瀏覽器指紋是什麼？每一項參數都不特別，拼起來卻能認出你

網站認出你，很多時候不需要你登入，也不需要往你機器裡放任何東西。瀏覽器每次開啟頁面，都會主動交出一批資訊。

這批資訊湊在一起足夠穩定，能撐過你清空瀏覽紀錄。陌生網站照樣認得出，這是同一部裝置。這就是瀏覽器指紋。

MostMate 是一款面向多帳號營運的指紋瀏覽器。它處理的正是這件事的另一面：在同一部電腦上，給每個帳號一套獨立、並且各自自洽的瀏覽器身分。

下面按四個問題往下走。指紋由什麼拼成、網站從哪些入口拿到、關掉腳本能不能躲開，以及怎麼自己測一遍。

單項都不稀奇，拼起來才認得人

單獨看每一項，都普通得沒法用來認人。1366×768 的螢幕滿街都是，Chrome 的標識字串一抓一大把，東八區住著幾億人。

真正起作用的是交集。螢幕尺寸是一層篩，作業系統是一層，顯示卡型號是一層，字體清單、時區、語言偏好各算一層。每疊一層，剩下的人就少一批。疊到七八層，往往只剩一個。

EFF 在 2010 年做過一次公開實驗，收集了約 47 萬份瀏覽器資訊。其中 83.6% 在這一組篩之下已經是獨一無二。

研究者把結果換算成資訊量，平均每部瀏覽器至少帶著 18.1 位元的辨識度。隨機挑一部，大約 28 萬部裡才會有一部和它撞上。實驗的完整結論寫在 EFF 那份公開報告裡。這組數字後來被反覆引用，也反覆被誤讀。

這個數字容易被讀成「人人都在裸奔」。其實它更值得當成一句提醒：指紋的強度不來自某一項有多罕見，而來自有多少項能同時對得上。 一項特別少見的值，反倒會令這部裝置在統計上顯得突兀。

還有一件事比項數更關鍵，就是穩定性。指紋之所以有用，是因為它明天、下個月還在原處。一部每次啟動都換一套參數的瀏覽器，等於每天主動交出一組新的區分線索。

三份研究給出三個數字，差別藏在取樣方式裡

只記住一個數字容易得出錯誤結論。同類研究做過不止一次，條件不同，結果差得很遠。

前兩行的數據來自專門做檢測的網站。願意主動去測的人，本身就更在意私隱，裝置與設定也比普通網民整齊一些。

第三行換了個場景。採集腳本掛在訪問量排前十五的法國新聞網站上，收的是兩個頁面的自然訪客：天氣預報和政治新聞。用的還是同樣那十幾項屬性。

同樣一組屬性，換一批人來測，唯一比例從接近九成跌到三分之一。

所以唯一性並不是裝置的固有屬性。它取決於三件事能不能同時成立：採了多少項、採的是誰、用什麼方式採。 到 2021 年，研究者把屬性從十幾項擴到二百多項再測一次。唯一比例又回到 81%。項數一多，人就分開了。

那次法國網站的研究裡還有個更實用的發現。不唯一的指紋被描述成「脆弱的」。

一部原本和幾萬人重合的機器，只要動一點設定就可能掉進獨一無二那一檔。瀏覽器升級、多裝一個擴充功能、調一次解析度，都算。「我跟別人撞上了」不是安全證明，只是暫時還沒被分開。

指紋有三個入口，只有一個靠腳本

問「網站到底能看到什麼」，要分三層看。三層裡只有最下面那一層依賴腳本，另外兩層在腳本運行之前就已經完成了。官網講環境隔離時，也是按裝置、瀏覽器、網絡這三層來拆的。

連接層：請求還沒發出去，位址已經被記下

開啟頁面之前，瀏覽器要先和伺服器握一次手，再發出請求。這個過程中，伺服器已經拿到了你的出口位址，以及一組協商參數。

協商參數包括雙方支援的加密方式、擴充項目和偏好順序。報什麼、按什麼順序報，由瀏覽器版本與運行環境決定。這些值不涉及頁面內容，也不需要你按同意，屬於通訊本身的副產品。

位址加上這組參數，已經能完成一次粗篩。線路屬於哪家電訊商，對面像哪個版本、哪個瀏覽器，多半能看個大概。

請求標頭層：瀏覽器每次都主動報上幾項

請求標頭是瀏覽器附加在請求上的說明。有幾項幾乎次次都在，比如接受哪些語言、支援哪些壓縮方式、自己的標識字串、從哪個頁面跳轉過來。

語言那一項由系統與瀏覽器設定決定，寫得比多數人以為的更細。中文下面還分繁簡與地區。它們的特點是安靜、穩定、每次都給，不隨你訪問哪個網站變化，也不隨你清空歷史變化。

頁面層：腳本能讀到的比你想的多

頁面載入之後，腳本可以繼續往下問。螢幕與視窗尺寸、時區偏移、CPU 核心數、記憶體等級，都在可讀範圍裡。這些介面在瀏覽器裡是公開的，瀏覽器的介面文件把它們列得清清楚楚，任何網站都能直接呼叫。

問「瀏覽器指紋是什麼」，多數人最先想到的是畫布和字體。這兩項確實最常被點名，原因不在它們多稀奇，而在它們最難改。

畫布與字體：最常被點名的兩項

畫布（Canvas）的做法很直白。頁面在你看不見的位置畫一段圖形或一行字，再把畫好的圖逐像素讀回來。

同一段指令，在不同顯示卡、不同驅動、不同系統上畫出來的像素並不完全一樣。差別小到肉眼看不出來，卻足夠穩定。你換一張桌布、改一次縮放比例，它都還在原處。

字體清單走的是另一條路。頁面不問你裝了什麼字體，而是拿一批常見字體的名字逐個試。用某個字級渲染一段字，量出來的寬度跟預期對不上，就說明這個字體不在你機器上。試的名字越多，拿到的紀錄越長。

裝設計軟件時順手帶進來的那些字體，在這裡都算數。所以字體指紋常常比螢幕尺寸更能說明問題，它記的是你裝過什麼軟件、平時拿這部機器做什麼。

渲染差異：藏在像素裡的那一類

畫布只是渲染差異的一個出口。音訊處理鏈路、圖形介面、視訊編解碼各自都會留下與硬件綁定的細微差別，同一部機器上它們互相咬合，換一部機器很難重現。

這一類值有個共同點：由硬件與驅動決定，改不動。調瀏覽器設定、清快取、換線路，都碰不到它們。

比項數更值得留意的是穩定性。這類值穩定到可以當成裝置標識長期使用，也正因為穩定，把某一兩項參數改得更罕見，通常解決不了問題。

關掉 JavaScript，問題就解決了嗎

把腳本關掉，第三個入口確實堵住了。頁面讀不到字體清單，也拿不到渲染結果。

但前兩層照舊。請求標頭一項不少，出口位址照樣記下，連接層的協商參數也照樣在。關腳本減掉的是其中一層，不是全部。

2010 年那次實驗裡，停用腳本的瀏覽器被單獨歸成一類「相對難以指紋化」的樣本。這個動作在當時確實有效。

不過「相對難」和「藏得住」是兩回事。周圍的人都開著腳本，你剛好屬於關著的那一小撮，這件事本身就構成特徵。少見的狀態不會令人消失，只會令人更容易被挑出來。

真正該處理的不在這裡。指紋帶來的困擾，主要是同一批身分之間被連起來，而不是某一項參數夠不夠隱蔽。 這也解釋了為什麼把參數改得更花、更罕見，通常幫不上忙。

同一部電腦換瀏覽器，哪些項會跟著變

不少人以為多裝幾個瀏覽器就等於多了幾個身分，實際變化比想像中少。按換瀏覽器之後的表現，這些項可以分成兩組：

• 會跟著變的：瀏覽器標識字串、圖形與畫布介面的渲染結果、擴充功能清單、本機儲存與登入狀態。
• 不跟著變的：顯示卡與驅動型號、螢幕物理參數、CPU 核心數、記憶體等級、系統時區、系統層字體。

第一組由瀏覽器自己帶來，重裝、升級、裝擴充功能都會重排。第二組來自硬件與系統，換多少個瀏覽器都還是同一批值。它們才是把幾部「看起來不同」的機器連起來的那根線。

同一部電腦上開三個瀏覽器，在網站眼裡更接近同一部裝置的三種用法。不是三部裝置。

三步自測：多帳號管理裡怎麼用這套判斷

公開的檢測站不用註冊就能跑。與其聽結論，不如看一眼自己這部機器報出去的到底是什麼。落實到多帳號場景，比讀檢測結果更該先定下來的其實是順序，從零到第一個環境的順序那篇把代理、表單和核對清單按先後排過一遍。

測的順序可以這樣定：

1. 先看唯一性來自哪幾項。跑完不看總分，看它標出的「最獨特的幾項」，那通常就是你身上最難改的部分。
2. 再把同一部機器上的兩個瀏覽器各測一次，圈出兩次都相同的項。重合的那些屬於硬件與系統這一層，換瀏覽器也甩不掉。
3. 最後把腳本關掉複測一遍，看還剩哪些值讀得出來。剩下的就是不用腳本也能拿到的部分。

三步跑完，通常會落到同一個結論上。真正難改的項沒有幾項，但正是它們在穩住你的身分。

順著這個結論往下，多帳號場景的做法不難推。要做的是讓每個帳號的環境在自己那一套裡保持一致，參數不需要更奇特。

MostMate 把這件事放在建立環境這一步。語言、介面語言、時區、地理位置預設跟著出口走。螢幕、核心數、記憶體這類硬件項只給真實與隨機兩檔，想偏離預設值，得手動選一次。這套取值與手動逐項設定的對照在官網上可以並排看到。

為什麼要這麼取捨，四條設計原則分別在攔什麼那篇講得更細。哪一條對應哪一類失效、四條互相頂的時候該先保哪一條，都寫在裡面。

想直接上手的話，也可以下載 MostMate，裝好之後拿上面這三步複測一遍自己的環境。

想先看清 MostMate 是怎麼把這些取值收進一套環境管理裡的，可以從產品說明開始。

常見問題

清除 Cookie 或者開無痕模式，指紋會變嗎？

不會。Cookie 和本機儲存是瀏覽器替網站留下的便條，清掉就沒有了。指紋不一樣，它是從裝置和瀏覽器裡現讀出來的值，並沒有存在你機器上。無痕模式限制的是本機留下什麼，不改變瀏覽器對外報什麼。

換個 IP，是不是就換了一個身分？

只換了網絡那一層。語言偏好、字體、顯示卡、系統時區這些項不會因為換 IP 而變化。如果新線路的地區跟你的時區、語言對不上，反而拼出一個說不通的組合。

裝一個反指紋外掛有用嗎？

常見做法是給部分項加雜訊，或者統一成一套大眾取值。統一取值確實能讓你淹沒在人群裡，代價是同一批人共享同一套特徵。加雜訊則可能讓同一個環境兩次報出的值不一致，這本身就是異常。兩種做法都動不到硬件與系統那一層。

網站真的會去比對指紋嗎？

在反欺詐和風控裡屬於常規手段，登入、註冊、付款這些環節尤其常見。不過多數網站把它當成一路訊號，會跟帳號行為、裝置歷史放在一起看，很少只憑某一項下判斷。

兩部型號完全一樣的電腦，指紋會一樣嗎？

不會完全一樣。同型號機器在系統版本、字體、驅動、時區、語言、裝的擴充功能上很快分岔，這些差異都會落進指紋。批量裝出來的複製機器最接近，但那只佔很小一部分場景。

用了指紋瀏覽器，是不是就查不到了？

不是。指紋瀏覽器處理的是環境之間的邊界，讓每個帳號擁有一套獨立且自洽的瀏覽器身分。它不改變平台怎麼判定帳號歸屬，也不承諾任何結果。另外要分清一件事：指紋一致性屬於自查方式，不是平台的檢測規則。把兩者當成同一件事，容易對工具有不切實際的期待。