Device fingerprinting trong thế giới hậu cookie: bản đồ pháp lý và kỹ thuật 2026

Cụm từ "thế giới hậu cookie" gộp hai câu chuyện rất khác nhau vào làm một, và chính sự nhập nhằng đó gây ra phần lớn hiểu lầm quanh câu hỏi liệu device fingerprinting còn khả thi trong năm 2026 hay không. Một câu chuyện là kỹ thuật: các trình duyệt đã hạn chế rồi loại bỏ cookie bên thứ ba, và xây dựng những cơ chế thay thế. Câu chuyện còn lại là pháp lý: các cơ quan quản lý làm rõ rằng fingerprinting chịu sự điều chỉnh của cùng những quy tắc như cookie. Cả hai câu chuyện đều có thật, đều quan trọng, và cả hai thường bị đọc sai thành "fingerprinting đã chết" trong khi điều chúng thực sự thiết lập lại cụ thể hơn rất nhiều.

Bài viết này lập bản đồ cho cả hai — điều gì đã thay đổi trong trình duyệt, luật nói gì, và hai bên tương tác ra sao — với một mạch xuyên suốt nhất quán: chính mục đích của việc nhận diện, chứ không phải cơ chế, mới quyết định cả tính khả thi kỹ thuật lẫn vị thế pháp lý. Đối tượng độc giả là những bên liên quan về quyền riêng tư, pháp lý và kỹ thuật đang quyết định có nên và làm thế nào để triển khai device intelligence.

"Thế giới hậu cookie" thực chất đã loại bỏ điều gì

Bước dịch chuyển hậu cookie đã loại bỏ cookie bên thứ ba — cơ chế theo dõi xuyên trang — trong khi vẫn giữ nguyên trạng thái bên thứ nhất và việc nhận diện thiết bị bên thứ nhất. Sự phân biệt đó là dữ kiện quan trọng nhất khi đánh giá fingerprinting, và cũng là điều hay bị bỏ sót nhất.

Cookie bên thứ ba được đặt bởi một tên miền khác với tên miền trên thanh địa chỉ, và nó cho phép bên thứ ba đó nhận ra người dùng trên tất cả những trang không liên quan nơi mã của nó chạy. Đây là động cơ của quảng cáo hành vi xuyên trang, và đó chính là thứ mà các trình duyệt đã tháo dỡ. Cookie bên thứ nhất — do chính trang bạn đang truy cập đặt, chỉ trang đó đọc được — chưa bao giờ là mục tiêu và vẫn tiếp tục hoạt động.

Các trình duyệt di chuyển theo những mốc thời gian khác nhau với những cơ chế khác nhau, nhưng hướng đi đồng nhất: triệt tiêu trạng thái bên thứ ba xuyên trang, giữ lại quan hệ bên thứ nhất.

Safari (Intelligent Tracking Prevention). ITP của Apple đã chặn cookie bên thứ ba theo mặc định từ năm 2020 và dần siết chặt thời hạn lưu trữ bên thứ nhất đối với trạng thái do script đặt, nhằm hạn chế các cách lách để theo dõi. ITP nhắm cụ thể vào kịch bản theo dõi xuyên trang.

Firefox (Enhanced Tracking Protection / Total Cookie Protection). Firefox chặn cookie theo dõi của bên thứ ba theo mặc định và phân vùng lưu trữ theo từng trang, nên một bên thứ ba sẽ có một hũ cookie riêng trên mỗi trang thay vì một danh tính chung dùng chung trên tất cả. Một lần nữa — sự liên kết xuyên trang mới là mục tiêu.

Chrome (Privacy Sandbox). Con đường của Chrome dài hơn và gây tranh cãi hơn. Thay vì chỉ đơn thuần chặn cookie bên thứ ba, Google xây dựng Privacy Sandbox — một tập hợp các API giới hạn theo mục đích (Topics cho tín hiệu sở thích, Protected Audience cho remarketing, Attribution Reporting cho đo lường chuyển đổi) nhằm mang lại kết quả quảng cáo mà không cần định danh xuyên trang. Việc triển khai, lộ trình loại bỏ và tình trạng chính xác của lựa chọn dành cho người dùng liên tục thay đổi trong giai đoạn 2024–2026, nhưng ý đồ kiến trúc vẫn giữ nguyên: thay định danh xuyên trang bằng các cơ chế tổng hợp, giới hạn theo phạm vi quyền riêng tư. Tác động cụ thể lên fingerprinting được bàn trong Tác động của Privacy Sandbox.

Mỗi biện pháp trong số này đều nhắm vào cùng một thứ: một bên thứ ba nhận ra người dùng trên các trang mà nó không sở hữu. Không biện pháp nào nhắm vào — hay có thể nhắm vào, nếu không làm hỏng web — việc một trang nhận ra khách truy cập của chính mình trên chính các trang của nó. Đó là khoảng trống nơi fingerprinting chống gian lận tồn tại.

Fingerprinting chống gian lận bên thứ nhất là một kịch bản khác

Fingerprinting phục vụ chống gian lận về bản chất là bên thứ nhất và trong phạm vi một trang: một nền tảng nhận diện khách truy cập của chính mình trên chính các trang của nó để ra quyết định bảo mật. Điều này khác về mặt phạm trù so với kịch bản quảng cáo xuyên trang mà các trình duyệt đã tháo dỡ, và các cơ chế trình duyệt không hạn chế nó — bởi chúng không thể, nếu không làm hỏng chức năng thiết yếu mà mọi trang đều phụ thuộc.

Hãy hình dung một trình duyệt sẽ phải phá vỡ điều gì để ngăn việc nhận diện thiết bị bên thứ nhất. Nó sẽ phải ngăn một trang đọc các đặc điểm của trình duyệt đang hiển thị chính các trang của trang đó — kích thước màn hình, ngôn ngữ, hành vi định thời và kết xuất mà một trang cần để vận hành, ngăn xếp mạng mà nó vốn đã đang trao đổi. Đây không phải là móc câu theo dõi; chúng là bề mặt cơ bản mà một ứng dụng web chạy trên đó. Hạn chế chúng sẽ làm hỏng chức năng hợp pháp, nên các trình duyệt hạn chế sự kết hợp và lạm dụng xuyên trang của những tín hiệu này, chứ không hạn chế việc quan sát chúng ở phạm vi bên thứ nhất.

Đây là lý do vì sao sự phân biệt giữa thiết bị và cookie lại quan trọng. Một hệ thống chống gian lận nhận diện một thiết bị quay lại trên một nền tảng đơn lẻ không phải đang tái dựng cookie bên thứ ba — nó đang làm điều mà cookie bên thứ ba dù sao cũng chưa bao giờ làm tốt: tạo ra một danh tính ổn định, kháng lại việc xóa dữ liệu, phục vụ mục đích bảo mật của chính trang đó. Và làm điều đó hoàn toàn không cần cookie, qua đó né tránh toàn bộ câu hỏi về việc loại bỏ cookie.

Vì vậy, kết luận về tính khả thi kỹ thuật là rõ ràng: những thay đổi trình duyệt hậu cookie làm giảm fingerprinting xuyên trang (khó hơn, bị hạn chế nhiều hơn) và về cơ bản để nguyên fingerprinting chống gian lận bên thứ nhất. Một hệ thống chống gian lận phụ thuộc vào việc chia sẻ tín hiệu xuyên trang sẽ gặp rắc rối; một hệ thống được xây quanh danh tính thiết bị bên thứ nhất thì không.

GDPR và ePrivacy thực sự nói gì về fingerprinting

Luật châu Âu đối xử với device fingerprinting theo cùng cách nó đối xử với cookie: nó điều chỉnh theo mục đích và theo việc truy cập vào thiết bị của người dùng, không theo công nghệ cụ thể. Fingerprinting không thoát khỏi quy tắc chỉ vì nó không phải cookie, và cũng không tự động rơi vào phạm vi điều chỉnh — phân tích xoay quanh lý do bạn làm việc đó.

Có hai văn bản áp dụng, và chúng vận hành theo trình tự.

Chỉ thị ePrivacy (Điều 5(3)) điều chỉnh hành vi lưu trữ thông tin trên, hoặc truy cập thông tin đã được lưu trong, thiết bị đầu cuối của người dùng. Đây là "luật cookie," nhưng văn bản của nó trung lập về công nghệ — nó bao trùm "thông tin" và "truy cập," điều mà các cơ quan quản lý (và hướng dẫn của Ủy ban Bảo vệ Dữ liệu châu Âu) đã nhất quán hiểu là bao gồm cả các kỹ thuật fingerprinting truy cập các đặc điểm thiết bị. Vậy nên việc đọc tín hiệu từ một thiết bị nằm trong phạm vi của ePrivacy bất kể có liên quan đến cookie hay không.

Điểm mấu chốt, Điều 5(3) có các trường hợp miễn trừ. Sự đồng ý không bắt buộc khi việc truy cập là thực sự cần thiết để truyền một liên lạc hoặc để cung cấp một dịch vụ được người dùng yêu cầu một cách rõ ràng. Với bảo mật và chống gian lận mà dịch vụ do người dùng yêu cầu thực sự phụ thuộc vào, có một cơ sở đúng nghĩa cho trường hợp miễn trừ "thực sự cần thiết" — một điểm sẽ được quay lại bên dưới.

GDPR điều chỉnh việc xử lý bất kỳ dữ liệu cá nhân nào phát sinh. Một dấu vân tay thiết bị có thể tách biệt được một cá nhân là dữ liệu cá nhân, nên việc xử lý nó cần một cơ sở hợp pháp theo Điều 6. Những cơ sở liên quan cho công việc chống gian lận là lợi ích chính đáng (Điều 6(1)(f)) — và chính các recital của GDPR nêu đích danh phòng chống gian lận là một lợi ích chính đáng — và, khi áp dụng được, là nghĩa vụ pháp lý. Đây là nơi các cơ chế tuân thủ chi tiết nằm: giới hạn mục đích, tối thiểu hóa dữ liệu, minh bạch, giới hạn thời gian lưu trữ, và một bản đánh giá lợi ích chính đáng được lập thành văn bản. Hình hài thực tế của một triển khai tuân thủ được trình bày trong Device fingerprinting tuân thủ GDPR.

Hai văn bản xếp chồng lên nhau: ePrivacy quyết định bạn có cần sự đồng ý để truy cập thiết bị hay không, GDPR quyết định bạn có cơ sở hợp pháp để xử lý những gì thu được hay không. Với chống gian lận, con đường khả dĩ là trường hợp miễn trừ "thực sự cần thiết" của ePrivacy cộng với lợi ích chính đáng của GDPR — nhưng con đường đó có điều kiện, và không tự động.

Fingerprinting chống gian lận có cần sự đồng ý không?

Điều đó phụ thuộc vào mục đích, và ranh giới rất rõ: fingerprinting cho quảng cáo, phân tích hoặc theo dõi xuyên trang cần có sự đồng ý; fingerprinting thực sự cần thiết cho một dịch vụ chống gian lận mà người dùng đã yêu cầu thì có cơ sở đúng nghĩa để hoạt động mà không cần cùng loại opt-in. Cơ chế giống hệt nhau trong cả hai trường hợp — cách xử lý pháp lý phân kỳ hoàn toàn ở chỗ vì sao.

Với mục đích quảng cáo và phân tích, không có tranh luận nào nghiêm túc: đây chính xác là thứ mà yêu cầu đồng ý của ePrivacy được viết ra để điều chỉnh, nó không thực sự cần thiết cho bất kỳ dịch vụ nào người dùng đã yêu cầu, và nó cần sự đồng ý được thông báo trước như bất kỳ cookie theo dõi nào.

Với chống gian lận, lập luận cho trường hợp miễn trừ "thực sự cần thiết" là có thật nhưng có điều kiện. Nó vững nhất khi:

• Fingerprinting thực sự cần thiết để cung cấp một dịch vụ mà người dùng đã yêu cầu — bảo vệ đăng nhập của họ, bảo vệ thanh toán của họ, ngăn chặn việc chiếm đoạt tài khoản của họ. Bảo mật là một phần của thứ người dùng đang yêu cầu khi họ dùng dịch vụ.
• Việc xử lý được giới hạn ở mục đích bảo mật và không bị tái sử dụng cho tiếp thị, lập hồ sơ, hay bất cứ điều gì người dùng không yêu cầu. Giới hạn mục đích thực sự phát huy tác dụng ở đây; ngay khi cùng một dấu vân tay được đưa vào quảng cáo, lập luận miễn trừ sụp đổ.
• Việc thu thập dữ liệu được tối thiểu hóa ở mức mục đích bảo mật cần, thời gian lưu trữ có giới hạn, và việc xử lý được lập thành văn bản và minh bạch (được công bố trong thông báo về quyền riêng tư ngay cả khi sự đồng ý không phải là cơ sở).

Đây không phải một kẽ hở và không nên bị coi như vậy. Đó là một trường hợp miễn trừ ràng buộc theo mục đích, chỉ tồn tại chừng nào mục đích còn được giữ trong giới hạn. Một hệ thống chống gian lận âm thầm chia sẻ tín hiệu của mình vào một đồ thị quảng cáo thì không còn đang xử lý bảo mật "thực sự cần thiết" nữa, và nó mất trường hợp miễn trừ. Vị thế bền vững là một triển khai chống gian lận đúng như — và giữ đúng như — những gì nó tuyên bố: bên thứ nhất, phục vụ mục đích bảo mật, được tối thiểu hóa, và tách biệt khỏi tiếp thị.

Không điều nào trong số này là tư vấn pháp lý, và cách áp dụng chính xác phụ thuộc vào khu vực tài phán, cách triển khai ePrivacy của từng quốc gia, quy định ngành và việc xử lý cụ thể của bạn — phân tích ở đây là hình hài pháp lý tổng quát, còn một triển khai thực tế cần bản đánh giá lợi ích chính đáng của riêng nó và sự rà soát của luật sư.

Kiến trúc bền vững

Kiến trúc trụ vững qua cả bước dịch chuyển kỹ thuật lẫn pháp lý chính là kiến trúc mà fingerprinting tập trung vào chống gian lận vốn đã hội tụ về: bên thứ nhất, nghiêng về tín hiệu phía máy chủ, giới hạn mục đích ở bảo mật, và độc lập với các cơ chế xuyên trang.

Từ bản đồ trên rút ra ba cam kết thiết kế.

Dựa vào tín hiệu bên thứ nhất và phía máy chủ. Các thay đổi trình duyệt hạn chế mạnh nhất những phép dò phía client xuyên trang. Tín hiệu phía máy chủ — dấu vân tay ngăn xếp mạng, đặc điểm TLS, hành vi kết nối — được quan sát từ chính hạ tầng của bạn khi người dùng kết nối tới dịch vụ của bạn, vốn dĩ là bên thứ nhất, và không chịu các hạn chế phía client mà trình duyệt đang siết chặt. Một hệ thống nghiêng về những tín hiệu này lão hóa tốt hơn hệ thống dựa trên các phép dò phía client có thể bị cắt bớt.

Giữ mục đích trong giới hạn và hiển thị. Tính khả thi pháp lý phụ thuộc hoàn toàn vào việc ở lại trong mục đích bảo mật. Điều đó nghĩa là không tái sử dụng tín hiệu chống gian lận cho tiếp thị, không xây một đồ thị xuyên trang, công bố việc xử lý trong thông báo về quyền riêng tư, tối thiểu hóa việc thu thập, và giới hạn thời gian lưu trữ. Đây không phải gánh nặng tuân thủ gắn thêm về sau — chúng là những điều kiện mà nhờ đó toàn bộ cách tiếp cận mới hợp pháp.

Đừng phụ thuộc vào việc chia sẻ tín hiệu xuyên trang cho phán quyết cốt lõi. Trí tuệ liên khách hàng đã ẩn danh và tổng hợp có thể tăng cường khả năng phát hiện, nhưng danh tính thiết bị chính nên tự đứng vững chỉ trên tín hiệu bên thứ nhất, để hệ thống không dựa vào các cơ chế xuyên trang vốn vừa bị hạn chế về kỹ thuật vừa đòi hỏi sự đồng ý về pháp lý.

Một hệ thống fingerprinting chống gian lận được xây theo cách này thực sự thuộc về thời hậu cookie: nó không dùng cookie, không cần cookie, không dựa vào trạng thái bên thứ ba, và không sụp đổ khi tính năng ngăn chặn theo dõi tiếp theo ra mắt — bởi ngay từ đầu nó chưa bao giờ theo dõi xuyên trang.

Tracio được xây đúng theo hình hài này. Danh tính là bên thứ nhất và không cần cookie, cân trọng số giữa tín hiệu mạng phía máy chủ và tín hiệu thiết bị phía client, giới hạn mục đích ở các quyết định bảo mật và chống gian lận, và không đưa dữ liệu vào một đồ thị quảng cáo. Nó được thiết kế để duy trì ổn định qua các thay đổi về quyền riêng tư của trình duyệt bởi nó không phụ thuộc vào các cơ chế xuyên trang mà những thay đổi đó nhắm tới. Về các cơ chế tuân thủ chi tiết, xem hướng dẫn triển khai GDPR; bảng thuật ngữ trình bày các khái niệm nền tảng.

Muốn xem một danh tính thiết bị bên thứ nhất, phục vụ mục đích bảo mật, phù hợp thế nào với thế đứng về quyền riêng tư và tuân thủ của bạn?

Bắt đầu dùng thử miễn phí — 2.500 lượt xác minh miễn phí, không cần thẻ tín dụng. Đặt lịch demo để cùng đội ngũ của chúng tôi rà soát kiến trúc và cách xử lý dữ liệu.