Do Not Track이란? 추적 금지 설정과 브라우저 지문의 관계 한 번에 정리

Do Not Track은 브라우저가 웹사이트에 보내는 "나를 추적하지 말아 주세요"라는 한마디로, 의사 표명일 뿐 강제력은 없습니다. 웹사이트가 이 신호를 읽을 수 있는지, 그것을 어떻게 해석하는지가 브라우저 지문과 관계 맺는 출발점입니다. 브라우저 설정 페이지의 그 눈에 띄지 않는 "추적 금지" 옵션 앞에서 고민해 본 적 있는 분이 많을 것입니다. 이 글에서는 작동 방식, 지원이 중단된 이유, 지문과의 관계와 영향 범위를 하나씩 풀어 설명하고, 마지막에는 지문 브라우저에서 이 신호를 확인하는 방법까지 다룹니다.

Do Not Track이란 무엇인가

Do Not Track(줄여서 DNT)은 HTTP 요청 헤더로, 웹사이트에 "사용자는 사이트 간 추적을 원하지 않는다"는 선호를 전달하는 역할을 합니다. 이 개념은 2009년 연구자들에 의해 제안되었고, Firefox 4가 2011년에 처음으로 정식 지원했습니다. 이후 Chrome, Safari, IE가 잇따라 도입했습니다. 켜 두면 브라우저의 모든 요청에 헤더 필드가 하나 더 실립니다. 값은 세 가지입니다. 1은 추적을 원하지 않음, 0은 추적되어도 괜찮음, null(또는 미전송)은 선호를 표현한 적이 없음을 뜻합니다.

웹 페이지 스크립트도 navigator.doNotTrack 속성으로 같은 값을 읽을 수 있습니다. 그래서 검증 측은 헤더와 스크립트 두 경로 모두에서 이 값을 가져올 수 있습니다.

DNT의 성질은 확실히 짚고 넘어갈 필요가 있습니다. 이것은 어디까지나 하나의 "요청"입니다. 지킬지 여부는 전적으로 웹사이트의 자율에 맡겨져 있습니다. 플랫폼이 반드시 응답해야 한다는 법적 요구도, 위반에 대한 제재 장치도 없습니다. 실제로는 DNT가 충분히 널리 지켜지지 못했기 때문에, 켠다고 해서 웹사이트가 추적을 멈춘다고 보장할 수 없습니다. MDN의 DNT 헤더 설명은 지금 이 항목을 폐기(deprecated) 상태로 표기하고 있으며, 해당 표준의 추진이 중단되었다고 명시하고 있습니다.

왜 브라우저들은 잇달아 DNT를 접었을까

DNT가 접힌 이유는 두 문장으로 요약됩니다. 웹사이트들이 거의 지키지 않았고, 그 자체가 지문 변수가 될 수 있었기 때문입니다. 십수 년의 행로에는 기억할 만한 세 지점이 있습니다:

1. 2011년 전후로 DNT는 여러 주요 브라우저에 채택되어, 사용자가 요청 헤더로 추적을 원하지 않는다는 의사를 표현하도록 하려 했습니다. 그 무렵 언론은 이를 개인정보 보호의 기본 장비처럼 소개했습니다.
2. 2019년, W3C는 이 표준이 충분한 실제 배포를 얻지 못했다고 판단해 관련 작업을 종료했습니다. 같은 해 Safari는 DNT가 지문 변수가 되는 것을 피하기 위해 지원을 제거했습니다.
3. 2025년, Firefox는 135 버전부터 DNT 설정을 제거하고, 대신 GPC(Global Privacy Control) 기반의 개인정보 선호 옵션으로 사용자를 안내하기 시작했습니다. GPC는 Sec-GPC 헤더로 같은 옵트아웃 의사를 표현하며, 현재도 활발히 쓰이고 있습니다.

GPC와 DNT 사이에는 본질적 차이가 하나 있습니다. GPC의 법적 효력은 구체적인 개인정보 법규의 적용 범위에서 나옵니다. 법규가 적용되는 상황에서는 웹사이트가 이 신호에 반드시 응답해야 합니다. 이것이 모든 웹사이트, 모든 지역에서 반드시 지켜야 한다는 뜻은 아니지만, 적어도 구속력을 걸 손잡이가 생겼습니다.

돌아보면 DNT의 실패는 기술 구현이 아니라 메커니즘 설계에 있었습니다. 강제력 없는 선언이었기에 웹사이트가 지킬지 여부는 전적으로 자발적 문제였습니다. 이 역사는 또 한 가지도 설명해 줍니다. DNT와 지문의 관계가 왜 역방향으로 흘렀는지를 말입니다.

DNT와 지문의 관계: 식별 가능성을 높일 수 있지만 한계가 있다

DNT는 화면 크기나 운영체제 같은 장치 정보와 달리, 브라우저의 추적 선호를 표현하는 항목입니다. 그러나 웹사이트가 이 값을 읽을 수만 있다면, 브라우저 특성의 조합 분석에 편입될 가능성이 생깁니다. 이것이 DNT가 지문과 관계 맺는 전부입니다. 대다수 사용자는 개인정보 설정 페이지조차 열어 본 적이 없어 DNT는 미전송 상태입니다. 이를 켠 사람은 소수입니다. "다수와 다른가"를 단서로 삼는 판정 체계에서는 소수 쪽 값이 본래 약간의 식별 가능성을 띱니다.

이 단서가 작동하는 범위는 많은 글이 말하는 것보다 좁습니다. 세 가지를 구분해야 합니다:

1. DNT는 유일한 식별자가 아닙니다. 이 값 하나만으로 두 요청이 같은 장치에서 왔다고 증명할 수 없고, 계정 연관을 단정할 수도 없습니다. 리스크 관리 측이 이 신호를 읽는지, 얼마나 가중치를 두는지는 외부에서 관측할 수 없습니다.

2. 값이 다르다고 환경 이상은 아닙니다. 브라우저 버전, 개인정보 설정, 구현 방식이 모두 검출 결과에 영향을 줍니다. DNT 상태가 달라도 반드시 같은 판정 결론을 가리키는 것은 아닙니다.

3. 일관성 역시 통일할수록 안전한 게 아닙니다. 모든 환경에서 DNT를 켜거나 끄라고 요구할 근거는 없으며, 값의 방향 자체에 정답은 없습니다.

애플이 DNT를 제거할 때 내놓은 이유가 현재로선 가장 직접적인 공식 근거입니다. 이 헤더 필드는 지문 변수로 쓰일 수 있다는 것입니다. "쓸 수 있다"와 "실제로 다시 쓰인다"는 별개의 문제입니다. 안전한 이해는 이렇습니다. DNT는 웹사이트가 읽을 수 있는 범위 안에 있고, 영향이 실제로 얼마나 큰지는 수집 측의 방식에 달려 있지 이 스위치 자체에 달려 있지 않습니다.

내 환경이 어떤 특징을 노출하는지 확인하려면 Whoer 검사 점수 가이드의 점검 순서를 따라 항목별로 훑어 볼 수 있습니다. DNT 계열 신호도 검사 페이지의 반환 항목 안에 있습니다.

지문 브라우저에서 DNT 확인하는 방법

확인의 핵심은 단 한 가지입니다. 설정 페이지의 스위치가 아니라 웹사이트가 실제로 받은 신호를 기준으로 삼는 것입니다. DNT는 이미 폐기 상태이고 브라우저별 지원 상황도 다릅니다. Firefox 135는 기존 설정을 제거했고, MDN도 DNT 헤더와 navigator.doNotTrack 모두를 폐기로 표기합니다.

스위치 상태와 실제 신호가 같다는 보장은 없습니다.

구체적인 확인은 이 표를 따릅니다:

요청 헤더와 스크립트 읽기 결과는 교차 대조하는 것이 좋습니다. 두 경로에서 읽은 값이 일치하면 이 환경의 신호가 자기 일관성을 지닌다는 뜻입니다. 맞지 않는다면 환경의 브라우저 커널 버전과 설정을 점검해 볼 가치가 있습니다.

MostMate는 브라우저 설정을 환경별로 분리해 관리하는 지문 브라우저입니다. 계정 하나에 환경 하나씩, 파라미터 세트를 독립적으로 저장합니다. 어느 환경에 로그인하면 그 환경의 설정을 씁니다. 환경 사이에서 설정이 섞여 쓰이는 일은 없습니다. Do Not Track 같은 브라우저 계층 신호도 언어, 시간대, WebRTC와 함께 환경 설정 안에 통합 관리되므로, 환경을 전환할 때 따로 손볼 필요가 없습니다. UA 일관성 검사 가이드에서 설명한 "같은 환경의 파라미터는 드리프트하지 않는다"는 점검 관점은 DNT에도 그대로 적용됩니다. 기능 모듈별 역할 분담은 제품 소개 페이지에서 볼 수 있습니다.

한 걸음 더 나아가 환경 사이에 아직 맞지 않는 부분이 더 있는지 판단하려면, 계정 연관 리스크 자가 점검 가이드의 점검 절차대로 진행하세요. 환경 설정, 프록시, 계정 조작 기록을 함께 놓고 대조해 보세요. DNT는 그중 한 항목일 뿐입니다. 이것만 따로 놓고 보면 큰 의미가 없습니다.

자주 묻는 질문

Do Not Track을 켜면 효과가 있나요?

효과는 제한적입니다. 강제력 없는 선언이고, 충분히 널리 지켜지지도 못했으며, 추적 스크립트가 도는 것을 능동적으로 막지도 못합니다. 콘텐츠 차단류 도구는 별개의 메커니즘으로 추적 요청 자체를 곧장 차단하며, 둘은 같은 것이 아닙니다.

DNT와 시크릿 모드는 무엇이 다른가요?

별개의 두 가지입니다. DNT는 웹사이트에 보내는 선언으로, "상대가 나를 추적할 수 있는지"를 다룹니다. 시크릿 모드는 로컬 동작으로, "방문 기록과 Cookie가 이 기기에 남는지"를 다룹니다. 시크릿 모드를 켠다고 DNT가 전송되지는 않고, DNT를 켠다고 웹사이트가 지문을 읽는 것까지 막지는 못합니다.

GPC가 DNT를 대체할까요?

방향으로는 그렇습니다. GPC는 Sec-GPC 헤더로 같은 옵트아웃 의사를 표현하며, 그 법적 효력은 구체적인 개인정보 법규의 적용 범위에서 나옵니다. 법규가 적용되는 상황에서는 웹사이트가 반드시 응답해야 하며, 이는 DNT가 한 번도 얻지 못한 지위입니다. 다만 모든 지역의 모든 웹사이트에 적용되는 것은 아닙니다.

맺음말

Do Not Track의 15년은 "정중한 요청"이 "상업적 추적"을 막지 못했음을 보여 주었고, 지문 식별의 한 가지 디테일도 드러냈습니다. 개인정보 선호를 표현하는 스위치조차 웹사이트가 읽을 수 있는 범위 안에 있다는 점입니다.

멀티 계정 운영자에게 실질적인 방법은 스위치 방향을 고민하기보다 점검하는 것입니다. 브라우저 지원 여부를 확인하고, 요청 헤더와 스크립트 읽기 결과를 대조하며, 같은 환경에서 값이 드리프트하지 않게 유지하세요.

환경과 신호의 설정 체계를 아직 갖추지 못했다면, 브라우저 지문이란 무엇일까로 개념을 먼저 채우고, MostMate에서 환경 설정을 고정하세요. 신호 계층의 것들은 첫날부터 잡아 두는 것이 좋습니다.