Идентификация по устройству против отслеживания через cookie: техническое сравнение

Эпоха отслеживания на основе cookie подходит к концу. Safari по умолчанию блокирует third-party cookie. Chrome отказывается от них. У Firefox есть Enhanced Tracking Protection. Даже first-party cookie сталкиваются со всё большими ограничениями со стороны ITP и подобных механизмов. Для приложений, которым нужно узнавать вернувшихся посетителей — защита от фрода, персонализация, аналитика, — fingerprinting устройства предлагает принципиально более устойчивый подход.

Как работает отслеживание через cookie

Отслеживание через cookie концептуально простое. При первом визите посетителя сервер генерирует уникальный идентификатор и сохраняет его в cookie. При последующих визитах браузер отправляет cookie обратно, позволяя серверу узнать посетителя. First-party cookie (заданные тем же доменом, который посещает пользователь) сохраняются между сессиями. Third-party cookie (заданные другим доменом) обеспечивают межсайтовое отслеживание.

Простота cookie — одновременно и их слабость. Пользователи могут очистить cookie в любой момент. Режим приватного просмотра не сохраняет cookie. Обновления браузеров всё сильнее ограничивают срок жизни cookie — ITP в Safari ограничивает first-party cookie, заданные через JavaScript, семью днями. А грядущий отказ от third-party cookie в Chrome устраняет основной механизм межсайтовой идентификации.

Как работает fingerprinting устройства

Fingerprinting устройства идентифицирует посетителей, собирая технические атрибуты их устройства и браузера — результат рендеринга canvas, параметры WebGL, характеристики обработки звука, установленные шрифты, свойства экрана и десятки других сигналов. Эти сигналы объединяются в хеш, который служит идентификатором устройства. Поскольку идентификатор выводится из присущих устройству характеристик, а не из сохранённых данных, он переживает удаление cookie, приватный просмотр и переустановку браузера.

Точность fingerprinting зависит от количества и качества собираемых сигналов. При обширном наборе сигналов — 130+ сигналов, как их собирает tracio.ai, — вероятность того, что два разных устройства дадут одинаковый fingerprint, исчезающе мала. Наш многоуровневый подход к идентификации справляется с естественным дрейфом сигналов программного уровня, сохраняя при этом стабильную идентификацию за счёт сигналов аппаратного уровня.

Сравнение бок о бок

Устойчивость — самое значимое различие. Cookie живут до удаления или истечения срока. Fingerprint устройства сохраняется, пока остаётся неизменным железо, — обычно 3–5 лет для потребительских устройств. Межбраузерная идентификация невозможна с cookie (у каждого браузера своё хранилище cookie), но достижима с fingerprinting, когда устройства делят одни и те же аппаратные сигналы.

Влияние на приватность часто понимают неверно. Cookie могут хранить произвольные данные, включая персональную информацию. Fingerprinting устройства собирает только технические атрибуты — ни личного контента, ни истории просмотров, ни данных из форм. С точки зрения GDPR и cookie, и fingerprint могут быть персональными данными при использовании для идентификации, но объём собираемых данных у fingerprinting уже.

Сложность внедрения играет в пользу cookie в простых случаях — задать cookie можно одной строкой кода. Но fingerprinting устройства даёт более полное решение для защиты от фрода, где злоумышленники активно очищают cookie и используют приватный просмотр, чтобы уклониться от обнаружения. JavaScript-агент tracio.ai автоматически берёт на себя весь сбор сигналов, их передачу и идентификацию.

Когда что использовать

Cookie остаются правильным выбором для управления сессиями и пользовательских настроек — данных, которыми пользователь ожидает управлять и которые может очищать. Fingerprinting устройства — правильный выбор для безопасности и защиты от фрода, где идентификация должна выдерживать активное уклонение. На практике большинству приложений выгодно использовать оба: cookie для состояния сессии, fingerprinting устройства для сигналов безопасности.

Будущее идентификации

По мере того как браузеры продолжают ограничивать механизмы отслеживания, индустрия движется к методам идентификации, сохраняющим приватность. Fingerprinting устройства, реализованный с минимизацией данных и ограничением цели, хорошо согласуется с этим направлением. Собирая только технические атрибуты и обрабатывая их на инфраструктуре клиента, tracio.ai обеспечивает устойчивую идентификацию, уважающую приватность пользователя.