User-Agent dondurulduktan sonra neden yeni parmak izi sinyali Client Hints oldu? UA’dan CH’ye geçiş

Son birkaç yılda büyük tarayıcılar gizlilik politikalarını art arda sıkılaştırdı: Safari ITP’yi, Firefox Total Cookie Protection’ı devreye aldı ve Chrome User-Agent dondurma (UA Reduction) sürecini resmen ilerletti. Pek çok kişi hâlâ “UA’yı değiştirmenin” cihazı farklı göstermeye yettiğini düşünüyor. Oysa UA ciddi biçimde sadeleştirildi ve giderek daha az ayrıntı içeriyor. Cihaz tanımlamada bu rolü devralan önemli sinyal ise Client Hints (CH).

Bu yazı “tespitten kaçınma” yöntemi öğretmez. Yalnızca teknik ilkelerden hareketle üç soruyu açıklar: UA neden donduruluyor? Client Hints tam olarak nedir ve neden yüksek entropili bir parmak izi sinyali sayılır? “Parmak izi tutarlılığı” neden asıl kritik noktadır? Bu yaklaşım, modern tarayıcı ortamı yönetiminde — özellikle çok hesaplı izolasyonda — parametrelerin neden ayrı ayrı alanlar olarak değil, tek bir uyumlu bütün olarak ele alınması gerektiğini anlamaya yardımcı olur.

1. UA dizesi neden artık yeterli değil?

Uzun süre User-Agent, web sitelerinin tarayıcıyı ve cihazı tanımasındaki başlıca bilgiydi. Tarayıcı markası ve sürümü, işletim sistemi ve cihaz mimarisi gibi ayrıntıları açığa çıkarabiliyordu. Ancak UA dizeleri uzun ve kararlı olduğundan kullanıcı fingerprinting’i için kullanılabiliyordu. Chrome bu nedenle UA’nın kademeli olarak azaltılacağını açıkça duyurdu: temel büyük sürüm bilgisi korunacak, daha ayrıntılı özellikler ise Client Hints adlı yeni mekanizmaya taşınacaktı.

UA dondurmanın doğrudan sonucu şudur: yalnızca UA’yı taklit etmek artık ikna edici değildir. Sistemler sadece UA’ya güvenmez; diğer alanların UA ile uyuşup uyuşmadığını da kontrol eder. En belirgin tutarsızlık sinyalleri çelişen parametrelerdir, örneğin:

• UA macOS 14 gösterirken platform sürümü alanı macOS 13 gösterir;
• UA mobil cihaz bildirirken mobil işaret hâlâ ?0 olur;
• Donanım mimarisi arm64 görünürken navigator.hardwareConcurrency gibi değerler daha çok x86 ile uyumlu görünür.

Cihaz tanımlama sistemlerinde bu tür çelişkiler, profilin gerçek bir cihaza ait olmadığını hızla düşündürebilir. Bu nedenle UA dondurma döneminde “sadece UA’yı değiştirmek” artık yeterli değildir.

2. Client Hints nedir ve neden yüksek entropili bir parmak izidir?

Client Hints (CH), tarayıcının HTTP istekleri veya JavaScript ortamı üzerinden sunucuya ihtiyaç halinde açıkladığı cihaz yeteneği bilgileridir. UA’dan iki temel noktada ayrılır:

1. Yüksek entropili alanlar (High Entropy Values) içerir. Yüksek entropi, bu bilgilerin birleşiminin oldukça ayırt edici ve tahmin edilmesi güç olabileceği anlamına gelir; örneğin kesin platform sürümü, tam marka ve sürüm listesi veya cihaz mimarisi. Gerçek tarayıcılar bunları her şeyi bir anda vermek yerine ihtiyaç halinde döndürür.

2. CH tek başına değerlendirilmez; diğer parmak izleriyle çapraz kontrol edilir. Gerçek cihaz tanımlama sistemleri genellikle CH ile UA’nın uyumlu olup olmadığını, CH ile TLS JA3/JA4 gibi taşıma katmanı parmak izlerinin aynı tarayıcı ailesine ait görünüp görünmediğini, CH’nin navigator.platform, eşzamanlılık ve device pixel ratio (DPR) gibi JavaScript özellikleriyle tutarlı olup olmadığını ve işletim sistemi platform özellikleriyle eşleşip eşleşmediğini birlikte inceler.

Buradan kritik bir kavram çıkar: zor olan tek bir alanı değiştirmek değil, bütün alanları aynı gerçek cihazdan geliyormuş gibi tutarlı hâle getirmektir. Neredeyse her alan tek başına değiştirilebilir. Asıl zorluk; marka, platform sürümü, UA, DPR, bellek, mimari, TLS parmak izi ve diğer sinyalleri tek bir mantıklı cihaz profili içinde birleştirmektir. Bu yüzden “bütün alanları doldurmuş” görünen birçok yapılandırma yine de bariz tutarsızlıklar sergileyebilir.

3. En yaygın parmak izi tutarsızlıkları nelerdir?

Tutarlılığın temel nokta olduğu anlaşıldığında birçok parametre yapılandırmasının neden sorun çıkardığı da kolayca görülür. Yaygın hatalar şunlardır:

• CH ile UA uyuşmaz (en sık görülen): UA macOS 14.1 bildirirken CH gerçekte var olmayan bir platform sürümü döndürür;
• Mobil UA ama mobil işaret ?0: gerçek bir mobil cihazda burada normalde ?1 olması beklenir;
• Tam sürüm listesinin yanlış türetilmesi: örneğin tarayıcı ana sürümü 120 iken tam sürüm özellikleri eski 115 sürümüne benzer;
• DPR, bellek ve benzeri değerler gerçek cihaz sınıfıyla çelişir: örneğin bir Apple cihazı olağan dışı düşük piksel oranı gösterir veya sıradan bir Windows makinesi sadece 1 GB bellek bildirir;
• Tarayıcıların kendi farkları göz ardı edilir: örneğin desteklemeyen bir tarayıcıya zorla bir alan eklenir veya belirli bir motorun gerçekte hiç döndürmeyeceği bir değer sağlanır.

Bu çelişkiler cihaz tanımlama sistemlerinde belirgindir. Temel neden, ortamın tek bir tutarlı bütün olarak ele alınmamasıdır.

4. Peki “doğru yapılandırma” gerçekten ne demektir?

Bunu “alan doldurmak” yerine tutarlı bir ortam profili sürdürmek olarak düşünmek daha doğrudur. Genellikle şu ilkeleri kapsar:

• CH’yi UA’ya bağlamak: marka, platform ve sürümden oluşan ilgili CH kümesini tarayıcı motoru ve sürümünün gerçek kurallarına göre türetmek, rastgele değerler birleştirmemek;
• Yüksek entropili alanların gerçek dönüş stratejisine uymak: varsayılan olarak düşük entropili bilgi sağlamak, yüksek entropili değerleri gerçek tarayıcı davranışına uygun biçimde ihtiyaç halinde döndürmek ve mevcut tarayıcının desteklemediği alanları vermemek;
• JS özellikleri, HTTP başlıkları ve sistem niteliklerini birbiriyle uyumlu tutmak: DPR ekran çözünürlüğüyle, bellek platform türüyle, mobil işaret UA ile, mimari ise tüm sistem profiliyle mantıklı biçimde örtüşmelidir;
• Taşıma katmanı parmak izleriyle birlikte hareket etmek: TLS/JA3/JA4 gibi özellikler de bildirilen tarayıcı sürümüyle eşleşmelidir.

Tek cümleyle: asıl zorluk CH, UA, JavaScript ortamı ve sistem özelliklerini tutarlı bir tarayıcı davranış profiline dönüştürmektir; mümkün olduğunca çok alan doldurmak değildir.

5. Bunun çok hesaplı ortam yönetimiyle ne ilgisi var?

Sınır ötesi e-ticaret, sosyal medya reklamcılığı veya bağımsız mağaza operasyonlarıyla ilgilenenler, bu teknik ilkelerin “farklı iş hesapları için ayrı tarayıcı ortamları oluşturmakla” ne ilgisi olduğunu sorabilir. Bağlantı açıktır: ortam yönetiminin ön koşulu, her ortamın kendi içinde tutarlı olmasıdır.

• Çok sayıda hesap ve bölge olduğunda her ortam için UA, işletim sistemi, çözünürlük ve diğer parametreleri elle bir araya getirmek yerine, aracın seçilen sistem ve motor sürümüne göre birbiriyle uyumlu parametreleri otomatik üretmesi daha pratiktir; bu, tek tek değişikliklerden doğan çelişkileri ve yeniden işi azaltır.
• Farklı bölge ve platformlardaki iş hesaplarının birbirinden bağımsız ve kendi içinde tutarlı ortamları olmalıdır. Tüm hesapların aynı “şablon parametrelerini” paylaşması, cihaz düzeyinde gereğinden fazla benzer görünmelerine yol açabilir.
• Proxy farklı bir bölgeye geçirildiğinde sistem sürümü, cihaz modeli ve diğer özelliklerin ortamın kendi içinde mantıklı ve sürekli kalması, “yalnızca IP’yi değiştirip diğer her şeyi aynen bırakmaktan” gerçek cihaz kullanımına daha çok benzer.

Çok hesaplı tarayıcı ortamı yönetim araçlarının çözmeye çalıştığı tutarlılık sorunu tam olarak budur. PurpleMark ortam oluştururken işletim sistemi, Chromium motor sürümü, User-Agent, çözünürlük, saat dilimi, dil, CPU/bellek, Canvas, WebGL, TLS ve diğer cihaz/fingerprint parametreleri için birleşik bir yapılandırma noktası sunar. Bölge ve hesap kullanım amacı seçildikten sonra ortam, her oturum açmada değerleri doğaçlama birleştirmek yerine tek bir uyumlu şemaya göre oluşturulabilir. Yönetilen şey belirli bir tespit mekanizmasını kandırmak değil; hesap, tarayıcı ortamı ve ağ yapılandırmasının tek çalışma alanındaki genel tutarlılığı ve yeniden kullanılabilirliğidir.

6. Özet

UA dondurma, tarayıcı fingerprinting’inde yeni bir dönemi işaret ediyor: önemli olan artık sadece hangi alanların bulunduğu değil, bu alanların birbiriyle tutarlı olup olmadığıdır. Client Hints yüksek entropili sinyaller açısından UA’nın rolünü devraldıkça CH, UA, sistem özellikleri ve taşıma parmak izleri arasındaki ilişkiyi anlamak, uzun bir alan adı listesi ezberlemekten daha önemlidir.

Yalnızca birkaç gerçek ve kurallara uygun iş hesabını yönetiyorsanız, enerjinizi tespit sistemleriyle mücadeleye ayırmanız gerekmez. Daha pratik olan, PurpleMark gibi bir ortam yönetim aracıyla her hesabın bölge, sistem ve tarayıcı parametrelerini açık, tutarlı ve yeniden kullanılabilir tutmak; böylece çelişkili ortam ayarlarının oluşturduğu sorunları kaynağında azaltmaktır.

(Not: Bu yazı yalnızca tarayıcı fingerprinting teknolojisinin teknik ilkelerini açıklamak amacıyla hazırlanmıştır. Her platformun hizmet şartlarına uyun ve meşru hesaplar kullanın.)