Do Not Track là gì? Mối quan hệ giữa công tắc không theo dõi và vân tay trình duyệt, giải thích rõ trong một bài

Do Not Track là câu "xin đừng theo dõi tôi" mà trình duyệt gửi cho website; nó chỉ là một tuyên bố nguyện vọng, không có sức ràng buộc, còn việc website có đọc được tín hiệu này hay không và đọc xong hiểu thế nào mới là điểm khởi đầu của mối quan hệ giữa nó và vân tay trình duyệt. Không ít người từng phân vân có nên bật tùy chọn "Không theo dõi" kín đáo trong trang cài đặt hay không. Bài viết này sẽ mổ xẻ mọi thứ: cách nó hoạt động, vì sao bị từ bỏ, mối quan hệ với vân tay và ranh giới ảnh hưởng. Phần cuối đi vào thực hành, hướng dẫn cách kiểm tra tín hiệu này trong trình duyệt anti-detect.

Do Not Track rốt cuộc là gì

Do Not Track (viết tắt DNT) là một HTTP header, có tác dụng chuyển đến website sự ưu tiên "người dùng không muốn bị theo dõi chéo trang". Khái niệm này do các nhà nghiên cứu đề xuất năm 2009, Firefox 4 là trình duyệt đầu tiên chính thức hỗ trợ vào năm 2011. Sau đó Chrome, Safari và IE lần lượt nối gót. Khi bật, mọi yêu cầu của trình duyệt đều kèm thêm một trường header. Giá trị có ba loại: 1 nghĩa là không muốn bị theo dõi, 0 nghĩa là không ngại bị theo dõi, null (hoặc không gửi) nghĩa là chưa từng bày tỏ ưu tiên.

Script trên trang web cũng có thể đọc cùng một giá trị qua thuộc tính navigator.doNotTrack. Vì vậy bên kiểm tra có thể lấy được giá trị này từ cả hai đường: header và script.

Cần nói rõ bản chất của DNT. Nó chỉ là một "lời đề nghị". Tuân theo hay không hoàn toàn tùy ý thức của website. Không có pháp luật bắt buộc nền tảng phải phản hồi, cũng không có cơ chế trừng phạt làm hậu thuẫn. Thực tế là DNT không được tuân thủ đủ rộng rãi, bật nó không đảm bảo website ngừng theo dõi. Giải thích về DNT header của MDN hiện đánh dấu mục này là bị ngừng sử dụng (deprecated), ghi rõ tiêu chuẩn đã ngừng triển khai.

Vì sao các trình duyệt lần lượt từ bỏ

Lý do DNT bị từ bỏ có thể gói trong hai câu: các website hầu như không tuân theo, và chính nó có thể trở thành biến vân tay. Trong chặng đường hơn mười năm có ba mốc đáng nhớ:

1. Khoảng năm 2011, DNT được nhiều trình duyệt chính thông qua, nhằm để người dùng bày tỏ nguyện vọng không bị theo dõi qua request header. Những năm đó báo chí đưa nó như một trang bị tiêu chuẩn của bảo vệ riêng tư.
2. Năm 2019, W3C nhận định tiêu chuẩn này thiếu mức độ triển khai thực tế đủ lớn và chấm dứt công việc liên quan. Cùng năm, Safari gỡ bỏ hỗ trợ với lý do tránh để DNT trở thành biến vân tay.
3. Năm 2025, Firefox gỡ bỏ cài đặt DNT từ phiên bản 135, chuyển sang hướng dẫn người dùng dùng tùy chọn ưu tiên riêng tư dựa trên GPC (Global Privacy Control). GPC bày tỏ cùng nguyện vọng từ chối qua header Sec-GPC và hiện vẫn đang được sử dụng tích cực.

GPC và DNT có một khác biệt căn bản: hiệu lực pháp lý của GPC đến từ phạm vi áp dụng của các quy định riêng tư cụ thể. Trong những tình huống được quy định bao phủ, website buộc phải phản hồi tín hiệu này. Điều này không có nghĩa mọi website, mọi khu vực đều phải tuân theo, nhưng ít nhất đã có điểm tựa để ràng buộc.

Nhìn lại, thất bại của DNT không nằm ở hiện thực kỹ thuật mà ở thiết kế cơ chế: một tuyên bố không có sức ràng buộc, việc tuân theo hay không tùy lòng tự nguyện của website. Lịch sử này cũng lý giải một chuyện khác: vì sao mối quan hệ giữa nó và vân tay lại đi theo hướng ngược lại.

DNT và vân tay: có thể làm tăng độ phân biệt, nhưng có giới hạn

Khác với thông tin thiết bị như kích thước màn hình hay hệ điều hành, DNT bày tỏ ưu tiên theo dõi của trình duyệt. Nhưng chỉ cần website đọc được giá trị này, nó đã có thể bị đưa vào phân tích tổ hợp các đặc trưng của trình duyệt. Đây là toàn bộ con đường khiến nó liên quan đến vân tay. Phần lớn người dùng chưa bao giờ vào trang cài đặt riêng tư, DNT ở trạng thái không gửi. Người bật nó là thiểu số. Trong một hệ thống đánh giá lấy "có khác với đa số hay không" làm manh mối, giá trị của thiểu số vốn sẵn mang theo chút độ phân biệt.

Phạm vi của manh mối này hẹp hơn vẻ ngoài. Ba điểm cần phân biệt:

1. DNT không phải định danh duy nhất. Nó không thể một mình chứng minh hai yêu cầu đến từ cùng một thiết bị, càng không thể một mình kết luận tài khoản liên quan. Bên kiểm soát rủi ro có đọc tín hiệu này hay không, gán trọng số bao nhiêu, bên ngoài không quan sát được.

2. Giá trị khác nhau không đồng nghĩa môi trường bất thường. Phiên bản trình duyệt, cài đặt riêng tư và cách hiện thực đều ảnh hưởng đến kết quả dò tìm. Trạng thái DNT khác nhau chưa chắc cùng trỏ về một kết luận.

3. Nhất quán không phải càng thống nhất càng an toàn. Không có căn cứ đòi hỏi mọi môi trường bật hoặc tắt DNT; hướng giá trị tự nó không có đáp án chuẩn.

Lý do Apple nêu khi gỡ bỏ DNT hiện là bằng chứng chính thức trực tiếp nhất: trường header này có thể bị dùng như một biến vân tay. Có thể dùng và sẽ bị dùng lại là hai chuyện. Cách hiểu vững vàng là: DNT nằm trong tầm đọc của website, ảnh hưởng cụ thể lớn hay nhỏ phụ thuộc vào cách của bên thu thập, không phụ thuộc vào công tắc này.

Muốn kiểm tra môi trường của mình đang phơi bày đặc trưng nào, bạn có thể lần lượt theo trình tự rà soát trong hướng dẫn chấm điểm kiểm tra Whoer. Tín hiệu dạng DNT cũng nằm trong các mục trả về của trang kiểm tra.

Cách kiểm tra DNT trong trình duyệt anti-detect

Cốt lõi của việc kiểm tra chỉ có một: lấy tín hiệu mà website thực tế nhận được làm chuẩn, thay vì lấy công tắc trên trang cài đặt làm chuẩn. DNT đã bị ngừng sử dụng, mức độ hỗ trợ khác nhau giữa các trình duyệt. Firefox 135 đã gỡ bỏ cài đặt gốc, MDN cũng đánh dấu cả DNT header lẫn navigator.doNotTrack là bị ngừng sử dụng.

Trạng thái công tắc và tín hiệu gửi đi không đảm bảo là một chuyện.

Kiểm tra cụ thể theo bảng này:

Nên đối chiếu chéo kết quả của header và đọc bằng script. Hai đường đọc được cùng một giá trị nghĩa là tín hiệu của môi trường này tự nhất quán. Không khớp nhau thì đáng rà phiên bản nhân trình duyệt và cấu hình của môi trường.

MostMate là trình duyệt anti-detect tách cấu hình trình duyệt theo từng môi trường. Mỗi tài khoản một môi trường, bộ tham số được lưu độc lập. Đăng nhập môi trường nào thì dùng bộ cấu hình đó. Các môi trường không dùng chéo cấu hình của nhau. Tín hiệu tầng trình duyệt như Do Not Track được quản lý chung với ngôn ngữ, múi giờ và WebRTC trong cấu hình môi trường, chuyển môi trường không cần xử lý riêng. Tư duy kiểm tra "tham số cùng môi trường không trôi" trong hướng dẫn kiểm tra nhất quán UA áp dụng được cho DNT luôn. Phân công của từng mô-đun chức năng xem tại trang giới thiệu sản phẩm.

Muốn đi sâu hơn, đánh giá xem môi trường còn chỗ nào chưa khớp nhau, hãy làm theo các bước rà soát trong hướng dẫn tự kiểm tra rủi ro liên kết tài khoản. Đặt cấu hình môi trường, proxy và nhật ký thao tác tài khoản cạnh nhau để đối chiếu. DNT chỉ là một mục trong đó. Nhìn riêng nó thì ý nghĩa không lớn.

Câu hỏi thường gặp

Bật Do Not Track có tác dụng không?

Tác dụng hạn chế. Đó là một tuyên bố không có sức ràng buộc, không được tuân thủ đủ rộng rãi, không chủ động chặn script theo dõi chạy. Công cụ chặn nội dung thuộc cơ chế khác, cắt thẳng các yêu cầu theo dõi, hai thứ không phải một chuyện.

DNT và chế độ ẩn danh khác nhau thế nào?

Hai chuyện khác nhau. DNT là tuyên bố gửi cho website, quản chuyện "bên kia có theo dõi được không"; chế độ ẩn danh là hành vi cục bộ, quản chuyện "lịch sử duyệt web và Cookie có nằm lại trên thiết bị này không". Bật ẩn danh thì DNT không được gửi, bật DNT cũng không ngăn website đọc vân tay của bạn.

GPC có thay thế DNT không?

Về hướng thì có. GPC bày tỏ cùng nguyện vọng từ chối qua header Sec-GPC, hiệu lực pháp lý đến từ phạm vi áp dụng của các quy định riêng tư cụ thể. Trong tình huống được quy định bao phủ website buộc phải phản hồi, đây là địa vị mà DNT chưa từng có được. Nó không áp dụng ở mọi khu vực, với mọi website.

Lời kết

Mười lăm năm của Do Not Track chứng minh "lời đề nghị lịch sự" chặn không nổi "theo dõi thương mại", đồng thời cho thấy một chi tiết của vân tay: một công tắc bày tỏ ưu tiên riêng tư cũng nằm trong tầm đọc của website.

Với người vận hành nhiều tài khoản, cách làm khả thi là kiểm tra thay vì đắn đo hướng công tắc: xác nhận tình trạng hỗ trợ của trình duyệt, đối chiếu kết quả giữa header và đọc bằng script, bảo đảm giá trị cùng một môi trường không trôi.

Ai chưa dựng hệ thống cấu hình môi trường và tín hiệu, có thể đọc vân tay trình duyệt là gì để bổ sung khái niệm, rồi đến MostMate để cố định cấu hình môi trường. Phần tín hiệu nên giữ vững ngay từ ngày đầu.