Cookies silmek, bir sitenin sizi artık tanıyamayacağı anlamına gelmez. Tarayıcılar cihaz ve yazılımla ilgili birçok özelliği açığa çıkarır; bunlar birleştirilerek “dijital parmak izi” oluşturulabilir. Böylece siteler ziyaretleri tanıyabilir, hatta hesapları ilişkilendirebilir. Bu yazı çalışma mantığını, riskleri ve azaltma yollarını açıklar.
Birçok kişi Cookies düzenli olarak silindiğinde web sitelerinin artık kendisini tanıyamayacağını düşünür. Ancak durum bu kadar basit değildir. Bir web sayfasını açtığınız anda tarayıcınız cihaz ve yazılım hakkında çok sayıda bilgiyi açığa çıkarır. Bir site bu sinyalleri birleştirerek oldukça “benzersiz” bir kimlik oluşturabilir; buna tarayıcı parmak izi denir. Cookies silinse bile parmak izi özellikleri büyük ölçüde değişmeden kalıyorsa site sizi yeniden tanıyabilir. Bu yazıda tarayıcı fingerprinting’in nasıl çalıştığını, oluşturduğu gerçek riskleri ve bu riskleri azaltmanın yollarını açıklıyoruz.
Web siteleri gerçekte hangi bilgileri topluyor?
Bir web sitesinin tarayıcı parmak izi oluşturmak için sizden aktif olarak bilgi istemesi gerekmez. Tarayıcının her ziyarette doğal olarak sunduğu bazı özellikleri okuması yeterlidir. Yaygın kaynaklar şunlardır:
- User-Agent (UA): Her HTTP isteği tarayıcı adı, sürümü, işletim sistemi ve başka bilgileri içeren bir dize taşır;
- HTTP istek başlıkları: UA dışında dil tercihleri (Accept-Language), sıkıştırma yöntemleri (Accept-Encoding) ve başka veriler bulunabilir;
- Ekran ve renk: Tarayıcı ekran çözünürlüğünü ve renk derinliğini okuyabilir;
- Yazı tipi listesi: Farklı işletim sistemleri ve tarayıcılar farklı varsayılan yazı tiplerini destekler;
- Saat dilimi: Cihazın saat dilimi tespit edilebilir;
- Eklentiler ve uzantılar: Bilgiler yüklü eklentileri veya betik motorlarının sürümlerini gösterebilir;
- Donanım bilgileri: Bazı yöntemler CPU türü, GPU bilgileri ve benzer sinyalleri okuyabilir;
- Canvas parmak izi: Site, tarayıcıdan HTML5 canvas ile bir görsel çizmesini ister. Farklı cihazlar, ekran kartları ve sürücüler küçük render farkları üretir; bu farkların ölçülmesi ayırt edici bir sinyal oluşturabilir.
Tek tek bakıldığında bu özelliklerin hiçbiri çok “benzersiz” olmayabilir. Ancak onlarca özellik bir araya getirildiğinde ortaya çıkan profil belirli bir kullanıcı için son derece ayırt edici olabilir. “Cookies silmek” işleminin neden çoğu zaman yeterli olmadığı da buradan anlaşılır: parmak izi Cookie’ye değil, cihaz ve tarayıcı parametrelerine bağlıdır.
Tarayıcı parmak izi pratikte ne gibi etkiler yaratabilir?
Çoğu sıradan kullanıcı için tarayıcı parmak izi ağırlıklı olarak hedefli reklam ve dolandırıcılığı önleme amacıyla kullanılır; bu nedenle etkisi çok belirgin olmayabilir. Ancak sınır ötesi e-ticaret yapıyor veya uluslararası sosyal medya hesapları yönetiyor ve aynı anda birden fazla hesapla çalışıyorsanız risk çok daha somut hale gelir.
Kayıt, giriş ve risk kontrol sistemleri, birden fazla hesabın aynı kişiye ait olup olmadığını veya ilişkili olup olmadığını değerlendirmek için “tarayıcı parmak izi benzerliğini” sık sık sinyallerden biri olarak kullanır. Aynı tarayıcıyı ve çok benzer parametreleri kullanarak çok sayıda hesaba kayıt olur veya giriş yaparsanız, parmak izleri birbirine çok benzeyebilir ve hesaplar ilişkili olarak değerlendirilebilir. Bir bağlantı tespit edildiğinde sonuçlar hesapların birbirini etkilemesinden tüm hesap grubunun kısıtlanmasına kadar uzanabilir ve ciddi operasyonel kayıplara yol açabilir.
Bu nedenle çoklu hesap yönetenler için asıl amaç “tamamen görünmez olmak” değil, farklı hesapların parmak izlerini ve çalışma ortamlarını birbirinden ayırırken ayarları kararlı ve tutarlı tutmaktır. Bu yaklaşım, çok benzer ya da rastgele değişen parametreler nedeniyle bağlantıların açığa çıkma riskini azaltır.
Parmak izi riski nasıl azaltılabilir?
Parmak izi ilişkilendirme riskini azaltmanın temel fikri ortamları “ayrı ve kararlı” tutmaktır. Bunu birkaç adıma ayırabiliriz:
Birincisi, tarayıcı parametrelerini hesabın bir parçası olarak yönetin. İşletim sistemi, saat dilimi, dil, çözünürlük ve yazı tipleri cihaz ve bölge özelliklerini ortaya çıkarır. Bu parametreler rastgele belirlenmek veya sık sık değiştirilmek yerine hesabın faaliyet gösterdiği pazarla uyumlu olmalıdır. Canvas, WebGL ve Audio gibi donanım düzeyindeki render özellikleri de farklı hesapların aynı render sinyallerini açığa çıkarmaması için makul biçimde sabitlenmeli veya yönetilmelidir.
İkincisi, hesapları birbirinden izole bağımsız ortamlarda çalıştırın. Aynı tarayıcıda hesaplar arasında sürekli geçiş yapmak ve önbelleği temizlemek yerine her hesabı ayrı bir ortama yerleştirin; giriş durumu, proxy ve parametre seti birbirinden bağımsız olsun ve ortamlar birbirini etkilemesin.
Üçüncüsü, “parametreleri” ve “ortamları” tek yerde yönetmek için bir ortam yönetim aracı kullanın. Hesap sayısı az olduğunda manuel ayarlama hâlâ mümkündür. Ancak hesap sayısı arttığında ve platform ile bölge bazında ayrım yapılması gerektiğinde her öğeyi tek tek elle yapılandırmak pratik olmaktan çıkar ve hata riskini yükseltir. Bu noktada merkezi yönetim önem kazanır.
PurpleMark bu tür ihtiyaçlar etrafında tasarlanmış bir tarayıcı ortam yönetim platformudur. Ortam oluştururken işletim sistemi, Chromium çekirdek sürümü, User-Agent, çözünürlük, dil, saat dilimi ve coğrafi konum ayarlanabilir. Ayrıca Canvas, WebGLImage, AudioContext ve WebRTC gibi daha alt düzey fingerprint boyutları yönetilebilir, ortama proxy bağlanabilir ve giriş Cookies içe aktarılabilir. Böylece farklı hesaplar iş ihtiyaçlarına göre ayrı parametre ve çalışma ortamları kullanabilir. Her şeyi tek tek elle ayarlamak yerine PurpleMark bu dağınık ayarları tek bir çalışma alanında toplar, gruplama ve yeniden kullanım desteği sağlar. Belirli özellikler için PurpleMark resmi sitesine veya web sürümündeki gerçek ortam oluşturma arayüzüne bakın.
Önceden netleştirilmesi gereken birkaç konu
Parmak izi riskini azaltmak, “platform kurallarını aşmak için açık aramak” anlamına gelmez. Ortam yönetim aracının amacı meşru şekilde işletilen hesapları açık ve düzenli biçimde yönetmeye yardımcı olmaktır; kuralları ihlal eden hesapları toplu olarak üretmek veya platform risk kontrollerini aşmak değildir. Ayrıca parametrelerin daha “rastgele” olması mutlaka daha iyi demek değildir. Uzun vadede her hesabın iş pazarına uygun, kararlı ve tutarlı ayarlar genellikle daha sağlıklıdır. İyi bir ortam izolasyonu bile “%100 güvenlik” sağlamaz; çünkü platformlar kararlarını birçok sinyali birlikte değerlendirerek verir.
Tek cümlede özet
Tarayıcı parmak izi, bir sitenin cihaz ve tarayıcıya ait onlarca özelliği birleştirerek oluşturduğu bir tür “kimlik kodudur”. Cookies silinse bile sizi tanımaya devam edebilir. Çoklu hesap yönetenler açısından risk, benzer parmak izlerinin farklı hesapların ilişkili kabul edilmesine yol açmasıdır. Çözüm “tam görünmezlik” peşinde koşmak değil; hesap parametrelerini ve ortamlarını birbirinden ayırmak, kararlı tutmak ve PurpleMark gibi bir araçla ortamları, fingerprint parametrelerini ve proxy’leri merkezi olarak yönetmektir. Sıfırdan bağımsız bir ortam kurmak istiyorsanız PurpleMark web sürümü ile başlayabilirsiniz.
