2026'da tarayıcı parmak izi: JavaScript sinyalleri soluyor, TLS ve WebGL ayakta kalıyor

dev.to'da yayımlanan teknik bir denetim, tarayıcı parmak izleme (fingerprinting) yönteminin 2026'da hâlâ işlevsel olduğunu, ancak kullanılabilir sinyal üreten tekniklerin neredeyse tamamen değiştiği sonucuna varıyor. Yazarına göre Chrome'un Privacy Sandbox'ı, parmak izi kütüphanelerinin bir zamanlar bel bağladığı sinyallerin yaklaşık yarısını dondurmuş veya kaldırmış durumda; Firefox ve Safari artık gürültü enjekte ediyor veya API'leri kısıtlıyor, Brave ise parmak izleme girişlerini doğrudan engelliyor — tüm bunlar olurken headless otomasyon framework'leri de hayatta kalanları taklit etekte çok daha başarılı hale gelmiş durumda. Denetim, tekrarlanmaya değer bir uyarıyla başlıyor: bir parmak izi kalıcı bir tarayıcılar arası kimlik değildir ve tek bir parmak izi, ziyaretçinin insan mı yoksa otomatik mi olduğunu kanıtlamaz.

Ölen sinyaller

Listenin başında user-agent string'i geliyor. Yazarın belirttiğine göre, Chrome 107'nin 2022 sonunda gelmesinden bu yana bu string fiilen donmuş durumda: sürüm numarası hâlâ artıyor, ancak işletim sistemi verisi genel bir Windows NT 10.0 değerine sabitlenmiş ve platform ayrıntıları artık küçük sürümleri takip etmiyor. Firefox ve Safari de aynı yolu izleyince geriye yalnızca tarayıcı ailelerini ayırt eden, başka pek bir şey söylemeyen bir string kalmış — üstelik otomasyon framework'leri bu string'i istedikleri gibi ayarlayabildiği için bot tespiti açısından bir yük haline gelmiş.

Eklenti ve MIME tipi sayımı da aynı şekilde bitmiş durumda. Tarayıcıların bir zamanlar Flash veya Java gibi kurulu eklentileri raporladığı yerde, Chrome ve Firefox artık sabit ve genel bir dizi döndürüyor. navigator.platform da gerçek mimariden bağımsız olarak Win32 gibi değerlere sabitlenmiş; onun yerine geçmesi düşünülen navigator.userAgentData.platform ise bilinçli olarak daha az bilgi taşıyacak ve ayrıntılı değerleri bir izin isteğinin arkasına yerleştirecek şekilde tasarlanmış.

Zayıflamış ama kullanılabilir

Canvas parmak izleme — karmaşık bir sahne çizip piksel verisini geri okuyarak hash'lemek — yazarın tahminine göre tarayıcıların yaklaşık %80'inde hâlâ çalışıyor, ancak tarayıcıdan tarayıcıya keskin farklar var. Chrome kararlı, cihaza özgü çıktı veriyor. Firefox, 113. sürümden bu yana privacy.resistFingerprinting ayarı üzerinden gürültü enjekte ediyor; bu ayar varsayılan olarak kapalı ama katı modda ve gizli pencerelerde etkin — etkinleştirildiğinde her sayfa yüklemesinde farklı bir hash üretiyor. Safari ise minimum düzeyde canvas koruması sunuyor. Brave varsayılan olarak agresif biçimde rastgeleleştirme yapıyor ve bu da kendi kullanıcılarına karşı tekniği tamamen etkisiz kılıyor.

Font sayımı zayıflamış durumda; çünkü işletim sistemleri giderek benzer varsayılan font setleri sunuyor, web fontları sistem fontu render'ının yerini alıyor ve gizlilik ayarları sabit listeler döndürüyor. Bu teknik Windows'u macOS'ten, macOS'i Linux'tan hâlâ ayırabiliyor ama ötesinde pek değil. Ekran ve görüntüleme özellikleri artık düşük değerli: denetime göre 1× ölçekte 1920×1080 bir ekran on milyonlarca cihazı tanımlıyor ve viewport boyutu Playwright ya da Puppeteer ile tek satırda sahtelenebiliyor.

Hâlâ çalışanlar

JavaScript ile erişilebilen teknikler arasında en güçlü destek WebGL'e geliyor. Maskesi kaldırılmış renderer string'leri belirli GPU modellerini tanımlıyor ve bir 3B sahne render etmek, grafik mimarilerine göre değişen piksel çıktısı üretiyor. Yazar, üreticilerin WebGL'i kısıtlamakta tereddüt ettiğini savunuyor; çünkü bunu yapmak oyunları, veri görselleştirmesini ve haritalama uygulamalarını bozuyor ve görünür gürültü enjeksiyonu ise bunları tümüyle kırardı. Bot tespiti açısından teknik özellikle etkili: bulut sanal makinesindeki headless Chrome genellikle SwiftShader ya da llvmpipe gibi bir sanal GPU bildiriyor ve bu, gerçek tüketici donanımından hemen ayırt ediliyor; sahtecilik servisleri ise gerçek bir GPU'nun açığa çıkardığı parametre setinin tamamını yeniden üretmekte zorlanıyor.

AudioContext parmak izleme de ayakta; ses donanımından ve sürücü yığınından kaynaklanan kayan nokta örnekleme farklarından yararlanıyor.

Ağ katmanına geçiş

Denetimin ortaya koyduğu en net eğilim, dayanıklılığın tarayıcının API yüzeyinin altına doğru göç etmesi. JA4 ile TLS parmak izlemesi tüm sinyallerin en güçlüsü olarak değerlendiriliyor — yüksek entropili ve JavaScript'ten fiilen sahtelenemez, gizlilik eklentilerine ve stealth araçlarına görünmez. HTTP/2 ayar kareleri orta düzey entropi ve yüksek dayanıklılık sunuyor ve hâlâ yeterince kullanılmıyor; TCP/IP yığın özellikleri ise niş ama dayanıklı bir konum işgal ediyor.

Neden önemli

Dolandırıcılık veya bot azaltma çözümleri geliştiren ekipler için pratik çıkarım şu: iki yıl öncesinden kalan öneriler artık güvenilmez; ucuz JavaScript sinyalleri öldü ya da gürültülendi ve hayatta kalanlar tek tek güvenilmek yerine birleşik skorlar halinde birleştirilmek zorunda. Gizlilik mühendisliği açısından ise denetim rahatsız edici bir sonuca işaret ediyor — ne kadar agresif olursa olsun istemci tarafı önlemler ağ katmanı parmak izlerine ulaşamıyor, dolayısıyla silah yarışının sonraki aşaması canvas pikselleri yerine TLS ve HTTP/2 özellikleri üzerinde oynanacak. Yazı dev.to'da tek bir uygulayıcının kaleme aldığı bir gönderi olduğundan, yüzde tahminleri bağımsız ölçülmüş veri değil yazarın değerlendirmesi olarak okunmalı.