Tarayıcıda izleme: çerezler bitiyor, parmak izi kalıyor

“Çerezleri sildim, artık izlenmiyorum” cümlesi uzun süredir doğru değil. İzleme tekniklerinin tamamını anlamak gerekmiyor, ama hangi önlemin neye karşı işe yaradığını bilmek, boşa güvenmeyi önlüyor.

Birinci ve üçüncü taraf ayrımı

Çerez, sitenin tarayıcınıza bıraktığı küçük bir kayıt. İkiye ayrılıyor:

• Birinci taraf: ziyaret ettiğiniz sitenin kendi çerezi. Oturum açık kalması, sepet, dil tercihi bununla çalışıyor. Silerseniz oturumlarınız kapanır.
• Üçüncü taraf: sayfanın içine gömülü başka bir alan adının çerezi — reklam ağları ve analitik sağlayıcıları. Aynı ağ onlarca sitede bulunduğu için siteler arası bir profil oluşturabiliyor.

Son yıllarda tarayıcılar üçüncü taraf çerezlerini engellemeye başladı; bazıları yıllar önce varsayılan olarak kapattı, en yaygın tarayıcı ise takvimini birkaç kez değiştirdi. Sonuç: bu teknik zayıflıyor, ama yerine başkaları geliyor.

Parmak izi: çerezsiz tanıma

Tarayıcınız, bir sayfaya girdiğinde teknik olarak gerekli pek çok bilgiyi paylaşıyor. Tek başına kimliksiz olan bu bilgiler birleştiğinde ayırt edici bir imza üretiyor:

1. Ekran çözünürlüğü, renk derinliği, cihaz pikseli oranı,
2. Kurulu yazı tipleri ve diller,
3. Saat dilimi,
4. İşletim sistemi ve tarayıcı sürümü,
5. Grafik donanımının küçük bir çizimi işlerken ürettiği ufak farklar,
6. Ses işleme yığınının imzası, sensör listesi, dokunma yeteneği.

Bu imza bir çerez değil; silinecek bir şey yok. Üstelik şaşırtıcı bir paradoks var: kendinizi gizlemek için yaptığınız özelleştirmeler (sıra dışı yazı tipleri, nadir bir tarayıcı eklentisi kombinasyonu) sizi daha kolay tanınır kılıyor. Kalabalığın içinde durmak, en iyi gizlenme yöntemi.

Çerez olmadan da izleme yolları

• Birinci taraf kılığına girmek: izleme betiği, sitenin kendi alt alan adından sunuluyor. Tarayıcı bunu birinci taraf sayıyor; veri yine dışarıya gidiyor.
• Bağlantıdaki etiketler: adresin sonuna eklenen tanımlayıcılar. Bir uygulamadan dışarı çıkan bağlantıların uzun kuyruklu olmasının nedeni bu; bazı tarayıcılar bunları temizliyor.
• E-posta pikseli: iletinin içindeki görünmez görsel, açılma anını ve cihazı bildiriyor. Uzak görselleri engellemek bunu durduruyor.
• Sunucu tarafı eşleştirme: veri tarayıcıda değil, şirketlerin sunucuları arasında birleştiriliyor. Tarayıcı ayarının erişemediği katman.
• Reklam kimliği: mobilde uygulamalar arası ortak tanımlayıcı. Nasıl sınırlanacağını izinler yazısında anlattık.

Neden izliyorlar

Amaç genelde reklam hedefleme ve ölçüm. Toplanan davranış verisi, öneri sistemlerinin girdisiyle aynı türden: ne izlediğiniz, ne kadar kaldığınız, neyi satın aldığınız. Veri aracıları bu profilleri birleştirip satıyor.

Buradaki asıl risk reklam değil, profilin başka amaçlarla kullanılabilmesi: fiyat farklılaştırma, sigorta ve kredi değerlendirmeleri, veri sızıntıları ve hassas çıkarımlar (sağlık, siyasi görüş, gebelik gibi). Bu yüzden konu bir tercih meselesinden çok bir veri güvenliği meselesi.

Gerçekten işe yarayan önlemler

1. İçerik engelleyici kullanmak. İzleme betiklerini hiç yüklememek, çerez silmekten etkili. Yan faydası sayfaların hızlanması.
2. Varsayılan olarak izleme koruması olan bir tarayıcı seçmek ve korumayı sıkı kipte tutmak.
3. Oturumları ayırmak. Konteyner sekmeleri ya da ayrı profiller, bir hesapla yaptığınız gezinmeyi diğerinden koparıyor. Giriş yaptığınız anda kimliksizliğin bittiğini hatırlamak gerekiyor.
4. Arama ve harita gibi hizmetlerde hesapsız kullanım, davranış verisinin hesabınıza bağlanmasını engelliyor.
5. Çerez bannerlarında “tümünü reddet” seçeneğini aramak. Reddetme düğmesinin gizlenmesi yaygın bir karanlık desen; “meşru menfaat” sekmesindeki ayrı kutular da sık atlanıyor.
6. Uzak görselleri kapatmak e-posta pikselini etkisiz kılıyor.

İşe yaramayanlar

Birkaç yaygın yanılgı: gizli pencere yalnızca yerel geçmişi tutmuyor, siteler sizi yine tanıyabiliyor. “İzlemeyi reddet” başlığı bir ricadan ibaretti ve çoğu site dikkate almıyordu. VPN ise IP adresinizi değiştiriyor, parmak izinizi ve çerezlerinizi değiştirmiyor — ayrımı VPN yazısında ele aldık. Bağlantının şifreli olması da izlemeyi engellemiyor; kilidin ne anlattığını HTTPS yazısında anlatmıştık.

Çerez silmek bir temizlik; izlenmemek bir yapılandırma. İkisini karıştırmak, yanlış yerde güven duymak demek.