ردیابی اثر انگشت مرورگر، به‌آرامی جای کوکی‌ها را به‌عنوان روش پیش‌فرض ردیابی گرفته است
کوکی‌های شخص‌ثالث قرار بود سال‌ها پیش از بین بروند. سافاری اپل با Intelligent Tracking Prevention از سال ۲۰۱۹-۲۰۲۰ آن‌ها را به‌طور پیش‌فرض مسدود کرد، Enhanced Tracking Protection فایرفاکس همان سال دنبال کرد، و گوگل از سال ۲۰۲۰ تا ۲۰۲۴ وعده داده بود که آن‌ها را به‌طور کامل از کروم حذف کند — پیش از آن‌که در ژوئیه ۲۰۲۴ مسیرش را تغییر دهد و اعلام کند کوکی‌های شخص‌ثالث را نگه می‌دارد و به‌جای آن به کاربران یک پرامپت انتخاب پیشنهاد می‌دهد. هیچ‌یک از این‌ها ردیابی بین‌سایتی را متوقف نکرد. فقط ردیابی را به تکنیکی منتقل کرد که چارچوب‌های حقوقی ساخته‌شده حول کوکی هرگز برای شناسایی آن طراحی نشده بودند: اثر انگشت مرورگر (browser fingerprinting).
این همان تغییر آرامی است که ارزش فهمیدن دارد: در تقریباً نیمی از بازار مرورگرها — سافاری و فایرفاکس با هم — ردیابی بین‌سایتی مبتنی بر کوکی سال‌ها پیش مرده است، و ردیابی متوقف نشد، بلکه به خوانش سیگنال‌هایی که مرورگر از قبل در معرض نمایش قرار می‌دهد منتقل شد، نه نوشتن یک شناسه روی آن. چارچوب‌های رضایت که بر مبنای «کوکی به اجازه نیاز دارد» ساخته شده‌اند، به‌روشنی با تکنیکی که اصلاً چیزی را روی دستگاه ذخیره نمی‌کند، هم‌خوانی ندارند.
اثر انگشت واقعاً چه چیزی را می‌خواند
اثر انگشت Canvas یک گرافیک مخفی را با استفاده از Canvas API مرورگر رندر می‌کند و پیکسل‌های حاصل را می‌خواند؛ تفاوت‌های ریز در GPU، درایور و پشته رندر فونت، یک هش خروجی تقریباً منحصربه‌فرد میان دستگاه‌ها ایجاد می‌کند. اثر انگشت WebGL کاری مشابه با پرس‌وجوی رشته رندرکننده GPU و فهرست افزونه‌های پشتیبانی‌شده انجام می‌دهد. اثر انگشت AudioContext یک صدای غیرقابل‌شنیدن را از طریق Web Audio API پخش می‌کند و تفاوت‌های جزئی اعشاری در شکل موج خروجی ناشی از تفاوت‌های سخت‌افزار و سیستم‌عامل را اندازه می‌گیرد.
هیچ‌یک از این‌ها به ذخیره‌سازی چیزی نیاز ندارند. سیگنال‌های Canvas، WebGL و صدا را با فهرست فونت‌ها، رزولوشن صفحه، منطقه زمانی و افزونه‌های نصب‌شده مرورگر ترکیب کنید، و پروژه Cover Your Tracks سازمان EFF (جایگزین Panopticlick) بار‌ها نشان داده که اکثریت قریب‌به‌اتفاق مرورگرهای آزمایش‌شده، اثر انگشتی منحصربه‌فرد یا تقریباً منحصربه‌فرد در میان همه آزمایش‌شدگان دیگر تولید می‌کنند — به‌قدری که کاربر را در سراسر سایت‌ها، بدون هیچ تماسی با کوکی، ردیابی کند.
به‌طور متناقضی، کاهش User-Agent با انگیزه حفظ حریم خصوصی در خود کروم — جایگزینی رشته متنی آزاد قدیمی User-Agent با Client Hints ساختاریافته — باعث شد برخی سیگنال‌های اثر انگشت تمیزتر و یکدست‌تر برای خوانش شوند، نه آشفته‌تر. و تکنیک‌های سطح شبکه، تکنیک‌های سطح مرورگر را تقویت می‌کنند: CNAME cloaking یک درخواست ردیابی شخص‌ثالث را به‌شکل یک درخواست زیردامنه شخص‌اول درمی‌آورد، و از ابزارهای فهرست‌مسدودسازی ردیاب که فقط دامنه قابل‌مشاهده را بررسی می‌کنند، عبور می‌کند.
ناحیه خاکستری حقوقی، شرح داده شده
دستورالعمل حریم‌خصوصی الکترونیکی (ePrivacy Directive) اتحادیه اروپا، در بند ۵(۳)، برای «ذخیره‌سازی یا دستیابی به اطلاعاتی که از قبل روی دستگاه کاربر ذخیره شده» نیاز به رضایت دارد. این عبارت با در نظر گرفتن کوکی‌ها نوشته شده بود — یک کوکی یک شناسه را در حافظه می‌نویسد، و همان نوشتن است که به رضایت نیاز دارد. اثر انگشت چیزی نمی‌نویسد؛ فقط سیگنال‌هایی را می‌خواند که مرورگر از قبل به هر صفحه‌ای که بخواهد نشان می‌دهد. برای سال‌ها، این موضوع یک استدلال واقعی ایجاد کرد که اثر انگشت خارج از دامنه ادبی قانون رضایت کوکی قرار دارد.
سازمان CNIL فرانسه بخشی از این شکاف را در دستورالعمل سال ۲۰۲۰ خود بست، با این بیان صریح که اثر انگشت تحت بند ۵(۳) قرار می‌گیرد چون «دستیابی به اطلاعات» شامل خوانش سیگنال‌های موجود هم می‌شود، نه فقط نوشتن سیگنال‌های جدید — بنابراین رضایت در هر صورت لازم است. اداره ICO بریتانیا هم دستورالعمل مشابهی صادر کرده است. اما دامنه حقوقی اعلام‌شده و اجرای واقعی دو چیز متفاوت‌اند: اثبات این‌که یک فراخوانی خاص Canvas یا Audio API برای ردیابی استفاده شده، در برابر تشخیص ربات یا پیشگیری از تقلب مشروع، یک مسأله پزشکی‌قانونی فنی است که رگولاتورها برای حل آن در مقیاس بزرگ تجهیز خوبی ندارند، و اقدامات اجرایی که به‌طور خاص اثر انگشت را هدف قرار دهند، نسبت به نقض‌های بنر رضایت کوکی هنوز نادر هستند.
یک حفره چارچوب‌بندی هم وجود دارد که احتمالاً از ناحیه خاکستری حقوقی بزرگ‌تر است: شرکت‌هایی مثل Fingerprint (نام سابق FingerprintJS)، Seon، Arkose Labs و iovation متعلق به TransUnion، دقیقاً همین جمع‌آوری سیگنال را به‌عنوان «پیشگیری از تقلب» معرفی می‌کنند، نه «ردیابی». چارچوب‌بندی پیشگیری از تقلب به یک مبنای حقوقی «ذینفع مشروع» نزدیک‌تر است که به همان جریان رضایت تبلیغاتی نیاز ندارد — حتی وقتی اثر انگشتی که در ابتدا برای امتیازدهی تقلب محاسبه شده، بعداً برای انتساب تبلیغات دوباره استفاده می‌شود.
این موضوع برای بنرهای رضایت کوکی چه معنایی دارد
پیامد عملی این است که بنرهای رضایت کوکی — چیزی که اکثر کاربران اکنون آن را با «انطباق حریم خصوصی» مرتبط می‌دانند — هیچ کاری در برابر ردیابی مبتنی بر اثر انگشت انجام نمی‌دهند. یک سایت می‌تواند یک بنر کوکی کاملاً منطبق داشته باشد، به‌طور پیش‌فرض همه کوکی‌های غیرضروری را رد کند، و همچنان هر بازدیدکننده را از طریق سیگنال‌های Canvas و صدا که بنر هرگز به آن‌ها اشاره نمی‌کند، ردیابی کند، چون کل چارچوب حقوقی و فنی بنر مخصوص کوکی است.
تلاش خود گوگل برای جایگزینی — APIهای Privacy Sandbox (Topics API برای هدف‌گیری تبلیغات مبتنی بر علاقه، Protected Audience برای بازاریابی مجدد، و Attribution Reporting برای سنجش تبدیل) — تلاشی واقعی برای یک جایگزین غیر-اثرانگشتی است که حول محاسبات تجمیعی و درون‌دستگاهی به‌جای جمع‌آوری سیگنال خام ساخته شده. پذیرش آن کند بوده و شرکت‌های فناوری تبلیغاتی با این استدلال که به نفع کسب‌وکار تبلیغاتی خود گوگل است، با آن مخالفت کرده‌اند، و این راه‌حل در هر صورت فقط درون کروم کار می‌کند — برای کاربران سافاری یا فایرفاکس هیچ‌کاری نمی‌کند، و هیچ کاری هم درباره کاربردهای اثرانگشت غیرتبلیغاتی مثل امتیازدهی تقلب انجام نمی‌دهد.
واقعاً چه باید کرد
اگر یک وب‌سایت را مدیریت می‌کنید: بدانید که ابزارهای تحلیل، پیشگیری از تقلب و فناوری تبلیغاتی شما واقعاً چه چیزی را جمع‌آوری می‌کنند. «ما از کوکی‌های ردیابی استفاده نمی‌کنیم» ادعایی متفاوت از «ما اثر انگشت نمی‌گیریم» است، و رگولاتورها به‌طور فزاینده‌ای انتظار دارند بتوانید به هر دو پاسخ دهید. اگر مستندات یک فروشنده به‌طور صریح به اثر انگشت Canvas، WebGL یا صدا اشاره نمی‌کند، مستقیماً از آن‌ها بپرسید — دستورالعمل سال ۲۰۲۰ CNIL به این معناست که پاسخ، صرف‌نظر از آنچه بنر کوکی شما می‌گوید، در اتحادیه اروپا وزن حقوقی دارد.
اگر توسعه‌دهنده‌ای هستید که ابزار ضدتقلب می‌سازید، سیگنال‌های مبتنی بر اثر انگشت را صریحاً به کاربران افشا کنید، به‌جای تکیه بر یک بنر کوکی عمومی برای پوشش آن — فاصله میان چارچوب‌بندی «پیشگیری از تقلب» و استفاده مجدد واقعی آن سیگنال برای ردیابی تبلیغاتی، دقیقاً همان‌جایی است که اجرای قانون به‌سمت آن حرکت می‌کند.
اگر کاربری هستید که به حریم خصوصی اهمیت می‌دهد، تنظیمات کوکی به‌تنهایی از شما محافظت نمی‌کند. «farbling» شرکت Brave (تصادفی‌سازی خروجی‌های API مرتبط با اثر انگشت برای هر سایت) و letterboxing و تصادفی‌سازی Canvas در Tor Browser، تنها اقدامات متقابل پیوسته‌ای هستند که اکنون در دسترس‌اند، چون برای تکنیکی که از ابتدا نیازی به اجازه شما ندارد، هیچ کلید رضایتی وجود ندارد.