أصبح أخذ بصمة المتصفح الطريقة الافتراضية للتتبع بدلًا من ملفات تعريف الارتباط بهدوء

كان يُفترض أن تنتهي ملفات تعريف الارتباط الخاصة بجهات خارجية منذ سنوات. حظرها متصفح Safari من Apple بشكل افتراضي منذ 2019-2020 بواسطة Intelligent Tracking Prevention، وتبعتها ميزة Enhanced Tracking Protection في Firefox في العام نفسه، وأنفقت Google من 2020 إلى 2024 وهي تعد بالتخلص التدريجي منها كليًا من Chrome — قبل أن تتراجع عن ذلك في يوليو 2024 وتُعلن أنها ستحافظ على ملفات تعريف الارتباط الخاصة بجهات خارجية وتقدم للمستخدمين خيارًا عبر نافذة اختيار بدلًا من ذلك. لم يمنع أي من هذا التتبع عبر المواقع. بل نقل التتبع فقط إلى تقنية لم تُصمَّم الأطر القانونية المبنية حول ملفات تعريف الارتباط لرصدها أصلًا: أخذ بصمة المتصفح (browser fingerprinting).

هذا هو التحول الهادئ الذي يستحق الفهم: على ما يقارب نصف سوق المتصفحات — Safari وFirefox مجتمعين — مات التتبع عبر ملفات تعريف الارتباط بين المواقع منذ سنوات، ولم يتوقف التتبع، بل انتقل إلى قراءة إشارات يعرضها المتصفح أصلًا بدلًا من كتابة معرّف عليه. أطر الموافقة المبنية على "ملفات تعريف الارتباط تتطلب إذنًا" لا تنطبق بوضوح على تقنية لا تُخزّن أي شيء على الجهاز من الأساس.

ما الذي تقرأه بصمة المتصفح فعليًا

تُصيّر بصمة Canvas رسمًا مخفيًا باستخدام واجهة Canvas API للمتصفح وتقرأ البكسلات الناتجة؛ فالاختلافات الطفيفة في وحدة معالجة الرسومات والمشغّل وطبقات عرض الخطوط تُنتج قيمة تجزئة شبه فريدة عبر الأجهزة. تقوم بصمة WebGL بشيء مماثل عبر الاستعلام عن سلسلة معالج الرسومات المُصيِّر والامتدادات المدعومة. تُشغّل بصمة AudioContext نغمة غير مسموعة عبر واجهة Web Audio API وتقيس اختلافات دقيقة في الفاصلة العائمة بالموجة الناتجة بسبب اختلافات العتاد ونظام التشغيل.

لا يتطلب أي من هذه تخزين أي شيء. اجمع إشارات Canvas وWebGL والصوت مع تعداد الخطوط ودقة الشاشة والمنطقة الزمنية وإضافات المتصفح المثبتة، وقد وجد مشروع Cover Your Tracks التابع لـ EFF (خليفة Panopticlick) مرارًا أن الغالبية العظمى من المتصفحات المُختبرة تُنتج بصمة فريدة أو شبه فريدة بين كل من تم اختباره — وهو كافٍ لتتبع مستخدم عبر المواقع دون لمس ملف تعريف ارتباط واحد.

من المفارقات أن تقليص سلسلة User-Agent في Chrome، بدافع حماية الخصوصية — باستبدال نص User-Agent القديم الحر بـClient Hints المنظّمة — جعل بعض إشارات أخذ البصمة أنظف وأكثر اتساقًا في القراءة، لا أكثر تشوشًا. وتُضاعف تقنيات مستوى الشبكة أثر تقنيات مستوى المتصفح: يُقنّع CNAME cloaking طلب تتبع من جهة خارجية كطلب نطاق فرعي من جهة أولى، متخطيًا أدوات قوائم حظر المتتبعين التي لا تفحص سوى النطاق الظاهر.

المنطقة القانونية الرمادية، موضحة

تتطلب المادة 5(3) من توجيه ePrivacy الأوروبي الموافقة على "تخزين أو الوصول إلى معلومات مخزّنة مسبقًا" على جهاز المستخدم. صيغت هذه العبارة مع وضع ملفات تعريف الارتباط في الحسبان — فملف تعريف الارتباط يكتب معرّفًا في التخزين، وتلك الكتابة هي ما يتطلب الموافقة. لا تكتب بصمة المتصفح أي شيء؛ بل تقرأ إشارات يعرضها المتصفح أصلًا لأي صفحة تطلبها. لسنوات، خلق ذلك حجة حقيقية بأن أخذ البصمة يقع خارج النطاق الحرفي لقانون الموافقة على ملفات تعريف الارتباط.

أغلقت هيئة CNIL الفرنسية جزءًا من هذه الثغرة في إرشادات 2020، حيث نصّت صريحًا على أن أخذ البصمة يقع ضمن المادة 5(3) لأن "الوصول إلى المعلومات" يشمل قراءة الإشارات الموجودة، لا كتابة إشارات جديدة فقط — وبالتالي الموافقة مطلوبة بغض النظر. أصدرت هيئة ICO البريطانية إرشادات مماثلة. لكن النطاق القانوني المُعلن والتطبيق الفعلي أمران مختلفان: إثبات أن استدعاء واجهة Canvas أو Audio API محددًا استُخدم للتتبع، في مقابل الكشف المشروع عن الروبوتات أو منع الاحتيال، مشكلة جنائية تقنية ليست الجهات التنظيمية مجهزة جيدًا لحلها على نطاق واسع، وتبقى إجراءات التنفيذ التي تستهدف أخذ البصمة بالتحديد نادرة مقارنة بمخالفات بانر الموافقة على ملفات تعريف الارتباط.

توجد أيضًا ثغرة في التأطير قد تكون أكبر من المنطقة القانونية الرمادية: تُسوّق شركات مثل Fingerprint (المعروفة سابقًا بـFingerprintJS)، وSeon، وArkose Labs، وiovation التابعة لـTransUnion نفس جمع الإشارات باعتباره "منع احتيال" بدلًا من "تتبع". يقترب تأطير منع الاحتيال من أساس قانوني "المصلحة المشروعة" الذي لا يتطلب تدفق الموافقة نفسه الذي تتطلبه الإعلانات — حتى عندما يُعاد استخدام بصمة محسوبة أصلًا لتقييم الاحتيال لاحقًا في إسناد الإعلانات.

ما يعنيه هذا لبانرات الموافقة على ملفات تعريف الارتباط

النتيجة العملية هي أن بانرات الموافقة على ملفات تعريف الارتباط — وهي ما يربطه معظم المستخدمين الآن بـ"الامتثال للخصوصية" — لا تفعل شيئًا ضد التتبع القائم على أخذ البصمة. يمكن لموقع ما تشغيل بانر ملفات تعريف ارتباط متوافق تمامًا، ورفض جميع ملفات تعريف الارتباط غير الأساسية افتراضيًا، وما زال يأخذ بصمة كل زائر عبر إشارات Canvas والصوت التي لا يذكرها البانر أبدًا، لأن إطار البانر القانوني والتقني بالكامل خاص بملفات تعريف الارتباط فقط.

محاولة Google الخاصة للاستبدال — واجهات Privacy Sandbox (Topics API للاستهداف الإعلاني المبني على الاهتمامات، وProtected Audience لإعادة التسويق، وAttribution Reporting لقياس التحويل) — محاولة حقيقية لبديل لا يعتمد على أخذ البصمة، مبني حول حوسبة مُجمَّعة على الجهاز بدلًا من جمع الإشارات الخام. كان التبني بطيئًا ومثيرًا للجدل من شركات تقنية الإعلانات التي تحتج بأنه يفضّل أعمال Google الإعلانية الخاصة، وهو لا ينطبق إلا داخل Chrome على أي حال — فهو لا يفعل شيئًا لمستخدمي Safari أو Firefox، ولا يفعل شيئًا بشأن استخدامات أخذ البصمة غير الإعلانية مثل تقييم الاحتيال.

ما يجب فعله فعليًا حول هذا الأمر

إذا كنت تدير موقعًا إلكترونيًا: اعرف ما يجمعه فعليًا مزودو التحليلات ومنع الاحتيال وتقنية الإعلانات لديك. "لا نستخدم ملفات تعريف ارتباط للتتبع" ليس نفس الادعاء بـ"لا نأخذ بصمات"، وتتوقع الجهات التنظيمية بشكل متزايد أن تكون قادرًا على الإجابة عن كليهما. إذا لم تتناول وثائق أحد المزودين أخذ بصمة Canvas أو WebGL أو الصوت صراحةً، فاسألهم مباشرة — فإرشادات CNIL لعام 2020 تعني أن للإجابة وزنًا قانونيًا في الاتحاد الأوروبي بغض النظر عن ما يقوله بانر ملفات تعريف الارتباط لديك.

إذا كنت مطورًا تبني أدوات لمكافحة الاحتيال، فاكشف عن الإشارات القائمة على أخذ البصمة للمستخدمين صريحًا بدلًا من الاعتماد على بانر ملفات تعريف ارتباط عام لتغطية ذلك — فالفجوة بين تأطير "منع الاحتيال" وإعادة الاستخدام الفعلي لنفس الإشارة في التتبع الإعلاني هي بالضبط حيث يتجه التنفيذ القانوني لاحقًا.

إذا كنت مستخدمًا مهتمًا بالخصوصية، فإن إعدادات ملفات تعريف الارتباط وحدها لا تحميك. تقنية "farbling" من Brave (التي تُعشّي عشوائيًا نتائج واجهات برمجة التطبيقات المرتبطة بأخذ البصمة لكل موقع) وletterboxing وتعشية Canvas في Tor Browser هما الإجراءان المضادان الوحيدان المتاحان حاليًا بشكل ثابت، لأنه لا يوجد مفتاح موافقة لتقنية لا تتطلب إذنك من الأساس.