Dlaczego witryna nadal zna Twoje miasto mimo VPN
Witryna może niezależnie używać uprawnienia do lokalizacji w przeglądarce i Twojego publicznego IP: sprawdź uprawnienie dla źródła, ustawienie systemu i zapisane miasto.
Dwa mechanizmy mogą umieścić miasto na ekranie i tylko jeden z nich dba o to, skąd wychodzi Twój VPN. Geolocation API przeglądarki zwraca pozycję urządzenia, gdy strona ma uprawnienie, a wyszukiwanie IP szacuje region na podstawie adresu, z którego przyszło żądanie. Witryna pokazująca Twoje prawdziwe miasto, gdy tunel działa w innym kraju, zwykle używa pierwszego mechanizmu albo odczytuje miasto zapisane miesiące temu. Pięć kroków rozdziela te przypadki.
Pierwszy krok: ustal, który mechanizm może odpowiedzieć
Zacznij od pytania, co strona może w ogóle wiedzieć. Pozycja urządzenia wymaga wywołania API i decyzji o uprawnieniu, i daje dokładną współrzędną. Szacowanie po IP nie wymaga niczego od użytkownika i daje co najwyżej miasto, często błędne. Zapisana preferencja konta nie wymaga żadnego z nich i przetrwa każdą zmianę sieci.
Te trzy źródła wyjaśniają prawie każde zgłoszenie. Witryna z mapami, która centruje na Twojej ulicy, używa API. Sklep, który wita Cię w złym języku, używa szacowania po IP. Serwis informacyjny, który po przeprowadzce nadal pokazuje Twoje rodzinne miasto, używa tego, co zapisało Twoje konto.
| What the page shows | Likely source |
|---|---|
| Street-level accuracy | Device position from the Geolocation API |
| City or region only | IP geolocation of the exit address |
| Same city for months | Stored account preference |
| Different result in a private window | Stored permission or cached state |
Drugi krok: odczytaj uprawnienie dokładnie dla tego źródła
Przeglądarki pamiętają decyzję o uprawnieniu dla każdego źródła, więc witryna, którą pozwoliłeś rok temu, otwiera się bez nowego pytania. Przejrzyj wpis lokalizacji dla tej konkretnej witryny w ustawieniach witryn przeglądarki, a nie globalną wartość domyślną, ponieważ ustawienie globalne decyduje tylko o tym, co się dzieje, gdy nic nie jest zapisane.
Następnie sprawdź system operacyjny. Przeglądarka na nowoczesnym komputerze lub telefonie potrzebuje też uprawnienia platformy do lokalizacji, a odmowa uprawnienia platformy powoduje błąd API nawet wtedy, gdy witryna jest dozwolona. Dostępna pozycja może pochodzić z usług platformy, które nie mają nic wspólnego z tunelem.
Dwa warunki techniczne wyjaśniają większość awarii, które wyglądają jak problemy z VPN. API wymaga bezpiecznego kontekstu, więc zwykła strona HTTP nie może go w ogóle użyć, a osadzone ramki mogą być blokowane przez Permissions Policy strony. Odmówione żądanie jest więc znacznie częściej wynikiem przeglądarki lub polityki strony niż sieci.
Trzeci krok: potwierdź adres wyjścia nowym żądaniem
Zapytaj niezależną usługę, jaki adres widzi, z tej samej przeglądarki, którą testujesz. Nieaktualna karta, service worker albo strona z pamięci podręcznej mogą zgłosić wczorajszą odpowiedź, a porównanie świeżej odpowiedzi z tym, co pokazuje witryna, usuwa tę wątpliwość.
curl -s https://ifconfig.me
curl -s https://ipinfo.io/jsonUruchom je z komputera, nie z routera, i zapisz adres oraz kraj, który zwraca każdy z nich. Jeśli oba zgłaszają kraj VPN, a witryna nadal pokazuje Twoje rodzinne miasto, wyjście nie jest źródłem, a pozostałe możliwości to uprawnienie, zapisane dane i ścieżka wycieku.
Ścieżki wycieku to trzecia możliwość: rozszerzenie przeglądarki z własnym stosem sieciowym, trasa split-tunnel, która wysyła witrynę poza tunel, albo ścieżka IPv6, której tunel nie przenosi. Każda jest widoczna w samym żądaniu, dlatego kontrola wyjścia poprzedza każdą zmianę ustawień. Rozszerzenie z własnymi ustawieniami proxy jest tym, które ludzie przeoczają, bo może ominąć tunel dla jednej karty.
Czwarty krok: sprawdź, co konto już zapisało
Odwołanie uprawnienia wpływa na przyszły dostęp zgodnie z regułami przeglądarki i nie usuwa pozycji, którą usługa już zapisała. Zapisane rodzinne miasto, adres dostawy lub region profilu pozostają, dopóki aplikacja ich nie zaktualizuje, a witryna nadal może oszacować przybliżoną lokalizację na podstawie adresu wyjścia.
Poszukaj własnej kontroli lokalizacji w witrynie, zanim uznasz, że winna jest przeglądarka. Wiele aplikacji trzyma ręczny wybór regionu, który unieważnia każde automatyczne szacowanie, a pracownik wsparcia czytający rekord konta widzi tę wartość, a nie Twoje bieżące połączenie.
Tam, gdzie zapisana wartość ma znaczenie, zmień ją na koncie i zapisz datę. To daje drugi punkt danych, gdy stare miasto pojawi się ponownie. Zrzut ekranu strony konta przed zmianą jest wart więcej niż opis po niej.
Piąty krok: zmieniaj jedną zmienną naraz
Testuj w ustalonej kolejności: świeża kontrola wyjścia, uprawnienie źródła, uprawnienie platformy, ustawienie konta, potem inny profil przeglądarki. Zmiana kilku rzeczy naraz czyni źródło nierozpoznawalnym, i tak odpowiedź na pięć minut zamienia się w tydzień spekulacji.
Zapisz, co zmieniłeś i co strona pokazała potem. Jeśli wyświetlanie zmienia się tylko w oknie prywatnym, przyczyną jest zapisany stan; jeśli nigdy się nie zmienia, strona używa szacowania po IP lub wartości konta, na którą przeglądarka nie ma wpływu. Trzymaj przed i po w tej samej notatce, bo wzorzec jest dowodem.
Zachowaj uczciwość we wniosku: VPN zmienia adres, z którego przychodzi żądanie, a Geolocation API to osobny kanał wymagający uprawnienia, którego tunel nie dotyka. Oba fakty mogą być prawdziwe jednocześnie, a większość mylących zgłoszeń bierze się z traktowania ich jako alternatyw.