुड़ता है तब आपके अपने बुनियादी ढाँचे से देखे जाते हैं, स्वाभाविक रूप से फ़र्स्ट-पार्टी हैं, और उन क्लाइंट-साइड प्रतिबंधों के अधीन नहीं हैं जिन्हें ब्राउज़र कड़ा कर रहे हैं। इनकी ओर भारित एक सिस्टम, क्लाइंट-साइड प्रोब्स पर बने सिस्टम की तुलना में बेहतर उम्र पाता है, जिन्हें कम किया जा सकता है।

उद्देश्य को सीमित और दृश्यमान रखें। कानूनी व्यवहार्यता पूरी तरह सुरक्षा उद्देश्य के भीतर रहने पर निर्भर करती है। इसका अर्थ है फ्रॉड सिग्नलों को मार्केटिंग के लिए पुनः उपयोग न करना, क्रॉस-साइट ग्राफ़ न बनाना, privacy नोटिस में प्रसंस्करण को प्रकट करना, संग्रह को न्यूनतम करना, और प्रतिधारण को सीमित करना। ये बाद में जोड़े गए अनुपालन ओवरहेड नहीं हैं — ये वे शर्तें हैं जिनके तहत पूरा दृष्टिकोण वैध है।

मूल फैसले के लिए क्रॉस-साइट सिग्नल साझाकरण पर निर्भर न रहें। अनामीकृत, समुच्चयित क्रॉस-कस्टमर इंटेलिजेंस पहचान को मज़बूत कर सकती है, लेकिन प्राथमिक डिवाइस पहचान अकेले फ़र्स्ट-पार्टी सिग्नलों पर टिकनी चाहिए, ताकि सिस्टम उन क्रॉस-साइट मैकेनिज़्मों पर न टिके जो तकनीकी रूप से सीमित और कानूनी रूप से सहमति-अपेक्षी दोनों हैं।

इस तरह बना एक फ्रॉड फ़िंगरप्रिंटिंग सिस्टम वास्तव में पोस्ट-कुकी है: यह कुकीज़ का उपयोग नहीं करता, इसे उनकी ज़रूरत नहीं, यह थर्ड-पार्टी स्टेट पर निर्भर नहीं करता, और अगली ट्रैकिंग-रोकथाम सुविधा आने पर बिखरता नहीं — क्योंकि यह शुरू से ही क्रॉस-साइट ट्रैकिंग कर ही नहीं रहा था।

Tracio ठीक इसी रूप पर बना है। पहचान फ़र्स्ट-पार्टी और कुकीलेस है, सर्वर-साइड नेटवर्क सिग्नलों और क्लाइंट-साइड डिवाइस सिग्नलों में भारित है, सुरक्षा और फ्रॉड निर्णयों तक उद्देश्य-सीमित है, और यह किसी विज्ञापन ग्राफ़ को नहीं खिलाती। इसे ब्राउज़र privacy बदलावों के दौरान स्थिर बने रहने के लिए डिज़ाइन किया गया है क्योंकि यह उन क्रॉस-साइट मैकेनिज़्मों पर निर्भर नहीं करती जिन्हें वे बदलाव लक्षित करते हैं। विस्तृत अनुपालन तंत्र के लिए, GDPR deployment guide देखें; glossary अंतर्निहित अवधारणाओं को शामिल करती है।

देखना चाहते हैं कि एक फ़र्स्ट-पार्टी, सुरक्षा-उद्देश्यक डिवाइस पहचान आपकी privacy और अनुपालन स्थिति में कैसे फ़िट होती है?

अपना निःशुल्क ट्रायल शुरू करें — 2,500 सत्यापन निःशुल्क, किसी क्रेडिट कार्ड की आवश्यकता नहीं। हमारी टीम के साथ आर्किटेक्चर और डेटा हैंडलिंग की समीक्षा करने के लिए डेमो बुक करें।