Bliver du logget ud af en webshop, når du skifter VPN-server?
En ny udgangsadresse tømmer ikke kagespanden. Afgør først, om du tester netværksstien, den loggede session eller de gemte webstedsdata.
Skift VPN-udgangen, mens en webshop er åben i en anden fane, og kurven er som regel stadig der. Det er ikke en VPN-fejl; det er browseren, der gør præcis, hvad den blev bedt om. En cookie sendes af browseren, og en ny netværkssti ændrer ikke det, browseren gemmer. Tre forskellige spørgsmål gemmer sig bag „siden kender mig stadig“, og svaret afhænger af, hvilket du egentlig stiller.
Tre spørgsmål, ét symptom
Først: genkender siden en gemt cookie? Dernæst: genkender den en konto, der er logget ind, og som består uafhængigt af enhver enkelt cookie? Til sidst: genkender den noget om browseren eller enheden frem for gemt tilstand? Hvert spørgsmål har sin egen test og sin egen løsning.
| What you changed | What it actually tests |
|---|---|
| VPN exit address | Whether the site treats a different network origin differently |
| Cookie jar for one site | Whether a stored identifier was doing the recognition |
| Browser profile or account | Whether identity, rather than storage, links the visits |
Det meste forvirring kommer af at ændre det første og forvente, at det andet følger. En netværksadresse og et browserlager er to adskilte systemer, som den samme side tilfældigvis bruger.
Hvad en cookie egentlig bærer
HTTP-tilstandsstyring, som den er specificeret i RFC 6265, er med vilje enkel: serveren sætter et navn og en værdi med et omfang, og browseren sender dem tilbage for anmodninger, der matcher dette omfang. Værdien kan være en sessionsidentifikator, en præference eller et uigennemsigtigt token, som serveren knytter til en kurvpost. Intet i mekanismen nævner klientens adresse.
Det design er grunden til, at almindelige logins og kurve overlever en netværksændring, og det er også grunden til, at de overlever den hos trackere. Den samme mekanisme tjener begge formål og skelner ikke mellem dem. Der er intet felt i protokollen til klientens adresse, så der er intet, en ny udgang kan ugyldiggøre. Et websted, der ville binde en cookie til et netværksoprindelse, måtte selv tilføje den logik.
Når et websted sender en cookie tilbage, slår serveren den post op, som værdien peger på. At ændre den rute, anmodningen tog, ændrer ikke opslaget, og det er hele forklaringen på indkøbskurvsobservationen.
Afgør, hvad din test måler
Før du ændrer noget, så skriv den tilstand ned, du starter fra: hvilken browserprofil, hvilken konto, hvilke webstedsdata, hvilken netværkssti. Skift derefter præcis én af dem og observer. En test, der ændrer både udgangsadresse og browserprofil på én gang, beviser intet om nogen af dem.
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' https://shop.example/cart
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' --interface 198.51.100.44 https://shop.example/cartBegge kommandoer genbruger den samme cookiefil, og den anden tvinger en anden lokal kildeadresse frem, hvor værten tillader det. Kurvsvaret er det samme i begge tilfælde, fordi serveren aldrig har set en anden klientidentitet, kun en anden sti. Det er mekanismen i ét reproducerbart par af anmodninger.
Hvis målet er at se, om siden genkender dig uden gemt tilstand, skal du rydde det websteds data og gentage. Hvis den stadig genkender dig, er de næste mistænkte den konto, der er logget ind, et link du fulgte, eller browserkarakteristika frem for en cookie.
Ryd den rigtige tilstand, ikke netværket
Fjernelse af ét websteds lager hører til browserens egne kontroller, og det vil ofte logge dig ud eller nulstille præferencer som bivirkning. Det sletter ikke kontoen eller de poster, tjenesten allerede har; de kræver tjenestens egen proces.
Begrænsninger mellem websteder håndterer en anden del af problemet. Browsere kan blokere eller opdele lager, som indlejrede tjenester ellers ville dele mellem websteder, mens et login hos første part fortsat virker. Et vellykket login er derfor ikke bevis for, at sporing mellem websteder fungerer.
Private vinduer er endnu et værktøj med et snævrere omfang, end folk forventer. Websteder kan stadig sætte cookies i løbet af sessionen, og et login identificerer stadig kontoen. Det er afslutningen af den private session, der kasserer den midlertidige tilstand, hvilket betyder at lukke alle private vinduer og ikke én fane.
Endelig bør du behandle fingeraftryksidentifikation som en mulighed frem for den første forklaring. Enheds- og browserkarakteristika kan knytte besøg sammen uden nogen gemt cookie, og rydning af lageret rører dem ikke. Tjek de enkle årsager først, udvid derefter undersøgelsen, og notér, hvilken tilstand du ændrede, så den næste sammenligning giver mening.