Что о вас знают сайты и трекеры — и как это ограничить

Откройте любую новостную статью — вместе с текстом в браузер тихо загрузятся десятки сторонних скриптов, и каждый что-то записывает: откуда вы пришли, с какого устройства, где задержался ваш взгляд. Разбираем, что о вас знают сайты и рекламные трекеры на самом деле — и как за один вечер заметно сократить цифровой след, без фольги и паранойи.

Мини-эксперимент: 78 запросов ради одной статьи

Проверить, как сайты отслеживают пользователей, можно за две минуты. Откройте любой новостной портал, нажмите F12, перейдите на вкладку «Сеть» (Network) и обновите страницу. Мы проделали это с главной страницей крупного новостного сайта: текст статьи занимал около 40 КБ, а страница целиком «весила» 8 МБ и отправила 214 запросов. Из них 78 ушли на сторонние домены: счётчики аналитики, рекламные биржи, пиксели соцсетей, системы записи поведения.

Получается, на каждый абзац журналистского текста приходится пара скриптов, которые заняты не текстом, а вами. Если копаться в панели разработчика не хочется, есть сканер Blacklight от издания The Markup: вводите адрес сайта — получаете список трекеров, рекламных пикселей и скриптов, записывающих нажатия клавиш.

Что о вас знают сайты, пока вы просто читаете

IP-адрес и геолокация

IP виден любому сайту без всяких скриптов — так устроена сеть: иначе ответ некуда отправлять. По базам геолокации IP превращается в город, а часто и в район, плюс название провайдера. У большинства людей домашний и рабочий адреса разные, и связка этих двух IP указывает на конкретного человека почти однозначно — даже без имени и фамилии.

Устройство и браузер

Скрипт на странице свободно узнаёт операционную систему, модель устройства, разрешение экрана, язык, часовой пояс, установленные шрифты, а в некоторых браузерах — даже уровень заряда батареи. По отдельности это мелочи. Вместе — почти паспорт, и ниже мы увидим, как из него собирают отпечаток.

Поведение на странице

Системы записи сессий — например, Вебвизор в Яндекс Метрике — фиксируют движения мыши, скорость прокрутки, паузы, выделение текста. Владелец сайта может пересмотреть ваш визит как видеозапись. Вы ещё ничего не купили и ни на что не нажали, а система уже отметила, что вы трижды вернулись к блоку с ценой.

Почему реклама «подслушивает» — и при чём тут вовсе не микрофон

Классический сюжет: поговорили с коллегой об отпуске в Турции — вечером лента полна отелей Антальи. Первый вывод — «телефон слушает». Исследователи Северо-Восточного университета в США проверили около 17 тысяч приложений и не нашли ни одного случая отправки звука с микрофона в рекламные сети. Механика прозаичнее — и, пожалуй, неприятнее:

• коллега поискал туры с офисного Wi-Fi — вы вышли в сеть с того же IP, и рекламная система записала вас в одну гео-группу;
• алгоритмы look-alike показывают вам то, что покупают люди с похожим профилем: возраст, район, интересы, доход;
• вы сами оставили сигналы раньше — глянули прогноз погоды в Анталье месяц назад и забыли;
• работает частотная иллюзия: реклама туров крутилась всегда, просто после разговора вы начали её замечать.

А ответ на вопрос, почему реклама преследует после поиска, ещё проще — это ретаргетинг. Вы посмотрели кроссовки, магазин передал ваш идентификатор рекламной сети, и та выкупает показы именно этих кроссовок на всех сайтах-партнёрах. Обычно «догоняющая» кампания живёт 30–90 дней или до покупки.

Куки, пиксели и отпечаток браузера: три механизма слежки без жаргона

Куки — номерок из гардероба

Сайт выдаёт браузеру метку с уникальным номером, и браузер предъявляет её при каждом визите. Собственные куки сайта — вещь полезная: без них не работали бы корзина и вход в аккаунт. Проблема в сторонних: рекламная сеть, чей код стоит на тысячах сайтов, по одному и тому же номерку видит вас на всех этих сайтах сразу.

Пиксель — картинка размером один на один

Невидимая картинка 1×1 или короткий скрипт. Загрузилась — значит, вы открыли страницу. Так магазин сообщает рекламной площадке: «этот человек смотрел товар, положил в корзину, оплатил на такую-то сумму». Пиксели встраивают и в письма — отправитель рассылки узнаёт, когда и с какого устройства вы её открыли.

Отпечаток браузера — узнают и без куки

Если коротко отвечать на вопрос «отпечаток браузера — что это», то это комбинация из десятков технических параметров вашей системы: шрифты, разрешение, видеокарта, часовой пояс, список плагинов. Один из приёмов — canvas fingerprinting: страница незаметно просит браузер нарисовать картинку, и результат чуть-чуть отличается на разном «железе» и драйверах. В исследованиях проекта AmIUnique уникальным оказывается примерно девять из десяти настольных браузеров. Куки можно стереть за секунду. Отпечаток — нет: он не хранится у вас, он вычисляется заново при каждом визите.

Практический тест: откройте coveryourtracks.eff.org и нажмите Test. Если увидите вердикт «your browser has a unique fingerprint» — вас можно узнавать вообще без куки. Сохраните результат и сравните с ним после настройки защиты.

Портрет пользователя после недели обычного сёрфинга

Теперь сложим всё вместе. Обычная неделя без единой анкеты и регистрации:

• понедельник — искали билеты на ноябрь и читали отзывы об отелях;
• вторник — три статьи об ипотеке и калькулятор платежа;
• среда — «болит спина к какому врачу», два медицинских сайта;
• четверг — коляски-трости в двух интернет-магазинах;
• пятница — цены на детский сад рядом с домом.

Ни одного явного признания — а рекламная сеть уже оценила пол, возрастную вилку, район дома и работы (по паре IP), уровень дохода (модель телефона плюс магазины, которые вы смотрите), состав семьи, планы на отпуск и проблемы со здоровьем. Такие сегменты продаются и покупаются как «обезличенные», но обезличенность связки IP, отпечатка и ежедневных маршрутов — понятие очень условное.

Уровень 1: настройки браузера и защита от рекламных трекеров

Хорошая новость: базовая защита от рекламных трекеров настраивается за один вечер и бесплатно.

1. Отключите сторонние куки. В Firefox включите строгий режим защиты от отслеживания, в Safari он работает по умолчанию, в Chrome загляните в «Конфиденциальность и безопасность».
2. Поставьте блокировщик трекеров — uBlock Origin или Privacy Badger. Одного достаточно.
3. Отключите персонализацию рекламы в аккаунтах: adssettings.google.com у Google и раздел «Реклама» в настройках Яндекса. Реклама не исчезнет, но перестанет строиться на вашей истории.
4. Разделите контексты: один браузер или профиль — для банка и покупок, другой — для чтения и поиска.
5. Раз в месяц чистите куки и выходите из соцсетей перед тем, как читать остальной интернет: залогиненная соцсеть видит вас через свои кнопки «поделиться» на чужих сайтах.

Не ставьте пять расширений приватности разом. Редкий набор плагинов сам по себе делает отпечаток браузера более уникальным — то есть работает против вас. Один добротный блокировщик полезнее коллекции.

Уровень 2: скрытие IP-адреса — что это даёт и чего не даёт

Куки и отпечаток вы прикрыли, остался IP — якорь, который связывает все сессии с вашим домом и офисом. Скрыть IP-адрес от рекламных трекеров помогает сервис защищённого интернет-соединения: трафик уходит в зашифрованном виде через промежуточный сервер, и сайты видят адрес этого сервера, а не ваш.

Что это даёт:

• рекламные сети теряют геопривязку и главную улику — связку «домашний IP + рабочий IP»;
• в кафе, отеле и аэропорту трафик зашифрован: пароли и данные карт не прочитать даже владельцу точки Wi-Fi;
• провайдер видит факт соединения, но не содержимое и не список сайтов.

Чего это не даёт — говорим честно, как есть: куки и отпечаток остаются при вас, а если вы вошли в аккаунт, сервис узнает вас по аккаунту, какой бы адрес ни был снаружи. Поэтому в БестПотоке мы всегда повторяем: скрытие IP — это один слой защиты, и работает он в полную силу только вместе с настройками из первого уровня.

Как проверить свой цифровой след прямо сейчас

Все инструменты бесплатные, на проверку уйдёт минут десять:

• Cover Your Tracks (coveryourtracks.eff.org) — насколько уникален отпечаток вашего браузера и ловится ли он трекерами;
• BrowserLeaks (browserleaks.com) — что именно видно снаружи: IP, canvas, WebRTC, шрифты, часовой пояс;
• AmIUnique (amiunique.org) — сравнение вашего отпечатка с базой из миллионов собранных;
• Blacklight (themarkup.org/blacklight) — сколько трекеров сидит на любом сайте по вашему выбору;
• myactivity.google.com — вся история, которую хранит о вас Google; там же её можно удалить и настроить автоудаление;
• Have I Been Pwned (haveibeenpwned.com) — не утекли ли пароли от аккаунтов на вашу почту.

Десять минут по этому списку обычно меняют отношение к теме сильнее, чем любая статья.

Приватность — это гигиена, а не паранойя

Чистить зубы — не значит бояться стоматологов. С цифровым следом так же: вопрос «как уменьшить цифровой след» решается не бегством в лес, а коротким набором привычек. План на сегодняшний вечер:

1. 10 минут — сторонние куки и строгая защита от отслеживания в браузере;
2. 5 минут — блокировщик трекеров;
3. 5 минут — отключить персонализацию рекламы у Google и Яндекса;
4. 5 минут — прогнать браузер через Cover Your Tracks и записать результат;
5. перед следующим публичным Wi-Fi — включить защищённое соединение.

Полчаса усилий не сделают вас невидимкой, но переведут из категории «открытая книга» в категорию «читать дорого». А рекламные сети, как и любой бизнес, не любят дорогих клиентов.

Частые вопросы

Правда ли, что телефон подслушивает разговоры ради рекламы?

Прямых доказательств нет: крупное исследование 17 тысяч приложений не нашло передачи звука с микрофона в рекламные сети. «Совпадения» объясняются таргетингом по поведению, геолокации и похожим аудиториям. Постоянная запись звука к тому же быстро сажала бы батарею и была бы видна в сетевом трафике.

Отпечаток браузера — что это простыми словами?

Это набор технических характеристик вашей системы — шрифты, разрешение экрана, видеокарта, часовой пояс, версия браузера, — который в сумме оказывается уникальным примерно у девяти из десяти пользователей. По нему сайт узнаёт вас повторно даже после полной очистки куки.

Режим инкогнито защищает от трекеров?

Почти нет. Инкогнито лишь не сохраняет историю и куки на вашем устройстве после закрытия окна. IP-адрес, отпечаток браузера и всё, что видит сайт во время визита, остаются ровно теми же.

Если скрыть IP-адрес, реклама перестанет меня преследовать?

Она станет заметно менее точной: пропадут геопривязка и связь между вашими сессиями из разных мест. Но ретаргетинг по куки и узнавание по отпечатку никуда не денутся, поэтому скрытие IP работает в связке с блокировщиком трекеров и отключением персонализации рекламы, а не вместо них.