Что такое TLS-отпечаток (JA3/JA4)

TLS-отпечаток JA4 — способ свернуть приветствие клиента в строку. Спецификация FoxIO строит её по пакету TLS ClientHello. Строка описывает, как клиент начал защищённое соединение. Она не утверждает, что визит был автоматическим, и не заменяет разбор клика по рекламе.

Рядом живёт другое слово — отпечаток браузера. Его легко смешать с JA4, потому что оба говорят об узнаваемости. Заметка W3C Privacy Working Group от 25 сентября 2025 года определяет отпечаток браузера как способность сайта узнать или узнать снова пользователя, программу или устройство по настройкам и другим наблюдаемым чертам. JA4 у́же: это свёртка одного пакета рукопожатия, а не вся поверхность настроек. Ниже — что входит в строку, чего в ней нет и что текущая проверка Binetro с этим сигналом не делает.

Что заметка W3C называет отпечатком

Отпечатком браузера можно связать визиты внутри сессии и между сессиями. Связка возможна и между разными сайтами, когда политика cookie чужой origin не отдаёт идентификатор. В отличие от cookie, сбор часто идёт без явного признака. Типичный отпечаток нельзя очистить или сбросить. Очистка cookie и VPN дальнейшую связку по отпечатку не прекращают.

Заметка считает полное устранение отпечатка против заинтересованной стороны одними широко распространёнными техническими мерами неправдоподобным. Смягчения она не называет решением. Поверхность тянется на все возможности программы и на другие слои, например на различия TCP-соединений. Это руководство авторам спецификаций. Оно не детектор и не определение антидетект-браузера. Цифры уникальности из других статей страница не пересказывает. Их нельзя подставить сюда как долю «узнанных» клиентов.

Различия TCP в этом тексте — пример другого слоя, не описание JA4. Сетевое отличие и хеш ClientHello — соседние наблюдаемые черты, но спецификация JA4 говорит только о приветствии TLS. Путать их значит приписать строке JA4 то, что заметка относит ко всей поверхности программы.

Для рекламы граница та же. Узнаваемость программы не равна ответу, был ли клик скликиванием, чем кликфрод отличается от скликивания и кто вообще кликает объявления. Отпечаток связывает визиты. Он не квалифицирует расход и не говорит, спишут ли недействительные клики или вернёт ли Яндекс деньги.

Что JA4 берёт из ClientHello

Спецификация FoxIO JA4 строит отпечаток клиента по пакету TLS ClientHello. В строку входят:

• вид транспорта — TLS поверх TCP, QUIC или DTLS;

• версия TLS;

• признак наличия SNI;

• число шифров;

• число расширений;

• признак ALPN;

• хеши списков шифров и расширений.

Значения GREASE спецификация велит не учитывать. Соседние методы того же комплекта считаются отдельно. JA4S — ответ сервера. JA4H — клиент HTTP. Это другие свёртки, не поля одной строки JA4.

Спецификация описывает способ свернуть приветствие в строку. Она не утверждает, что конкретная строка доказывает автоматический визит. Одинаковая строка у двух соединений значит, что их ClientHello свернули одинаково по этим полям. Она не значит, что оба визита сделала одна и та же программа, и не значит, что программа действовала без человека. Разные строки тоже не доказывают «живого» посетителя: клиенты отличаются версией, транспортом и набором расширений и без всякой автоматизации.

Порядок байтов, длины хешей и примеры готовых строк в это объяснение не копируются. Для смысла запроса «tls отпечаток ja3» достаточно состава: транспорт, версия, SNI, числа шифров и расширений, ALPN и хеши списков. Имя JA3 в заголовке темы указывает на ту же идею свёртки приветствия. Факты этой статьи описывают JA4 и соседние JA4S и JA4H, а не побайтовый формат более ранней строки.

Чего проверка Binetro этим сигналом не делает

Текущая проверка не использует отпечаток TLS и отпечаток HTTP/2. Это граница продукта, а не свойство JA4. Спецификация по-прежнему умеет свернуть ClientHello. Проверка Binetro этот сигнал в текущем виде не берёт.

Рядом в той же границе названы другие пробелы. Повтор чужого описания визита распознаётся не с первой копии. Часть автоматических браузеров может быть пропущена. Это известные пробелы, а не обещание полной защиты. Имена инструментов, пороги повтора и способ обхода документация в этот текст не переносит.

Отсюда не следует, что TLS-отпечаток «не работает» как метод описания клиента. Следует другое: наличие метода в спецификации FoxIO и использование метода в конкретной проверке — разные факты. Первый описывает поля ClientHello. Второй в текущей проверке Binetro отсутствует. Ожидать, что кабинет уже отделил визиты по JA4, этот текст не позволяет.

Одного совпадения строки было бы мало и по смыслу самой спецификации. Она не выдаёт вердикт о боте. Даже если проверка когда-нибудь начнёт читать отпечаток TLS, из сегодняшнего описания JA4 не вытекает правило «эта строка — автоматический клик». Такое правило спецификация не содержит.

Как читать строку, если она попалась в отчёте

Строка JA4 отвечает на узкий вопрос: как выглядело приветствие клиента по перечисленным полям. Полезно держать рядом три отрицания, которые источники говорят прямо.

Строка не доказывает автоматический визит. Это сказано спецификацией: она сворачивает приветствие и не утверждает, что конкретное значение — признак бота.

Строка не равна отпечатку браузера из заметки W3C. Тот отпечаток собирает настройки и наблюдаемые черты шире одного пакета, живёт между сессиями и не снимается очисткой cookie или VPN. JA4 не обещает этой связки и не описывает шрифты, окно или датчики.

Строка не входит в текущую проверку Binetro. Отпечаток TLS и отпечаток HTTP/2 там не используются. Пропуск части автоматических браузеров назван известным пробелом. Это не обещание, что каждый такой браузер будет пойман другим способом, и не инструкция, как его спрятать.

Если в разговоре с площадкой или подрядчиком всплывает «JA3» или «JA4», имеет смысл спросить, какую строку сняли и какое решение из неё вывели. Состав полей можно сверить со спецификацией. Вывод «значит, это бот» спецификация не поддерживает. Вывод «Binetro уже фильтрует по TLS» текущая граница продукта тоже не поддерживает.