Czym jest Do Not Track? Przełącznik „nie śledź” i jego związek z odciskiem palca przeglądarki

Do Not Track to przesłanie „proszę, nie śledź mnie", które przeglądarka wysyła stronom internetowym; to jedynie deklaracja intencji bez mocy wiążącej, a to, czy strona może odczytać ten sygnał i jak go zinterpretuje, stanowi punkt styku z odciskiem palca przeglądarki. Mało widoczna opcja „nie śledź" w ustawieniach przeglądarki spędza sen z powiek niejednemu użytkownikowi. Ten artykuł rozbiera ją na części: jak działa, dlaczego została porzucona, jaki ma związek z odciskiem palca i gdzie kończy się jej wpływ. Ostatnia część ma charakter praktyczny i pokazuje, jak sprawdzić ten sygnał w przeglądarce antywykrywalnej.

Czym właściwie jest Do Not Track

Do Not Track (w skrócie DNT) to nagłówek żądań HTTP, którego zadaniem jest przekazanie stronie preferencji „użytkownik nie chce być śledzony między witrynami". Koncepcja powstała w 2009 roku, a Firefox 4 jako pierwszy oficjalnie wsparł ją w 2011 roku. Wkrótce poszły tą drogą Chrome, Safari i IE. Po włączeniu każde żądanie przeglądarki zawiera dodatkowe pole nagłówka. Dopuszczalne są trzy wartości: 1 oznacza niechęć do śledzenia, 0 brak sprzeciwu, a null (albo brak wysyłania) oznacza, że preferencja nigdy nie została wyrażona.

Ten sam odczyt może nastąpić też przez właściwość navigator.doNotTrack w skryptach stron. Strona wykrywająca może więc pobrać tę wartość dwiema drogami: z nagłówka i ze skryptu.

Trzeba wreszcie powiedzieć wprost, czym DNT jest. To tylko „prośba". O jej uwzględnieniu decyduje wyłącznie dobra wola strony. Żaden przepis nie zobowiązuje platform do reagowania na ten sygnał i nie przewiduje żadnych sankcji. W praktyce DNT nie zyskał wystarczająco powszechnego uznania, a jego włączenie nie daje gwarancji, że strona przestanie śledzić. Opis nagłówka DNT w MDN oznacza go obecnie jako wycofany i wskazuje, że prace nad specyfikacją zostały zakończone.

Dlaczego przeglądarki kolejno go porzucały

Powodów porzucenia DNT nie trzeba szukać daleko: strony niemal go nie respektowały, a sam mógł stawać się zmienną odcisku palca. W kilkunastoletniej historii warto zapamiętać trzy daty:

1. Około 2011 roku DNT została przyjęta przez wiele głównych przeglądarek, które chciały pozwolić użytkownikom wyrażać w nagłówkach żądań wolę niebycia śledzonym. W tamtych latach media przedstawiały go jako standardowy element ochrony prywatności.
2. W 2019 roku W3C uznało, że specyfikacji brakuje wystarczającego wdrożenia, i zakończyło prace. W tym samym roku Safari usunęło wsparcie, by DNT nie stał się zmienną odcisku palca.
3. W 2025 roku Firefox, począwszy od wersji 135, usunął ustawienie DNT i zaczął kierować użytkowników do opcji prywatności opartej na GPC (Global Privacy Control). GPC wyraża tę samą wolę rezygnacji ze śledzenia nagłówkiem Sec-GPC i pozostaje w aktywnym użyciu.

GPC różni się od DNT w jednej istotnej kwestii: jego moc prawna wynika z zakresu obowiązywania konkretnych przepisów o ochronie prywatności. Tam, gdzie przepisy obejmują daną sytuację, strona musi zareagować na ten sygnał. Nie znaczy to, że wszystkie strony we wszystkich regionach muszą go respektować, ale przynajmniej pojawia się realna dźwignia.

Patrząc wstecz, porażka DNT nie leżała w wykonaniu technicznym, lecz w konstrukcji mechanizmu: deklaracja bez mocy wiążącej, a respektowanie jej zależy wyłącznie od woli strony. Ta historia tłumaczy też coś innego: dlaczego relacja DNT z odciskiem palca obróciła się przeciwko niemu.

DNT a odcisk palca: może zwiększać odróżnialność, ale z granicami

DNT, w odróżnieniu od informacji o urządzeniu jak rozdzielczość ekranu czy system operacyjny, wyraża preferencje śledzenia przeglądarki. Skoro jednak strona może odczytać tę wartość, może ona trafić do zestawu cech analizowanych łącznie. To cała droga, jaką łączy go z odciskiem palca. Ogromna większość użytkowników nigdy nie zagląda do ustawień prywatności, więc DNT pozostaje niewysyłany. Włącza go garstka. W systemie oceny opartym na pytaniu „czy różnię się od większości", wartości mniejszościowe niosą ze sobą pewną odróżnialność.

Jej zasięg jest jednak węższy, niż sugeruje wiele tekstów. Trzy sprawy:

1. DNT nie jest unikalnym identyfikatorem. Sam nie dowodzi, że dwa żądania pochodzą z tego samego urządzenia, tym bardziej nie przesądza powiązania kont. Czy strony ryzyka czytają ten sygnał i z jaką wagą, nie sposób zaobserwować z zewnątrz.

2. Inna wartość nie oznacza nietypowego środowiska. Wersja przeglądarki, ustawienia prywatności i sposób implementacji wpływają na wynik wykrywania. Różny stan DNT niekoniecznie prowadzi do tego samego wniosku.

3. Zgodność nie znaczy, że im bardziej jednolicie, tym bezpieczniej. Nie ma podstaw, by włączać albo wyłączać DNT we wszystkich środowiskach; sam kierunek wartości nie ma jednej poprawnej odpowiedzi.

Argument podany przez Apple przy usuwaniu DNT jest do dziś najbardziej bezpośrednim oficjalnym potwierdzeniem: to pole nagłówka może służyć jako zmienna odcisku palca. Możliwość użycia i faktyczne wykorzystanie to dwie różne rzeczy. Rozsądne rozumienie jest takie: DNT mieści się w zasięgu odczytu stron, a skala konkretnego wpływu zależy od praktyk tego, kto zbiera dane, nie od samego przełącznika.

Jeśli chcesz sprawdzić, jakie cechy ujawnia twoje środowisko, przejdź kolejno przez punkty z przewodnika po teście Whoer. Sygnały typu DNT też pojawiają się w wynikach strony testowej.

Jak sprawdzić DNT w przeglądarce antywykrywalnej

Sama istota kontroli sprowadza się do jednego: liczy się sygnał faktycznie odebrany przez stronę, a nie włącznik widoczny w ustawieniach. DNT został wycofany, a poszczególne przeglądarki obsługują go różnie. Firefox 135 już usunął dawne ustawienie, a MDN oznaczyło jako wycofane zarówno nagłówek DNT, jak i navigator.doNotTrack.

Stan przełącznika i wysłany sygnał to niekoniecznie to samo.

Sprawdzaj według tej tabeli:

Wyniki odczytu nagłówka i ze skryptu najlepiej zestawić ze sobą. Gdy obie drogi dają tę samą wartość, sygnał środowiska jest spójny. Gdy się rozjeżdżają, warto sprawdzić wersję jądra przeglądarki i konfigurację środowiska.

MostMate to przeglądarka antywykrywalna, która trzyma konfigurację przeglądarki osobno dla każdego środowiska. Jedno konto, jedno środowisko, z niezależnie zapisanym zestawem parametrów. Logujesz się do środowiska, używasz przypisanej mu konfiguracji. Środowiska nie korzystają ze swoich ustawień na wzajem. Sygnały przeglądarkowe jak Do Not Track, wraz z językiem, strefą czasową i WebRTC, są zarządzane razem w konfiguracji środowiska, więc przy zmianie środowiska nie trzeba nic robić osobno. Sposób myślenia „parametry jednego środowiska nie dryfują" opisaliśmy w przewodniku po kontroli spójności UA i sprawdzi się on także przy DNT. Podział obowiązków między moduły opisuje strona produktu.

Jeśli chcesz zajrzeć głębiej i ustalić, czy między środowiskami nie ma innych niezgodności, wykonaj kroki z przewodnika samodzielnej kontroli ryzyka powiązania kont. Zestaw ze sobą konfigurację środowisk, proxy i historię operacji na kontach. DNT to tylko jeden z elementów; sam w sobie niewiele mówi.

Częste pytania

Czy włączenie Do Not Track daje coś?

Ograniczone. To deklaracja bez mocy wiążącej, nie zyskała wystarczająco powszechnego uznania i sama nie zatrzyma skryptów śledzących. Narzędzia blokujące treści działają na innej zasadzie, odcinając żądania śledzące; to dwie różne rzeczy.

Czym różni się DNT od trybu incognito?

To dwie różne rzeczy. DNT to deklaracja wysyłana stronom i dotyczy tego, „czy druga strona może śledzić"; tryb incognito to zachowanie lokalne i dotyczy tego, „czy historia przeglądania i ciasteczka zostają na tym urządzeniu". Tryb incognito nie wysyła DNT, a włączenie DNT nie zablokuje odczytu twojego odcisku palca przez stronę.

Czy GPC zastąpi DNT?

Kierunkowo tak. GPC wyraża tę samą wolę rezygnacji nagłówkiem Sec-GPC, a jego moc prawna wynika z zakresu obowiązywania konkretnych przepisów o ochronie prywatności. Tam, gdzie przepisy obejmują daną sytuację, strona musi zareagować; to status, jakiego DNT nigdy nie uzyskał. Nie działa we wszystkich regionach i na wszystkich stronach.

Podsumowanie

Piętnaście lat Do Not Track pokazało, że „grzeczna prośba" nie zatrzymuje „komercyjnego śledzenia", i obnażyło detal odcisku palca: przełącznik wyrażający preferencje prywatności sam mieści się w zasięgu odczytu stron.

Dla operatorów wielu kont praktyczne wyjście to kontrola zamiast roztrząsania kierunku przełącznika: sprawdzić obsługę przez przeglądarkę, zestawić wyniki nagłówka i odczytu ze skryptu, pilnować, by wartość w obrębie jednego środowiska nie dryfowała.

Jeśli system konfiguracji środowisk i sygnałów jeszcze nie powstał, zacznij od czym jest odcisk palca przeglądarki, żeby poukładać pojęcia, a potem ustabilizuj konfigurację środowisk w MostMate. Rzeczy na poziomie sygnałów powinny być stabilne od pierwszego dnia.