O que é impressão digital Canvas? Como funciona, detecção e proteção

Cada clique que você dá ao navegar, cada movimento do mouse, o modelo do seu dispositivo e a versão do sistema operacional podem ser combinados por um site em um identificador único — isso é uma impressão digital do navegador. Entre as diversas técnicas de fingerprinting, a impressão digital Canvas é uma das mais comuns e estáveis. Ela é invisível para o usuário, mas há muito tempo é utilizada por sites para identificar visitantes.

O que é Canvas?

Canvas é um elemento de desenho fornecido pelo HTML5, equivalente a uma tela em branco dentro de uma página web. Desenvolvedores podem usar JavaScript para desenhar gráficos, textos e imagens nessa área e criar gráficos de dados, jogos, processamento de imagens e muitos outros efeitos visuais. O Canvas está por trás de grande parte dos efeitos interativos encontrados em sites modernos.

Como uma impressão digital Canvas é gerada?

Mesmo quando dispositivos diferentes recebem a instrução de “desenhar o mesmo gráfico”, o resultado não é exatamente igual. Isso acontece porque o processo de renderização depende de hardware e software:

• Placa de vídeo e drivers: A renderização gráfica é feita pela GPU, e placas e drivers diferentes tratam antisserrilhamento, gradientes e cores de maneiras ligeiramente diferentes;
• Sistema operacional: Windows, macOS e Linux apresentam diferenças na renderização de fontes e na implementação das interfaces gráficas;
• Navegador e mecanismo: Diferentes navegadores implementam a Canvas API de maneiras diferentes;
• Tela e configurações de cor: Gama de cores, valor de gamma e outros ajustes também podem afetar o resultado final.

O procedimento típico de um site é fazer com que o navegador do visitante, por meio de um script, desenhe o mesmo conteúdo em um Canvas, geralmente uma combinação de formas e texto. Depois, o conteúdo é convertido em dados de imagem e um hash é calculado. Como o resultado da renderização varia de acordo com o dispositivo, esse hash se torna uma “impressão digital do dispositivo” relativamente estável.

Para entender como essas diferenças podem ser sutis: o mesmo gráfico em dois dispositivos pode diferir apenas em alguns pixels nas bordas com antisserrilhamento, mas os hashes calculados podem ser completamente diferentes, o suficiente para distinguir um dispositivo do outro.

Para que a impressão digital Canvas pode ser usada?

• Identificação e rastreamento: Um site pode lembrar do seu dispositivo pela impressão digital Canvas mesmo sem login, associando sua atividade entre páginas e até entre sites;
• Prevenção de fraude e controle de risco: Plataformas de comércio eletrônico, pagamentos e redes sociais podem usar a impressão digital Canvas como um dos sinais de risco para ajudar a identificar comportamentos incomuns, como registros em massa ou compartilhamento de contas;
• Segmentação de anúncios: Algumas redes de publicidade a utilizam para criar perfis de comportamento entre sites.

É importante destacar que uma impressão digital Canvas normalmente não consegue determinar sozinha “quem você é”. Ela costuma ser apenas um dos vários sinais. Quando combinada com endereço IP, User-Agent, fuso horário, fontes instaladas e outras informações, sua capacidade de identificação aumenta de forma significativa.

Diferenças entre impressões digitais Canvas, WebGL e de fontes

As três fazem parte da categoria de impressões digitais baseadas em diferenças de renderização do dispositivo, mas têm origens distintas:

• Impressão digital Canvas: Deriva das diferenças no resultado da renderização 2D do Canvas;
• Impressão digital WebGL: Deriva da renderização de gráficos 3D. Sites podem ler parâmetros de renderização da placa de vídeo, como o fornecedor WebGL e a string do renderizador, para reconhecer o dispositivo;
• Impressão digital de fontes: Detecta a lista de fontes instaladas no sistema para inferir o sistema operacional e o dispositivo.

Esses sinais são frequentemente combinados para formar as “características do ambiente do dispositivo” usadas em sistemas de controle de risco de sites.

Como verificar sua própria impressão digital Canvas?

Você pode usar sites públicos de teste de fingerprint, como BrowserScan ou PixelScan. Pesquisar por “teste de impressão digital do navegador” também ajuda a encontrar ferramentas semelhantes. Esses sites normalmente exibem informações sobre Canvas, WebGL, fontes, fuso horário e outras impressões digitais. Se o resultado indicar que existe uma impressão digital Canvas ou mostrar um hash estável, isso significa que seu dispositivo pode ser marcado dessa forma. Lembre-se de que resultados de sites de teste de terceiros servem apenas como referência e não representam uma decisão oficial de nenhuma plataforma.

Como usuários comuns podem se proteger?

Eliminar completamente a impressão digital Canvas é difícil porque o Canvas é um recurso normal do navegador. Porém, é possível reduzir o nível de rastreamento:

• Usar um navegador com foco em privacidade ou ativar o modo de privacidade/proteção rigorosa contra rastreamento;
• Instalar extensões contra fingerprinting que bloqueiem a leitura do Canvas ou injetem ruído;
• Limpar cookies e dados de sites regularmente para reduzir associações de longo prazo entre a impressão digital e a atividade das contas;
• Manter o sistema e o navegador atualizados, pois versões mais recentes incluem mais limitações integradas contra rastreamento por fingerprint.

O que fazer ao gerenciar vários ambientes de negócios?

Em operações internacionais e gerenciamento de várias contas, a questão tem outro enfoque. A equipe não quer “se esconder”, mas permitir que cada conta comercial opere em um ambiente estável e controlável, evitando falsos positivos causados por interferência entre características de dispositivos.

PurpleMark permite configurar parâmetros de impressão digital como Canvas, WebGL e fontes ao criar um ambiente de navegador, para que ambientes diferentes apresentem características distintas de dispositivo e mantenham os parâmetros consistentes dentro de cada ambiente. Assim, cada loja ou conta pode manter um “perfil de dispositivo” estável durante a operação de longo prazo, em vez de mudar a cada abertura. É importante reforçar que parâmetros de fingerprint fazem parte da configuração do ambiente. A conformidade real do negócio ainda depende do cumprimento das políticas das plataformas utilizadas — ferramentas de gerenciamento de ambiente não podem e não devem ser usadas para se passar por outra identidade ou contornar regras de uma plataforma.

Perguntas frequentes

Uma impressão digital Canvas consegue identificar uma pessoa de forma única? Raramente sozinha. Em geral, ela é apenas um dos sinais combinados, e sua capacidade de identificação aumenta quando usada junto com endereço IP, informações do sistema e dados de comportamento.

Desativar JavaScript impede a impressão digital Canvas? Isso pode bloquear a coleta pela maioria dos sites, mas também faz com que muitos sites deixem de funcionar corretamente. Navegadores focados em privacidade e extensões contra fingerprinting costumam ser uma opção mais equilibrada.

A impressão digital Canvas é um vírus? Não. É um comportamento normal de scripts de sites e não um programa malicioso, embora envolva rastreamento de privacidade, motivo pelo qual gera controvérsia.

Um resultado anormal em um site de teste de fingerprint significa que há algo errado com meu dispositivo? Não necessariamente. Diferentes ferramentas usam algoritmos e bases de referência diferentes, portanto os resultados servem apenas como orientação. O que realmente importa é o status da sua conta na plataforma que você utiliza.