Vas menjava strežnika VPN odjavi iz trgovine?
Nov izhodni naslov ne izprazni kozarca piškotkov. Najprej se odločite, ali preizkušate omrežno pot, prijavljeno sejo ali shranjene podatke spletnega mesta.
Zamenjajte izhod VPN, medtem ko je trgovina odprta v drugem zavihku, in košarica je običajno še vedno tam. To ni napaka VPN; to je brskalnik, ki dela natanko to, kar mu je bilo rečeno. Piškotek pošlje brskalnik in nova omrežna pot ne spremeni tega, kar brskalnik shranjuje. Za besedno zvezo »spletno mesto me še pozna« se skrivajo tri različna vprašanja, odgovor pa je odvisen od tega, katero dejansko postavljate.
Tri vprašanja, en simptom
Prvo: ali spletno mesto prepozna shranjeni piškotek? Drugo: ali prepozna prijavljen račun, ki vztraja neodvisno od katerega koli posameznega piškotka? Tretje: ali prepozna nekaj o brskalniku ali napravi namesto shranjenega stanja? Vsako ima svoj test in svoje zdravilo.
| What you changed | What it actually tests |
|---|---|
| VPN exit address | Whether the site treats a different network origin differently |
| Cookie jar for one site | Whether a stored identifier was doing the recognition |
| Browser profile or account | Whether identity, rather than storage, links the visits |
Večina zmede nastane, ko spremenite prvo in pričakujete, da bo sledilo drugo. Omrežni naslov in shramba brskalnika sta dva ločena sistema, ki ju slučajno uporablja ista stran.
Kaj piškotek dejansko nosi
Upravljanje stanja HTTP, kot ga določa RFC 6265, je namerno preprosto: strežnik nastavi ime in vrednost z obsegom, brskalnik pa ju vrne za zahteve, ki se ujemajo s tem obsegom. Vrednost je lahko identifikator seje, nastavitev ali neprozoren žeton, ki ga strežnik preslika v zapis košarice. Nič v mehanizmu ne omenja naslova odjemalca.
Prav ta zasnova je razlog, da običajne prijave in košarice preživijo spremembo omrežja, in tudi razlog, da jo preživijo pri sledilnikih. Isti mehanizem služi obema namenoma in med njima ne razlikuje. V protokolu ni polja za naslov odjemalca, zato novemu izhodu ni česa razveljaviti. Spletno mesto, ki bi hotelo piškotek vezati na omrežni izvor, bi moralo to logiko dodati samo.
Ko spletno mesto vrne piškotek, strežnik poišče zapis, na katerega kaže ta vrednost. Sprememba poti, po kateri je šla zahteva, tega iskanja ne spremeni, in to je celotna razlaga opažanja z nakupovalno košarico.
Odločite se, kaj vaš test meri
Preden karkoli spremenite, zapišite začetno stanje: kateri profil brskalnika, kateri račun, kateri podatki spletnega mesta, katera omrežna pot. Nato spremenite natanko enega od teh in opazujte. Test, ki hkrati spremeni izhodni naslov in profil brskalnika, ne dokaže ničesar o nobenem od njiju.
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' https://shop.example/cart
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' --interface 198.51.100.44 https://shop.example/cartOba ukaza znova uporabita isto datoteko piškotkov, drugi pa vsili drug lokalni izvorni naslov tam, kjer to gostitelj dovoljuje. Odgovor košarice je v obeh primerih enak, ker strežnik nikoli ni videl drugačne identitete odjemalca, le drugačno pot. To je mehanizem v enem ponovljivem paru zahtev.
Če je cilj videti, ali vas spletno mesto prepozna brez shranjenega stanja, počistite podatke tega mesta in ponovite. Če vas še vedno prepozna, so naslednji sumljivci prijavljen račun, povezava, ki ste ji sledili, ali značilnosti brskalnika in ne piškotek.
Počistite pravo stanje, ne omrežja
Odstranjevanje shrambe enega spletnega mesta sodi med lastne kontrolnike brskalnika in vas pogosto kot stranski učinek odjavi ali ponastavi nastavitve. Ne izbriše računa ali zapisov, ki jih storitev že ima; ti potrebujejo lastni postopek storitve.
Omejitve med spletnimi mesti obravnavajo drug del težave. Brskalniki lahko blokirajo ali razdelijo shrambo, ki bi jo vdelane storitve sicer delile med spletnimi mesti, medtem ko prijava prve strani še naprej deluje. Uspešna prijava torej ni dokaz, da sledenje med spletnimi mesti deluje.
Zasebna okna so drugo orodje z ožjim obsegom, kot ga ljudje pričakujejo. Spletna mesta lahko med sejo še vedno nastavijo piškotke in prijava še vedno identificira račun. Prav konec zasebne seje zavrže začasno stanje, kar pomeni zapreti vsako zasebno okno in ne enega zavihka.
Nazadnje, prstni odtis obravnavajte kot možnost in ne kot prvo razlago. Značilnosti naprave in brskalnika lahko povežejo obiske brez kakršnega koli shranjenega piškotka, čiščenje shrambe pa se jih ne dotakne. Najprej preverite preproste vzroke, nato razširite preiskavo in si zapišite, katero stanje ste spremenili, da bo naslednja primerjava smiselna.