Що таке Do Not Track? Перемикач «не стежити» і відбиток браузера: все по поличках

Do Not Track - це звернення браузера до сайту «не стежте за мною»; це лише заява про намір, без примусової сили; а те, чи можуть сайти прочитати цей сигнал і як його тлумачать, є входом у зв'язок із відбитком браузера. Непоказний пункт «Не стежити» у налаштуваннях браузера багатьох змушував вагатися. Ця стаття розкладає все по поличках: як він працює, чому від нього відмовилися, який у нього зв'язок із відбитком і де межі цього впливу. Остання частина переходить до практики: як перевірити цей сигнал в антидетект-браузері.

Що таке Do Not Track насправді

Do Not Track (скорочено DNT) - це HTTP-заголовок, який виражає сайтам уподобання «користувач не хоче, щоб його відстежували між сайтами». Ідею запропонували дослідники у 2009 році, а Firefox 4 у 2011 році першим офіційно її підтримав. Далі підхопили Chrome, Safari та IE. Після ввімкнення кожен запит браузера несе додаткове поле заголовка. Значень три: 1 означає небажання бути відстеженим, 0 означає байдужість, а null (або ненадіслане поле) означає, що уподобання не висловлювали.

Вебскрипти можуть зчитувати те саме значення через властивість navigator.doNotTrack. Тож перевіряюча сторона може отримати значення двома шляхами: із заголовка і зі скрипта.

Треба чітко розуміти природу DNT. Це лише «прохання». Чи виконувати її, вирішує сумління сайту. Немає закону, який зобов'язував би платформи реагувати, немає й механізму покарань. На практиці DNT не отримав достатньо широкого дотримання, і ввімкнення не гарантує, що сайт припинить відстеження. Пояснення MDN щодо заголовка DNT тепер позначає його як застарілий і вказує, що роботу над стандартом згорнули.

Чому браузери поступово від нього відмовилися

Причину відмови від DNT можна стиснути у дві фрази: сайти майже його не дотримувалися, а сам він міг стати змінною відбитка. За понад десять років цього шляху варто запам'ятати три віхи:

1. Близько 2011 року DNT прийняли кілька основних браузерів: вони хотіли дати користувачам змогу висловлювати небажання бути відстеженими через заголовок запиту. У ті роки медіа подавали його як стандартний елемент захисту приватності.
2. У 2019 році W3C вирішив, що стандарт не має достатнього реального поширення, і завершив роботу над ним. Того ж року Safari вилучив підтримку, щоб DNT не став змінною відбитка.
3. У 2025 році Firefox вилучив налаштування DNT, починаючи з версії 135, і почав орієнтувати користувачів на опції приватності на основі GPC (Global Privacy Control). GPC виражає ту саму згоду на відмову від відстеження через заголовок Sec-GPC. Ним користуються й досі.

У GPC та DNT є суттєва різниця: юридична сила GPC походить від сфери дії конкретних законів про приватність. У сценах, які покривають ці закони, сайти зобов'язані реагувати на сигнал. Це не означає, що всі сайти в усіх регіонах мусять його дотримуватися, але принаймні з'явився реальний важіль впливу.

Озираючись назад, крах DNT не в технічній реалізації, а в конструкції механізму: заява без примусової сили, дотримання повністю на волі сайтів. Ця історія пояснює й інше: чому зв'язок із відбитком обернувся проти нього.

DNT і відбиток: може підвищувати розпізнаваність, але з межами

На відміну від даних про пристрій на кшталт розміру екрана чи операційної системи, DNT виражає уподобання браузера щодо відстеження. Але щойно сайт може зчитати це значення, воно може потрапити до комбінованого аналізу характеристик браузера. Це весь шлях зв'язку з відбитком. Переважна більшість користувачів ніколи не заходила в налаштування приватності, тож DNT залишається ненадісланим. Хто його вмикає, тих небагато. У системі оцінювання, яка відштовхується від «чи відрізняєшся ти від більшості», рідкісне значення несе в собі трохи розпізнаваності.

У цієї підказки вужчі межі, ніж здається. Три уточнення:

1. DNT не є унікальним ідентифікатором. Сам по собі він не доводить, що два запити походять з одного пристрою, і тим більше сам не встановлює зв'язок акаунтів. Чи читають ризик-системи цей сигнал і з якою вагою, ззовні не видно.

2. Різні значення не означають аномальне середовище. На результат перевірки впливають версія браузера, налаштування приватності й спосіб реалізації. Інший стан DNT не обов'язково веде до того самого висновку.

3. Однаковість не означає, що чим уніфікованіше, тим безпечніше. Немає підстав вимагати вмикати чи вимикати DNT в усіх середовищах; напрям значення не має єдиної правильної відповіді.

Причина, яку Apple назвала під час вилучення DNT, є найпрямішим офіційним підтвердженням на сьогодні: це поле заголовка можна використовувати як змінну відбитка. «Може використовуватися» і «справді використовується» - різні речі. Обачне розуміння таке: DNT перебуває в межах того, що сайт може зчитати; наскільки великий вплив, визначає практика того, хто збирає дані, а не сам перемикач.

Щоб дізнатися, які характеристики викриває твоє середовище, можна пройти пункт за пунктом у порядку перевірки з Гіду з оцінювання Whoer. Сигнали типу DNT теж є серед повернених пунктів сторінки перевірки.

Як перевірити DNT в антидетект-браузері

Суть перевірки в одному правилі: орієнтуйся на сигнал, який сайт отримує насправді, а не на перемикач у налаштуваннях. DNT застарів, і браузери підтримують його по-різному. Firefox 135 уже вилучив початкове налаштування, а MDN позначає застарілими і заголовок DNT, і navigator.doNotTrack.

Стан перемикача й фактично надісланий сигнал можуть не збігатися.

Перевіряйте за цією таблицею:

Результати двох шляхів, заголовка та зчитування скриптом, краще звіряти між собою. Якщо значення збігаються, сигнал цього середовища узгоджений. Якщо ні, варто перевірити версію ядра браузера та конфігурацію середовища.

MostMate - це антидетект-браузер, який розділяє конфігурацію браузера за середовищами. Кожен акаунт має власне середовище, набір параметрів зберігається окремо. Увійшли у середовище, працюєте з його конфігурацією. Середовища нічого не спільні між собою. Сигнали рівня браузера на кшталт Do Not Track разом з мовою, часовим поясом і WebRTC зберігаються в конфігурації середовища й керуються звідти, тож під час зміни середовища окремо нічого робити не треба. Ідея перевірки «параметри одного середовища не дрейфують» із Гіду з перевірки узгодженості UA застосовна так само й до DNT. Розподіл ролей між функціональними модулями дивіться на сторінці про продукт.

Кроком далі, щоб знайти інші розбіжності між середовищами, пройдіть етапи з Гіду з самоперевірки ризику зв'язку акаунтів. Зведіть докупи конфігурації середовищ, проксі та записи дій з акаунтами. DNT лише один із пунктів; окремо він мало що каже.

Часті запитання

Чи є користь від увімкнення Do Not Track?

Користь обмежена. Це заява без примусової сили, вона не отримала достатньо широкого дотримання й не зупиняє сама по собі роботу скриптів відстеження. Інструменти блокування контенту належать до іншого механізму: вони прямо відсікають запити відстеження, тож це не одне й те саме.

Чим DNT відрізняється від режиму інкогніто?

Це дві різні речі. DNT - заява, надіслана сайтам, і стосується того, «чи може інша сторона відстежувати»; інкогніто - локальна поведінка, яка стосується того, «чи залишаться історія перегляду та Cookie на цьому пристрої». Інкогніто не надсилає DNT, а DNT не заважає сайту зчитувати ваш відбиток.

Чи замінить GPC DNT?

За напрямком так. GPC виражає ту саму відмову від відстеження через заголовок Sec-GPC, а юридична сила походить від сфери дії конкретних законів про приватність. У сценах, покритих цими законами, сайти зобов'язані реагувати: статус, якого DNT ніколи не мав. Він діє не в усіх регіонах і не на всіх сайтах.

Підсумок

П'ятнадцять років Do Not Track довели, що «ввічливе прохання» не стримує «комерційне відстеження», і показали одну деталь фінгерпринтингу: перемикач, який виражає уподобання щодо приватності, сам перебуває в межах того, що сайт може зчитати.

Для операторів багатоакаунтової роботи практичний крок полягає в перевірці, а не у ваганнях навколо напрямку перемикача: підтвердьте стан підтримки в браузері, звірте результат заголовка зі зчитуванням скриптом і тримайте значення одного середовища без дрейфу.

Кому ще треба зібрати систему конфігурації середовищ і сигналів, варто спершу прочитати Що таке відбиток браузера, щоб підтягнути поняття, а потім закріпити конфігурацію середовищ у MostMate. Речі на рівні сигналів треба стабілізувати з першого дня.