Что такое отпечаток браузера (fingerprint)

Заметка W3C Privacy Working Group от 25 сентября 2025 года определяет отпечаток браузера как способность сайта узнать или узнать снова пользователя, программу или устройство по настройкам и другим наблюдаемым чертам. Им можно связать визиты внутри сессии и между сессиями, в том числе между разными сайтами, когда политика cookie чужой origin не отдаёт. Чем бот отличается от человека на сайте, разобрано в статье «Чем бот отличается от человека на сайте». Здесь — из чего заметка собирает отпечаток и чего она им не считает.

Чем отпечаток не является cookie

В отличие от cookie, сбор часто идёт без явного признака, а типичный отпечаток нельзя очистить или сбросить. Очистка cookie и VPN дальнейшую связку по отпечатку не прекращают. Заметка считает полное устранение отпечатка против заинтересованной стороны одними широко распространёнными техническими мерами неправдоподобным: смягчения — не решение. Поверхность тянется на все возможности программы и на другие слои, например на различия TCP-соединений.

Это руководство авторам спецификаций, не детектор и не определение антидетект-браузера. Цифры уникальности из других статей заметка на этой странице не пересказывает. «Вас узнают с вероятностью X» отсюда не берётся.

Пассивный и активный съём

Та же заметка делит съём на пассивный и активный. Пассивный читает то, что и так лежит в запросе, без кода у клиента: cookie, набор заголовков HTTP, адрес и прочие сетевые данные. В пример пассивного канала поставлен User-Agent: он обычно называет браузер, движок, версию и операционную систему.

Активный запускает на клиенте JavaScript или другой код. Заметка пишет, что приёмы на CSS уже догоняют JavaScript. В примеры активного съёма входят размер окна, перечисление шрифтов и подключённых устройств, замер производительности, датчики и отрисованные узоры. Активный съём в принципе заметен на клиенте. Черты чаще уезжают на сервер пачкой, и сервер складывает их уже незаметно для страницы.

Перечень — иллюстрация классов, не список полей, по которым принимают решение о визите. Увидеть размер окна в примере не значит, что визит режут по ширине экрана.

Строка User-Agent

Заголовок HTTP User-Agent — строка, по которой сервер узнаёт приложение, операционную систему, поставщика и версию клиента. MDN пишет, что исторически строка слишком хорошо выделяла конкретный браузер, поэтому браузеры отдают урезанный набор: версия платформы и модель устройства фиксируются, а младшие номера версии Chrome показываются нулями. Подробности сервер может запросить отдельно, через client hints. Примеры строк конкретных браузеров в факт не копируются: это иллюстрации формата, не признак бота.

RFC 9110 (июнь 2022) описывает заголовок как сведения о программе, которая отправила запрос. Серверы используют его, чтобы сузить отчёты о несовместимости, обойти ограничения конкретной программы и смотреть статистику браузеров и систем. Клиенту следует слать заголовок в каждом запросе, если его специально не отключили. Значение — один или несколько идентификаторов продукта с необязательной версией. Клиенту не следует класть в заголовок без нужды мелкие подробности и чужие субпродукты: слишком подробная строка растит задержку и риск, что пользователя узнают против его воли.

В разделе о безопасности RFC пишет, что по строке теоретически проще целиться в известную дыру, а на практике перебор дыр идёт независимо от заявленной версии. Примеры строк в RFC — иллюстрация грамматики, не признак бота.

Биометрия в законе — не черта браузера

Статья 11 называет биометрическими сведения, которые характеризуют физиологические и биологические особенности человека, по которым можно установить его личность, и которые оператор использует именно чтобы установить личность. Такую обработку ведут с письменного согласия, кроме случаев части 2: реадмиссия, правосудие, обязательная дактилоскопическая и геномная регистрация и перечисленные в части отрасли законодательства. Предоставление биометрии нельзя сделать обязательным вне этих случаев, и отказ в обслуживании из-за отказа дать биометрию или согласие не допускается, если закон не требует согласия.

Технические черты браузера, адрес и строка клиента в статье не названы. Молчание статьи не равно выводу, что технические черты никогда не бывают персональными данными: определение персональных данных шире. Редакция шапки КонсультантПлюс — от 26 июля 2026 года. Часть 2 приведена с учётом закона от 23 мая 2025 года № 121-ФЗ.