Cookies verwijderen betekent niet dat een website je niet meer kan herkennen. Browsers geven veel kenmerken van apparaat en browser prijs die samen een “digitale vingerafdruk” vormen. Daarmee kunnen websites bezoeken herkennen en soms accounts aan elkaar koppelen. Dit artikel legt de werking, risico’s en manieren om die risico’s te beperken uit.
Veel mensen denken dat websites hen niet meer kunnen herkennen als ze regelmatig Cookies verwijderen. Zo eenvoudig is het niet. Zodra je een webpagina opent, geeft je browser veel informatie over het apparaat en de software prijs. Een website kan die signalen combineren tot een vrij “unieke” identificatiecode, ook wel een browserfingerprint genoemd. Zelfs nadat je Cookies hebt verwijderd, kan een website je mogelijk nog herkennen zolang de fingerprintkenmerken grotendeels hetzelfde blijven. In dit artikel leggen we uit hoe browserfingerprinting werkt, welke praktische risico’s eraan verbonden zijn en hoe je die risico’s kunt verkleinen.
Welke informatie verzamelen websites eigenlijk?
Een website hoeft je niet actief om informatie te vragen om een browserfingerprint te maken. Het is voldoende om kenmerken uit te lezen die de browser bij elk bezoek vanzelf beschikbaar maakt. Veelvoorkomende bronnen zijn:
- User-Agent (UA): Elke HTTP-aanvraag bevat een tekenreeks met onder andere de browsernaam, versie en het besturingssysteem;
- HTTP-requestheaders: Naast de UA kunnen ook taalvoorkeuren (Accept-Language), compressiemethoden (Accept-Encoding) en andere gegevens worden meegestuurd;
- Scherm en kleur: De browser kan schermresolutie en kleurdiepte uitlezen;
- Lettertypenlijst: Verschillende besturingssystemen en browsers ondersteunen verschillende standaardlettertypen;
- Tijdzone: De tijdzone van het apparaat kan worden gedetecteerd;
- Plugins en extensies: Informatie kan aanwijzingen geven over geïnstalleerde plugins of versies van script-engines;
- Hardware-informatie: Sommige technieken kunnen het CPU-type, GPU-informatie en vergelijkbare signalen uitlezen;
- Canvas-fingerprinting: Een website laat de browser via een HTML5-canvas een afbeelding tekenen. Verschillende apparaten, videokaarten en drivers leveren kleine renderingsverschillen op; door die te meten kan een onderscheidend signaal ontstaan.
Los van elkaar is geen enkel kenmerk misschien bijzonder “uniek”. Maar wanneer tientallen kenmerken worden gecombineerd, kan het resulterende profiel zeer onderscheidend worden voor een bepaalde gebruiker. Dat verklaart ook waarom “Cookies verwijderen” vaak niet genoeg is: de fingerprint hangt samen met apparaat- en browserparameters, niet met de Cookie zelf.
Welke praktische gevolgen kan browserfingerprinting hebben?
Voor de meeste gewone gebruikers wordt browserfingerprinting vooral ingezet voor gerichte advertenties en fraudepreventie, waardoor de gevolgen niet altijd zichtbaar zijn. Maar als je actief bent in grensoverschrijdende e-commerce of internationale sociale media en meerdere accounts tegelijk beheert, wordt het risico veel concreter.
Registratie-, login- en risicocontrolesystemen gebruiken “overeenkomst tussen browserfingerprints” vaak als een van de signalen om te beoordelen of meerdere accounts van dezelfde persoon zijn of mogelijk aan elkaar gekoppeld zijn. Gebruik je dezelfde browser en vrijwel dezelfde parameters om veel accounts te registreren of daarop in te loggen, dan kunnen de fingerprints sterk op elkaar lijken en kunnen de accounts als gerelateerd worden beschouwd. Zodra zo’n verband wordt vastgesteld, kan het effect variëren van onderlinge invloed tussen accounts tot beperkingen voor een hele groep accounts, met aanzienlijke operationele schade als gevolg.
Voor beheerders van meerdere accounts is het doel daarom niet om “volledig onzichtbaar” te worden, maar om de fingerprints en runtime-omgevingen van verschillende accounts van elkaar te scheiden en tegelijkertijd stabiele, consistente instellingen te behouden. Zo verklein je de kans dat verbanden zichtbaar worden door te vergelijkbare of willekeurig veranderende parameters.
Hoe kun je het fingerprint-risico verkleinen?
De kern van het verminderen van fingerprintkoppeling is dat omgevingen “gescheiden en stabiel” blijven. Dat kun je in een paar stappen opdelen:
Ten eerste: beheer browserparameters als onderdeel van het account. Het besturingssysteem, de tijdzone, taal, resolutie en lettertypen verraden kenmerken van apparaat en regio. Deze parameters horen bij de zakelijke markt van het account te passen in plaats van willekeurig te worden ingesteld of vaak te veranderen. Ook hardwaregerelateerde renderingkenmerken zoals Canvas, WebGL en Audio moeten op een redelijke manier worden vastgezet of beheerd, zodat verschillende accounts niet exact dezelfde renderingssignalen prijsgeven.
Ten tweede: laat accounts draaien in onderling geïsoleerde, onafhankelijke omgevingen. In plaats van in dezelfde browser steeds van account te wisselen en de cache te wissen, kun je elk account in een eigen omgeving plaatsen met een afzonderlijke loginstatus, proxy en parameterset, zodat de omgevingen elkaar niet beïnvloeden.
Ten derde: gebruik een omgevingbeheertool om “parameters” en “omgevingen” centraal te beheren. Bij een klein aantal accounts is handmatige configuratie nog haalbaar. Zodra het aantal groeit en accounts ook over verschillende platforms en regio’s verdeeld zijn, wordt elk onderdeel handmatig instellen onpraktisch en foutgevoelig. Dan is centrale beheerfunctionaliteit nuttig.
PurpleMark is een platform voor browseromgevingbeheer dat rond dit soort behoeften is ontworpen. Bij het maken van een omgeving kun je het besturingssysteem, de Chromium-kernelversie, User-Agent, resolutie, taal, tijdzone en geografische locatie instellen. Ook diepere fingerprintdimensies zoals Canvas, WebGLImage, AudioContext en WebRTC kunnen worden beheerd, er kan een proxy aan de omgeving worden gekoppeld en login-Cookies kunnen worden geïmporteerd. Zo kunnen verschillende accounts volgens de zakelijke behoefte elk hun eigen parameters en runtime-omgeving gebruiken. Vergeleken met alles handmatig configureren, brengt PurpleMark deze verspreide instellingen samen in één werkruimte met ondersteuning voor groepering en hergebruik. Raadpleeg voor specifieke mogelijkheden de officiële PurpleMark-website of de daadwerkelijke interface voor het maken van omgevingen in de webversie.
Een paar zaken om vooraf goed over na te denken
Het verkleinen van fingerprint-risico betekent niet dat je “platformregels probeert te omzeilen”. Een omgevingbeheertool is bedoeld om rechtmatig beheerde accounts duidelijk en georganiseerd te beheren, niet om op grote schaal accounts te maken die regels overtreden of om risicocontroles van platforms te omzeilen. Houd er ook rekening mee dat “willekeuriger” niet automatisch beter is. Stabiele, consistente parameters die bij de zakelijke markt van elk account passen, zijn op de lange termijn meestal geschikter. En zelfs goede omgevingsisolatie betekent geen “100% veiligheid”, omdat platforms hun beslissingen baseren op een combinatie van veel signalen.
In één zin
Een browserfingerprint is in feite een soort “identiteitscode” die een website samenstelt uit tientallen kenmerken van je apparaat en browser. Ook na het verwijderen van Cookies kan die herkenning blijven bestaan. Voor beheerders van meerdere accounts is het risico dat te vergelijkbare fingerprints ertoe leiden dat verschillende accounts als gerelateerd worden gezien. De sleutel is niet “volledige onzichtbaarheid”, maar het scheiden en stabiel houden van accountparameters en omgevingen en het centraal beheren van omgevingen, fingerprintparameters en proxies met een tool zoals PurpleMark. Wil je vanaf nul een onafhankelijke omgeving configureren, dan kun je beginnen met de PurpleMark-webversie.
