Fingerprint Observatory

L'oggetto navigator espone a ogni script della pagina le tue preferenze di lingua, il numero di thread della CPU, la RAM approssimativa e il supporto al tocco. Insieme, questi valori all'apparenza banali restringono già molto il campo dei dispositivi possibili.

Risoluzione dello schermo, area di lavoro disponibile, profondità del colore e rapporto di pixel sono leggibili senza alcun permesso. Le combinazioni di viewport e schermo sono abbastanza rare da essere una componente forte del fingerprint.

Il fuso orario di sistema, la lingua e lo scarto da UTC rivelano più o meno dove ti trovi nel mondo, anche dietro una VPN che dichiara il contrario. Una discordanza tra la posizione dell'IP e il fuso orario è un indizio classico di proxy.

Chromium espone il tipo effettivo di connessione (4g, 3g…), la banda stimata, il tempo di andata e ritorno e un indicatore di risparmio dati. Suggerisce se sei su rete mobile o su banda larga fissa, e cambia quando cambi rete.

La stringa user agent annuncia a ogni script e a ogni server il tuo browser, la sua versione e il tuo sistema operativo. I browser la stanno congelando perché per decenni è stata usata per il fingerprinting.

Disegna testo e forme su un canvas nascosto e calcola l'hash dei pixel. Piccole differenze di GPU, driver e rasterizzazione dei font rendono il risultato sorprendentemente stabile per ogni dispositivo.

Legge le stringhe di renderer e produttore di WebGL, che spesso rivelano il modello esatto della GPU. Insieme al numero di estensioni restringe hardware e driver.

Elenca i limiti numerici dichiarati dall'implementazione WebGL: dimensioni delle texture, dimensioni del viewport, capacità degli shader. Variano con GPU, driver e browser e aggiungono molti bit di entropia.

Misura il riquadro di contenimento di una porzione di testo SVG. Le differenze nelle metriche dei font e nella composizione del testo emergono in dimensioni di pixel frazionarie.

Misura i riquadri esatti in pixel di porzioni di testo con dimensioni di font miste. L'arrotondamento del layout al sub-pixel cambia tra browser, sistemi operativi e livelli di zoom.

Lo stesso grafo audio elaborato offline produce numeri minimamente diversi su stack audio diversi. Quel singolo numero è abbastanza stabile da riconoscere il tuo dispositivo da un sito all'altro, ed è inudibile.

Misurando come una stringa di prova viene disegnata rispetto a famiglie di font generiche, una pagina può capire quali font sono installati senza chiederlo mai. L'insieme dei tuoi font riflette il sistema operativo e il software installato: un identificatore solido.

Il numero di thread, una cifra arrotondata di RAM, il livello della batteria e la quota di archiviazione sono tutti leggibili senza chiedere. Ognuno è grossolano da solo; insieme descrivono la tua macchina.

Le informazioni sull'adattatore WebGPU possono indicare produttore e architettura della tua GPU: la scheda grafica è uno dei componenti più identificativi che possiedi. Per questo i browser cominciano a subordinarle a un permesso.

Chromium riporta il limite dell'heap JavaScript e l'uso corrente tramite performance.memory. Il limite dell'heap è correlato alla RAM totale del dispositivo: un altro indizio discreto sulla tua classe di hardware.

Riconosce il motore JavaScript (V8, SpiderMonkey, JavaScriptCore) dal formato dello stack degli errori e dall'ordine delle chiavi degli oggetti: dettagli che uno user agent falsificato non può imitare.

Una pagina può contare le tue fotocamere, i microfoni e gli altoparlanti senza avviare nessuna acquisizione: le etichette restano nascoste finché non concedi il permesso, ma il solo numero di dispositivi già caratterizza la tua configurazione.

L'elenco delle voci di sintesi vocale rispecchia il tuo sistema operativo e i suoi pacchetti lingua. Nomi e numero esatto delle voci installate sono una componente stabile del fingerprint, di rado considerata.

La Media Capabilities API dice se VP9, H.264 e AV1 a 1080p si decodificano senza scatti e con basso consumo. Lo schema delle risposte dipende dalla GPU e dallo stack multimediale del sistema: hardware per interposta persona.

WebCodecs indica esattamente quali configurazioni di codec l'hardware sa decodificare: VP8, VP9, AV1, H.264 e HEVC. L'insieme supportato identifica la combinazione di browser, sistema operativo e driver della GPU.

La Keyboard API espone come i tasti fisici corrispondono ai caratteri, e rivela se scrivi su QWERTY, AZERTY o QWERTZ: un indizio solido su lingua e regione.

La Gamepad API elenca ogni controller collegato con il suo id e il numero di pulsanti e assi: un segnale di nicchia ma stabile che indica hardware adatto ai giochi.

Le media query su puntatore e hover dicono a un sito se il tuo input principale è un mouse preciso o un touchscreen impreciso, e se l'hover funziona: un modo facile per distinguere desktop e mobile.

Controlla quali API web moderne espone questo browser. La matrice esatta di supporto è un identificatore grossolano ma stabile della famiglia e della versione del browser.

Legge gli User-Agent Client Hints di Chromium, il sostituto strutturato della stringa UA, compresi i valori ad alta entropia come architettura e versione della piattaforma.

Elenca lo stato di ogni permesso noto. Lo schema concesso/negato/da chiedere riflette le tue scelte passate e resta tra una visita e l'altra.

Legge lo stato del permesso per le notifiche. Resta tra una sessione e l'altra e aggiunge un bit stabile al fingerprint dei permessi.

navigator.webdriver e le variabili globali lasciate da PhantomJS, Nightmare e Selenium rivelano un browser pilotato da framework di automazione.

Ogni browser tradisce la navigazione privata tramite un'API diversa: Chrome limita la quota di archiviazione, Safari genera un errore su openDatabase/localStorage, Firefox rifiuta IndexedDB.

Prova localStorage, sessionStorage e IndexedDB con un test di scrittura. Un'archiviazione bloccata o che genera errori è tipica delle modalità di navigazione privata e delle configurazioni rinforzate.

Controlla che le API fondamentali usate da questa pagina siano ancora le implementazioni native del browser. Se fetch, WebRTC o Function.prototype.toString risultano sostituiti, un'estensione, uno userscript o uno strumento antifrode sta intercettando il runtime, e ogni risultato di questa pagina diventa sospetto.

La Payment Request API rivela se il browser può completare un pagamento con carta. Su Chrome, chiamare canMakePayment() due volte di seguito fallisce con NotAllowedError nelle finestre in incognito: un indizio discreto della modalità privata.

ApplePaySession esiste solo in Safari sui dispositivi Apple, quindi la sua sola presenza è un forte segnale di piattaforma; canMakePayments() va oltre e rivela se è registrata una carta.

La maggior parte delle estensioni di wallet inietta un oggetto globale in ogni pagina (window.ethereum, window.solana, …). Leggere quali esistono elenca i wallet installati e ti smaschera come utente di criptovalute.

EIP-6963 permette ai wallet di annunciarsi con eventi di window invece di litigare per window.ethereum. Chiedere gli annunci elenca ogni wallet conforme per nome e id in formato DNS inverso.

Le estensioni più diffuse lasciano tracce nella pagina: Grammarly e i gestori di password annotano il DOM, i devtools di React e Vue installano hook globali. Osservare quelle tracce rivela quali estensioni usi.

Gli ad blocker nascondono gli elementi con nomi di classe che sembrano pubblicità. Inserire un finto banner 300x250 e controllare se viene nascosto rivela se un blocco dei contenuti è attivo.

Antivirus e suite di sicurezza per desktop iniettano elementi e variabili globali in ogni pagina per agganciare la protezione bancaria e la scansione dei link. Quei marcatori rivelano discretamente quale prodotto di sicurezza protegge il tuo computer.

Le estensioni che modificano la pagina lasciano spesso URL chrome-extension:// nei nodi di testo o negli attributi. Scorrere il DOM alla ricerca di quegli URL rivela le estensioni attive senza bisogno di un elenco di bersagli predefinito.

Una RTCPeerConnection senza server ICE rivela comunque gli indirizzi della tua rete locale come host candidate. Non viene inviato nulla, eppure la struttura della tua LAN, e a volte un IP pubblico, finisce a qualsiasi pagina.

Con un server STUN (stun.l.google.com, contattato solo se esegui questa sonda) WebRTC scopre l'IP pubblico che il tuo NAT mostra al mondo. Se è diverso da quello della tua VPN, il tunnel sta perdendo.

L'endpoint di speed test di Cloudflare riporta come ti vede la rete: IP pubblico, ASN e organizzazione, il datacenter edge raggiunto e la tua posizione approssimativa. Questa sonda contatta speed.cloudflare.com.

Risolvere un hostname casuale di test.nextdns.io rivela se il tuo resolver DNS è NextDNS, insieme all'id del profilo: uno sguardo su come viene filtrato il tuo DNS. Questa sonda contatta test.nextdns.io.

ipinfo.io risponde con l'IP pubblico che vede, una stima della geolocalizzazione e l'organizzazione proprietaria: un secondo parere indipendente da confrontare con quello di Cloudflare. Questa sonda contatta ipinfo.io.

Prova sul tuo computer le porte comuni dei servizi di sviluppo (server di sviluppo, Ollama, Docker, MongoDB) con una fetch verso 127.0.0.1: una porta raggiungibile risolve la richiesta, una chiusa fallisce subito. Durante l'esecuzione aspettati rumore di richieste fallite nella console.

Scarica risorse note e accessibili dal web delle estensioni più diffuse: un caricamento riuscito prova che l'estensione è installata. Solo Chrome/Edge, e ogni tentativo fallito scrive un errore nella console, quindi aspettati rumore nei devtools.

Prova un dizionario di 6.000 risorse note di estensioni: la versione su scala industriale del rilevamento delle estensioni. Dura fino a un minuto, invia migliaia di richieste e scrive un errore nella console per ogni tentativo fallito. Solo Chromium.