वेबसाइटें आपके बारे में क्या जानती हैं
एक सिग्नल वह कुछ भी है जो कोई वेबसाइट किसी आगंतुक के बारे में बिना अनुमति माँगे पढ़ सकती है: एक मान जो आपका ब्राउज़र सामान्य ब्राउज़िंग के हिस्से के रूप में सौंपता है, आपके कनेक्शन का कोई गुण, या कोई प्राथमिकता जो आपने बहुत पहले सेट की और भूल गए। कोई एकल सिग्नल आपका नाम नहीं बताता, लेकिन साथ मिलकर वे एक ऐसा चित्र बनाते हैं जो आपको पहचानने, मोटे तौर पर आपका पता लगाने, और यह अनुमान लगाने के लिए पर्याप्त विस्तृत है कि आप कैसे ब्राउज़ करना पसंद करते हैं। ब्राउज़र फ़िंगरप्रिंट टेस्ट उस चित्र को एक पैराग्राफ़ के रूप में लिखता है, ताकि आप किसी विज़िट के पहले सेकंड में खुद को वैसे पढ़ सकें जैसे कोई साइट आपको देखती है। यह लेख उस पैराग्राफ़ की हर परत — कनेक्शन, डिवाइस, ब्राउज़र और शांत प्राथमिकताएँ — से गुज़रता है और उस पर समाप्त होता है जो कोई साइट अभी भी नहीं देख सकती। यह VPN लीक और भेस जाँच के साथ जुड़ता है, जो पूछता है कि क्या वह चित्र उस कहानी से मेल खाता है जो आपका VPN बताने की कोशिश कर रहा है।
पैराग्राफ़ सबसे पहले आता है
कोई भी आधुनिक वेबसाइट खोलिए, और इससे पहले कि आपने क्लिक किया हो, स्क्रॉल किया हो या एक अक्षर टाइप किया हो, पेज ने पहले ही आपके बारे में एक व्यावहारिक चित्र जोड़ लिया है। वह मोटे तौर पर जानता है कि आप दुनिया में कहाँ प्रतीत होते हैं, आप संभवतः कौन सी भाषा पढ़ते हैं, आप किस वर्ग का डिवाइस पकड़े हैं, आपकी स्क्रीन कितनी बड़ी है, और आपका सेटअप सामान्य लगता है या असामान्य। इनमें से किसी के लिए भी अनुमति पॉपअप, लॉगिन या कुकी बैनर की ज़रूरत नहीं पड़ी। यह हर ब्राउज़र द्वारा पेज लाने और रेंडर करने के लिए की जाने वाली सामान्य बातचीत से आया: स्वयं कनेक्शन, हर अनुरोध के साथ जाने वाले हेडर, और वे JavaScript API जो इसलिए मौजूद हैं ताकि पेज आपके डिवाइस के अनुसार ढल सकें।
फ़िंगरप्रिंट टेस्ट के शीर्ष पर मौजूद पैराग्राफ़ इस जोड़ को दृश्यमान बनाने के लिए है। कच्चे तकनीकी मानों की तालिका दिखाने के बजाय, यह एक ऐसा वाक्य लिखता है जिसे आप किसी व्यक्ति के वर्णन के रूप में पहचानेंगे: कोई व्यक्ति किसी विशेष शहर में, किसी विशेष नेटवर्क पर, किसी विशेष प्रकार की मशीन पर कोई विशेष ब्राउज़र इस्तेमाल करते हुए, किसी विशेष भाषा और रूप को पसंद करता हुआ। उस वाक्य में भरा हर मान पेज के नीचे उसके सिग्नलों तक खोजा जा सकता है, ताकि आप न केवल यह जाँच सकें कि निष्कर्ष क्या है बल्कि यह भी कि वह कैसे प्राप्त हुआ। जब कोई मान गायब होता है, पैराग्राफ़ ईमानदारी से ऐसा कहता है — और वह अनुपस्थिति, जैसा कि अंतिम खंड समझाता है, स्वयं जानकारी है।
अगर कोई एकल मान गुप्त नहीं है तो यह क्यों मायने रखता है? क्योंकि संयोजन ही मुद्दा है। अकेला स्क्रीन आकार लाखों लोगों का वर्णन करता है। स्क्रीन आकार के साथ GPU मॉडल, समय क्षेत्र, भाषाओं का क्रम, समर्थित कोडेक की सूची और नेटवर्क प्रकार भीड़ को नाटकीय रूप से सँकरा कर देते हैं। साइटें इस संयोजन का उपयोग वैध काम के लिए करती हैं — धोखाधड़ी जाँच, दुरुपयोग रोकथाम, यह पहचानना कि कोई लॉगिन परिचित लगता है — और विज्ञापनदाता इसका उपयोग लौटने वाले आगंतुकों को पहचानने के लिए करते हैं, तब भी जब कुकीज़ साफ़ कर दी गई हों। आप किसी भी उपयोग का न्याय तब तक नहीं कर सकते जब तक आप अपना संयोजन न देख सकें, और टेस्ट इसी के लिए है।
आपका कनेक्शन क्या कहता है
पहली परत आपका कनेक्शन है, और इसका शीर्षक आपका IP पता है। आप जिस भी सर्वर से संपर्क करते हैं वह इसे देखता है, क्योंकि उसे जवाब कहीं भेजना होता है। केवल उस एक पते से कोई साइट काफ़ी कुछ खोज सकती है: व्यावसायिक डेटाबेस से एक अनुमानित जियोलोकेशन, उस ब्लॉक के मालिक स्वायत्त प्रणाली नंबर (ASN) और संगठन, और यह कि वह पता घरेलू ब्रॉडबैंड प्रदाता, मोबाइल वाहक, व्यवसाय या होस्टिंग कंपनी में से किसका है। यह अंतिम भेद स्वयं एक सिग्नल है — डेटा-सेंटर रेंज से आने वाला आगंतुक आवासीय गली से आने वाले से बहुत अलग पढ़ा जाता है, और धोखाधड़ी प्रणालियाँ इस पर ध्यान देती हैं।
जियोलोकेशन को सावधानी से लें: दिखाया गया शहर आपके नेटवर्क निकास का शहर है, ज़रूरी नहीं कि आपका हो। डेटाबेस पतों को वहाँ से जोड़ते हैं जहाँ प्रदाता उन्हें पंजीकृत और रूट करते हैं, इसलिए मोबाइल नेटवर्क, कॉर्पोरेट गेटवे और ग्रामीण प्रदाता नियमित रूप से लोगों को दसियों या सैकड़ों किलोमीटर दूर रख देते हैं, और कभी-कभी ग़लत देश में। टेस्ट एक से अधिक ट्रेस एंडपॉइंट से पूछकर तस्वीर बेहतर बनाता है, क्योंकि अलग-अलग नेटवर्क अलग-अलग निकास देख सकते हैं — उदाहरण के लिए CDN ट्रेस वह पता उजागर कर सकता है जो उस एज नेटवर्क ने देखा, जो तब अलग हो सकता है जब कोई प्रॉक्सी, रिले या स्प्लिट टनल शामिल हो। इन रीडिंग्स के बीच अंतर त्रुटियाँ नहीं हैं; वे उन रास्तों का नक्शा हैं जिनसे आपका ट्रैफ़िक वास्तव में गुज़रता है।
कनेक्शन अपनी कार्यप्रणाली भी बताता है: वह TLS संस्करण और प्रोटोकॉल जिसने उसे सुरक्षित किया, और यह कि वह IPv4 पर आया या IPv6 पर। यह ठीक वही परत है जिसे VPN हिलाता है — और केवल यही परत। VPN उस IP पते को, जो साइटें देखती हैं, अपने निकास पते से बदल देता है, इसलिए शहर, देश, ASN और संगठन VPN प्रदाता के हो जाते हैं। यह आपकी स्क्रीन, फ़ॉन्ट, समय क्षेत्र या भाषा सूची नहीं बदलता। वह बेमेलपन — एक कनेक्शन एक देश का दावा करता है और ब्राउज़र दूसरे के लिए कॉन्फ़िगर है — ठीक वही है जिसे भेस जाँचें खोजती हैं, और यही कारण है कि केवल अपना पता बदलना महसूस होने से कमज़ोर भेस है।
आपका डिवाइस और ब्राउज़र क्या कहते हैं
दूसरी परत स्वयं डिवाइस और ब्राउज़र हैं। सबसे पुराना सिग्नल user agent स्ट्रिंग है, एक बैनर जिसमें ब्राउज़र अपने परिवार, संस्करण और ऑपरेटिंग सिस्टम की घोषणा करता है; आधुनिक Chromium ब्राउज़र इस स्ट्रिंग को तेज़ी से स्थिर कर रहे हैं और विवरण को User-Agent Client Hints में ले जा रहे हैं, संरचित मान जो कोई साइट मॉडल, प्लेटफ़ॉर्म संस्करण और आर्किटेक्चर के बारे में माँग सकती है। इसके आसपास प्लेटफ़ॉर्म का नाम, हार्डवेयर समवर्ती के रूप में रिपोर्ट की गई तार्किक प्रोसेसरों की संख्या, डिवाइस मेमोरी का अनुमानित आँकड़ा और अधिकतम टच पॉइंट हैं — अलग-अलग साधारण, साथ में आपकी मशीन के वर्ग और उम्र का एक रेखाचित्र।
ग्राफ़िक्स और डिस्प्ले लंबी पूँछ जोड़ते हैं। आपकी स्क्रीन ज्यामिति — कुल आकार, उपलब्ध आकार, रंग गहराई और डिवाइस पिक्सेल अनुपात — आपके मॉनिटर और स्केलिंग विकल्पों का वर्णन करती है। एक WebGL प्रोब GPU विक्रेता और रेंडरर स्ट्रिंग पढ़ सकता है, जो अक्सर सटीक ग्राफ़िक्स चिप या ड्राइवर परिवार का नाम बताती है। Canvas रेंडरिंग, ऑडियो प्रसंस्करण और फ़ॉन्ट माप भी इसी तरह काम करते हैं: ब्राउज़र से कोई आकार बनवाइए, टेक्स्ट रेंडर करवाइए या वह क्या दिखा सकता है इसकी सूची बनवाइए, और हार्डवेयर, ड्राइवरों और स्थापित फ़ॉन्ट में छोटे अंतर मापने योग्य अलग परिणाम देते हैं। टेस्ट स्थापित फ़ॉन्ट की अप्रत्यक्ष जाँच, मीडिया डिवाइसों का समूह, और ब्राउज़र कौन से ऑडियो व वीडियो कोडेक चला सकता है, इसकी भी जाँच करता है — हर एक छोटा तथ्य, साथ में एक ऐसा संयोजन जिसे बहुत कम अन्य आगंतुक ठीक-ठीक साझा करते हैं।
इनमें से किसी के लिए भी असाधारण पहुँच की ज़रूरत नहीं है। ये वही API हैं जिनका उपयोग वैध साइटें सही वीडियो प्रारूप देने, आपकी विंडो में फ़िट होने वाला लेआउट चुनने, या ऐसा डाउनलोड न देने के लिए करती हैं जिसे आपका सिस्टम चला नहीं सकता। यही दोहरा उपयोग फ़िंगरप्रिंटिंग को कानून से हटाना कठिन बनाता है: आप सामान्य अनुकूलन तोड़े बिना वह क्षमता नहीं हटा सकते। आप जो कर सकते हैं वह है अपनी 노출 स्थिति जानना। दुर्लभ संयोजन कोई ग़लती नहीं है, लेकिन इसका मतलब है कि कुकीज़ साफ़ करना आपकी गुमनामी के लिए उम्मीद से कम करता है — डिवाइस परत बिना किसी संग्रहीत स्थिति के अगली विज़िट पर उसी मशीन को फिर पहचान लेती है।
शांत प्राथमिकताएँ
तीसरी परत और शांत है: वे प्राथमिकताएँ और सेटिंग्स जो आपका ब्राउज़र साथ लिए चलता है। यह बताता है कि आप हल्की या गहरी रंग योजना पसंद करते हैं, क्या आपने गति कम करने को कहा है, क्या आप कम डेटा या कंट्रास्ट समायोजन पसंद करते हैं, और ऑपरेटिंग सिस्टम या ब्राउज़र सेटिंग्स के ज़रिए किए गए इसी तरह के सुलभता व रूप विकल्प। ये इसलिए मौजूद हैं ताकि साइटें उनका सम्मान कर सकें, और अधिकांश लोग इन्हें एक बार सेट करके फिर कभी इनके बारे में नहीं सोचते — ठीक यही कारण है कि ये फ़िंगरप्रिंट में योगदान देने के लिए पर्याप्त स्थिर हैं।
भाषा और समय और तेज़ हैं। ब्राउज़र एक क्रमबद्ध भाषा सूची भेजता है — केवल आपकी मुख्य भाषा नहीं बल्कि विकल्प और उनकी प्राथमिकता का क्रम — और आपके सिस्टम पर सेट समय क्षेत्र को उजागर करता है, साथ ही आपके लोकेल में तारीखें और संख्याएँ कैसे स्वरूपित होती हैं। एक सामान्य प्रविष्टि वाली भाषा सूची उल्लेखनीय नहीं है; असामान्य क्रम में तीन भाषाओं की सूची, समय क्षेत्र और तारीख प्रारूप के साथ, हस्ताक्षर के करीब है। यह कनेक्शन परत की भी जाँच करता है: ब्राउज़र एक क्षेत्र के लिए सेट है जबकि उसका IP पता दूसरे का दावा करता है, यह यात्रा, दूरस्थ कार्य, या मशीन से अलग देश में चुने गए VPN निकास का क्लासिक संकेत है।
कुछ प्राथमिकताएँ गोपनीयता अनुरोधों के रूप में डिज़ाइन की गई थीं। Do Not Track और उसका उत्तराधिकारी Global Privacy Control ब्राउज़र को यह संकेत देने देते हैं कि आप ट्रैकिंग या अपने डेटा की बिक्री का विरोध करते हैं — और GPC कुछ क्षेत्राधिकारों में कानूनी वज़न रखता है, जो Do Not Track के पास कभी नहीं था। व्यवहार में दोनों का असमान रूप से सम्मान होता है, और इन्हें भेजना स्वयं एक भेदक सिग्नल है, क्योंकि अपेक्षाकृत कम आगंतुक ऐसा करते हैं। यही विरोधाभास इस परत में चलता है: कुकी और स्टोरेज की उपलब्धता, बैटरी API दी जाती है या नहीं, कौन सा कीबोर्ड लेआउट निहित है — सेटिंग्स और अनुपस्थितियाँ समान रूप से आपका वर्णन करती हैं, जिनमें वे भी शामिल हैं जो आपकी रक्षा के लिए थीं। टेस्ट बताता है कि आपका ब्राउज़र क्या कहता है और जिन मानों को वह रोके रखता है उन पर चुप रहता है, ताकि आप दोनों पक्ष देख सकें।
जो कोई साइट अभी भी नहीं देख सकती
उपरोक्त सबके बावजूद, सीमाएँ पहुँच जितनी ही मायने रखती हैं। अनुमति पॉपअप के बिना कोई साइट आपका नाम, सटीक पता, उम्र, संपर्क, फ़ाइलें, सटीक GPS स्थान, माइक्रोफ़ोन या कैमरा नहीं पढ़ सकती। जियोलोकेशन, डिवाइस पहुँच और सूचनाएँ स्पष्ट ब्राउज़र अनुमतियों के पीछे किसी कारण से हैं, और एक अच्छा व्यवहार करने वाला टेस्ट — इस जैसा — केवल वही पढ़ता है जो स्वतंत्र रूप से दिया जाता है और कुछ नहीं माँगता। अगर कोई यादृच्छिक पेज दावा करता है कि वह केवल आपके फ़िंगरप्रिंट से आपका नाम जानता है, तो वह या तो झाँसा दे रहा है या उसने वह कड़ी कहीं और से खरीदी है।
वह कहीं और ही ईमानदार चेतावनी है। विज्ञापन उद्योग के आपकी उम्र, लिंग, आय और रुचियों के बारे में आत्मविश्वासी अनुमान इन रीडिंग्स से नहीं आते; वे कई साइटों और ऐप्स में जोड़े गए व्यवहार से आते हैं — आप क्या खोजते हैं, देखते हैं, खरीदते हैं और कहाँ ठहरते हैं — प्रोफ़ाइलों में जोड़े गए और समय के साथ पहचानकर्ताओं से जुड़े हुए। उस अर्थव्यवस्था में फ़िंगरप्रिंट की भूमिका सँकरी और अधिक तकनीकी है: यह उसी ब्राउज़र को फिर पहचानने में मदद करता है ताकि व्यवहार रिकॉर्ड जारी रह सके। इन दोनों चीज़ों को अलग रखना मायने रखता है, क्योंकि बचाव अलग-अलग हैं: व्यवहार खातों, सहमति और ट्रैकिंग नियमों द्वारा शासित है, जबकि सिग्नल इस बात से शासित हैं कि आपका ब्राउज़र क्या उजागर करना चुनता है।
इसीलिए गायब सिग्नल सम्मान का हक़दार है। जब टेस्ट कहता है “यह ब्राउज़र नहीं बताता”, तो यह एक गोपनीयता सुविधा है जो अपेक्षित रूप से काम कर रही है, और ब्राउज़र यहाँ जानबूझकर अलग हैं: Chromium-आधारित ब्राउज़र आम तौर पर अधिक विवरण देते हैं, जबकि Safari और Firefox अधिक मानों को रोकते, मोटा करते या यादृच्छिक करते हैं, और गोपनीयता-केंद्रित ब्राउज़र और आगे जाते हैं। अपने पैराग्राफ़ को छोटा करना संभव है — नीचे FAQ व्यावहारिक कदम देता है — लेकिन लक्ष्य अदृश्यता नहीं, सूचित विकल्प होना चाहिए, जिसे कोई मुख्यधारा सेटअप ईमानदारी से नहीं देता। साथी टेस्ट स्वयं पढ़े गए डेटा को कैसे संभालता है, इसके लिए देखें गोपनीयता टेस्ट कैसे कोई डेटा नहीं रखता: छोटा संस्करण यह है कि आपका चित्र आपके ब्राउज़र में, आपके लिए लिखा जाता है, और उसे पढ़ने के लिए हमें एक प्रति रखने पर भरोसा करने की ज़रूरत नहीं होनी चाहिए।