Loggas du ut från en butik när du byter VPN-server?
En ny utgångsadress tömmer inte kakburken. Bestäm först om du testar nätverksvägen, den inloggade sessionen eller lagrade webbplatsdata.
Byt VPN-utgång medan en butik är öppen i en annan flik, och varukorgen finns oftast kvar. Det är inget VPN-fel; det är webbläsaren som gör exakt det den blivit tillsagd. En kaka skickas av webbläsaren, och en ny nätverksväg ändrar inte det webbläsaren lagrar. Tre olika frågor gömmer sig bakom «webbplatsen känner fortfarande igen mig», och svaret beror på vilken du faktiskt ställer.
Tre frågor, ett symptom
För det första: känner webbplatsen igen en lagrad kaka? För det andra: känner den igen ett inloggat konto, som består oberoende av varje enskild kaka? För det tredje: känner den igen något om webbläsaren eller enheten i stället för lagrat tillstånd? Var och en har sitt eget test och sitt eget botemedel.
| What you changed | What it actually tests |
|---|---|
| VPN exit address | Whether the site treats a different network origin differently |
| Cookie jar for one site | Whether a stored identifier was doing the recognition |
| Browser profile or account | Whether identity, rather than storage, links the visits |
Det mesta av förvirringen kommer av att ändra det första och förvänta sig att det andra följer. En nätverksadress och ett webbläsarlager är två separata system som råkar användas av samma sida.
Vad en kaka faktiskt bär
HTTP-tillståndshantering, enligt RFC 6265, är medvetet enkel: servern sätter ett namn och ett värde med en omfattning, och webbläsaren skickar tillbaka dem för förfrågningar som matchar den omfattningen. Värdet kan vara en sessionsidentifierare, en inställning eller en ogenomskinlig token som servern kopplar till en kundvagnspost. Inget i mekanismen nämner klientens adress.
Det är därför vanliga inloggningar och varukorgar överlever en nätverksändring, och det är också därför de överlever den för trackers. Samma mekanism tjänar båda syftena och skiljer inte mellan dem. Det finns inget fält i protokollet för klientens adress, så det finns inget för en ny utgång att ogiltigförklara. En webbplats som ville knyta en kaka till ett nätverksursprung skulle själv behöva lägga till den logiken.
När en webbplats lämnar tillbaka en kaka slår servern upp posten som värdet pekar på. Att ändra vägen som förfrågan tog ändrar inte den uppslagningen, och det är hela förklaringen till varukorgsobservationen.
Bestäm vad ditt test mäter
Skriv innan du ändrar något ned det tillstånd du utgår från: vilken webbläsarprofil, vilket konto, vilka webbplatsdata, vilken nätverksväg. Ändra sedan exakt en av dem och observera. Ett test som ändrar utgångsadressen och webbläsarprofilen samtidigt bevisar ingenting om någon av dem.
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' https://shop.example/cart
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' --interface 198.51.100.44 https://shop.example/cartBåda kommandona återanvänder samma kakfil, och det andra tvingar fram en annan lokal källadress där värden tillåter det. Kundvagnens svar är detsamma i båda fallen eftersom servern aldrig såg en annan klientidentitet, bara en annan väg. Det är mekanismen i ett repeterbart par förfrågningar.
Om målet är att se om webbplatsen känner igen dig utan lagrat tillstånd, rensa den webbplatsens data och upprepa. Om den fortfarande känner igen dig är nästa misstänkta det inloggade kontot, en länk du följde eller webbläsarens egenskaper snarare än en kaka.
Rensa rätt tillstånd, inte nätverket
Att ta bort en webbplats lagring hör hemma i webbläsarens egna kontroller, och det loggar ofta ut dig eller återställer inställningar som en bieffekt. Det raderar inte kontot eller de poster som tjänsten redan har; de kräver tjänstens egen process.
Begränsningar mellan webbplatser tar itu med en annan del av problemet. Webbläsare kan blockera eller dela upp lagring som inbäddade tjänster annars skulle dela mellan webbplatser, medan en förstapartsinloggning fortsätter att fungera. En lyckad inloggning är därför inte bevis på att spårning mellan webbplatser fungerar.
Privata fönster är ett annat verktyg med snävare omfattning än folk förväntar sig. Webbplatser kan fortfarande sätta kakor under sessionen, och en inloggning identifierar fortfarande kontot. Det är avslutandet av den privata sessionen som kastar det tillfälliga tillståndet, vilket innebär att stänga varje privat fönster och inte en flik.
Behandla slutligen fingeravtryck som en möjlighet och inte som den första förklaringen. Enhets- och webbläsaregenskaper kan koppla ihop besök utan någon lagrad kaka, och rensning av lagring rör dem inte. Kontrollera de enkla orsakerna först, bredda sedan utredningen och anteckna vilket tillstånd du ändrade så att nästa jämförelse blir meningsfull.