Perché un sito conosce ancora la tua città nonostante una VPN
Un sito può usare il permesso di localizzazione del browser e il tuo IP pubblico in modo indipendente: controlla il permesso dell’origine, l’impostazione del sistema e la città memorizzata.
Due meccanismi possono mettere una città sullo schermo e solo uno di loro si preoccupa di dove esce la tua VPN. L’API Geolocation del browser restituisce una posizione del dispositivo quando la pagina ha il permesso, e una ricerca IP stima una regione dall’indirizzo da cui è arrivata la richiesta. Un sito che mostra la tua città reale mentre il tunnel gira in un altro paese di solito usa il primo meccanismo, o legge una città che ha memorizzato mesi fa. Cinque passi separano questi casi.
Primo passo: decidere quale meccanismo può rispondere
Inizia chiedendoti cosa può sapere la pagina. Una posizione del dispositivo richiede una chiamata API e una decisione di permesso, e produce una coordinata precisa. Una stima IP non richiede nulla all’utente e produce al massimo una città, spesso sbagliata. Una preferenza dell’account memorizzata non richiede nessuna delle due e sopravvive a ogni cambio di rete.
Queste tre fonti spiegano quasi tutti i casi segnalati. Un sito di mappe che si centra sulla tua via usa l’API. Un negozio che ti saluta nella lingua sbagliata usa una stima IP. Un sito di notizie che continua a mostrare la tua città natale dopo un trasloco usa ciò che ha memorizzato il tuo account.
| What the page shows | Likely source |
|---|---|
| Street-level accuracy | Device position from the Geolocation API |
| City or region only | IP geolocation of the exit address |
| Same city for months | Stored account preference |
| Different result in a private window | Stored permission or cached state |
Secondo passo: leggere il permesso per quell’origine esatta
I browser ricordano la decisione di permesso per origine, quindi un sito che hai autorizzato l’anno scorso si apre senza una nuova richiesta. Controlla la voce di localizzazione per quel sito specifico nelle impostazioni dei siti del browser invece del valore globale predefinito, perché l’impostazione globale decide solo cosa succede quando non c’è nulla di memorizzato.
Poi controlla il sistema operativo. Un browser su un computer o un telefono moderno ha bisogno anche del permesso di localizzazione della piattaforma, e un permesso della piattaforma negato fa fallire l’API anche quando il sito è autorizzato. La posizione disponibile può venire dai servizi della piattaforma, che non hanno nulla a che fare con il tunnel.
Due condizioni tecniche spiegano la maggior parte dei fallimenti che sembrano problemi di VPN. L’API richiede un contesto sicuro, quindi una semplice pagina HTTP non può usarla affatto, e i frame incorporati possono essere bloccati dalla Permissions Policy della pagina. Una richiesta negata è quindi molto più spesso un risultato del browser o della politica della pagina che della rete.
Terzo passo: confermare l’indirizzo di uscita con una richiesta nuova
Chiedi a un servizio indipendente quale indirizzo vede, dallo stesso browser che stai provando. Una scheda obsoleta, un service worker o una pagina in cache possono riportare la risposta di ieri, e confrontare una risposta nuova con ciò che mostra il sito elimina quel dubbio.
curl -s https://ifconfig.me
curl -s https://ipinfo.io/jsonEsegui questi comandi dalla macchina, non dal router, e annota l’indirizzo e il paese che ciascuno restituisce. Se entrambi riportano il paese della VPN e il sito mostra ancora la tua città natale, l’uscita non è la fonte e i candidati rimasti sono il permesso, i dati memorizzati e un percorso di fuga.
I percorsi di fuga sono la terza possibilità: un’estensione del browser con la propria pila di rete, una rotta split-tunnel che manda il sito fuori dal tunnel, o un percorso IPv6 che il tunnel non trasporta. Ognuno è visibile nella richiesta stessa, per questo il controllo dell’uscita viene prima di qualsiasi modifica alle impostazioni. Un’estensione con impostazioni proxy proprie è quella che la gente trascura, perché può aggirare il tunnel per una sola scheda.
Quarto passo: guardare cosa ha già memorizzato l’account
Revocare il permesso influisce sull’accesso futuro secondo le regole del browser e non cancella una posizione che il servizio ha già memorizzato. Una città natale memorizzata, un indirizzo di consegna o una regione del profilo restano finché l’applicazione non li aggiorna, e il sito può ancora fare una stima approssimativa dall’indirizzo di uscita.
Cerca il controllo di localizzazione del sito stesso prima di concludere che il browser sia colpevole. Molte applicazioni mantengono un selettore di regione manuale che scavalca ogni stima automatica, e un agente di supporto che legge il record dell’account vede quel valore invece della tua connessione attuale.
Dove il valore memorizzato conta, cambialo nell’account e annota la data. Questo ti dà un secondo punto dati quando la vecchia città ricompare. Uno screenshot della pagina dell’account prima della modifica vale più di una descrizione dopo.
Quinto passo: cambiare una variabile alla volta
Prova in un ordine fisso: controllo dell’uscita nuovo, permesso dell’origine, permesso della piattaforma, impostazione dell’account, poi un altro profilo del browser. Cambiare più cose insieme rende la fonte non identificabile, ed è così che una risposta di cinque minuti diventa una settimana di congetture.
Annota cosa hai cambiato e cosa ha mostrato la pagina dopo. Se la visualizzazione cambia solo in una finestra privata, la causa è uno stato memorizzato; se non cambia mai, la pagina usa una stima IP o un valore dell’account che il browser non può influenzare. Tieni il prima e il dopo nella stessa nota, perché lo schema è la prova.
Resta onesto nella conclusione: una VPN cambia l’indirizzo da cui arriva una richiesta, e l’API Geolocation è un canale separato con permesso che il tunnel non tocca. Entrambi i fatti possono essere veri contemporaneamente, e la maggior parte delle segnalazioni confuse nasce dal trattarli come alternative.