En ny VPN-lokation nulstiller ikke notifikationstilladelse

Forestillingen om, at et VPN-skift kan nulstille et websteds notifikationstilladelse, er forkert på en måde, der koster folk virkelig tid. Intet ved din udgangsadresse er en del af tilladelsesposten. Et websteds tilladelse gemmes mod dets oprindelse inde i én browserprofil, så flytning fra én server til en anden efterlader den præcis, hvor den var. Det, der faktisk ændrer sig, er din session, og det er normalt det, folk kigger på, når de beslutter, at VPN'en gjorde noget ved deres notifikationer.

Tre lagre, der ligner én indstilling

Tilladelsen er én post, operativsystemets notifikationskontakt er en anden, og webstedets egen abonnementsstatus er en tredje. Hver af dem tilbagekaldes et andet sted af en anden handling.

Hvad tilladelsen er knyttet til

Tilladelse til webnotifikationer er per oprindelse og per profil. Den følger https://app.example.com i stedet for din offentlige adresse, og det er derfor, det samme websted, der bliver spurgt på en anden maskine, stadig skal spørge igen, og hvorfor et andet VPN-endepunkt ikke giver en ny forespørgsel. Kontroller det, hvor det registreres: notifikationspanelet i webstedsindstillingerne viser oprindelser med tilladelse, og selve siden kan rapportere sin tilstand.

chrome://settings/content/notifications
navigator.permissions.query({name: 'notifications'})
chrome://serviceworker-internals

Forespørgslen rapporterer den tilstand, oprindelsen allerede har, uden at bede om en ny, og service worker-siden er der, hvor en registrering og dens push-abonnement lever eller ikke lever. Hvis tilladelsen er der, og leveringen stadig fejler, ser du på det tredje lag og ikke det første.

Push-vejen er sit eget forhold

Web Push tilføjer et abonnement, som siden ikke kontrollerer direkte. Browseren anmoder om en PushSubscription fra en push-tjeneste, giver siden en endepunkt-URL, og leveringen går senere til det endepunkt og videregives til den registrerede service worker. MDN's PushSubscription-dokumentation beskriver endepunktet som en brugerdefineret URL på en push-server til den abonnerende worker, og det er hele pointen: det er en leveringsevne, ikke en offentlig adresse, du udgiver.

Der følger to konsekvenser. For det første bør en endepunkt-URL behandles som følsom, så den hører ikke til i en offentlig supporttråd. For det andet håndhæver push-tjenesten sin egen godkendelse, så selve det at have URL'en er ikke bevis for, at nogen kan sende en godkendt besked. Når du afmelder, fortæller browseren push-tjenesten at ugyldiggøre abonnementet, og det er den handling, der afslutter leveringen. At skifte VPN-servere er ikke den handling.

Hvorfor VPN'en ser skyldig ud

Skift din udgangsadresse, og mange websteder godkender dig igen, roterer en sessionscookie eller gengiver deres indstillingsside fra bunden. Notifikationer fra det websted kan så stoppe af grunde, der intet har med tilladelse at gøre: den nye session er ikke den abonnerede, webstedet tjekker sit eget markedsføringssamtykke igen, eller en regional regel skjuler funktionen. Levering kan også fejle, fordi push-endepunktets vært er utilgængelig eller langsom gennem den nye vej, hvilket udefra ser identisk ud med en tilbagekaldt tilladelse.

Læs lagene hver for sig, før du konkluderer noget. Tilladelsespanelet siger, om tilladelsen findes; service worker-listen siger, om en registrering og et abonnement findes; operativsystemets kontakt siger, om browseren overhovedet må vise noget.

Ændr det, du havde til hensigt at ændre

Hvis du vil have notifikationer til at stoppe, tilbagekald tilladelsen for den oprindelse og afmeld webstedets push-indstilling, og bekræft derefter, at operativsystemets kontakt ikke er det eneste, der står mellem webstedet og din låseskærm. Blokering af fremtidige notifikationer sletter ikke de kontooplysninger, webstedet allerede har, og det er en separat anmodning til webstedet.

Hvis du vil have en anden netværksvej, skal du skifte VPN. Det påvirker sessionsidentitet, geografiske regler og hvilke servere du kan nå, og det lader notifikationstilladelsen være urørt.

Behandl en notifikations indhold med samme mistanke over en VPN som uden. En velkendt browser, der viser en besked, er ikke bevis for, at afsenderen eller linket er legitimt.