Chrome beş çerezsiz oturum boyunca tek parmak izi kimliği üretti; Brave beş farklı kimlik üretti

Test

dev.to'da yayımlanan uygulamalı bir deney dar kapsamlı bir soru soruyor: tüm çerezleri silip boş bir profille başlarsanız, bir web sitesi sizi yine tanıyabilir mi? Yazar, tarayıcıdan yedi özellik toplayan küçük bir sayfa hazırladı — bir canvas çiziminin hash'i, OfflineAudioContext render çıktısı, renk derinliği ve piksel oranıyla birlikte ekran boyutları, saat dilimi, dil listesi, bildirilen CPU çekirdek sayısı ve WebGL renderer dizisi. Bu değerler birleştirilip SHA-256 ile hash'leniyor ve ilk sekiz onaltılık karakter kısa bir kimlik oluyor; sayfa bu kimliği okunabilirlik için iki kelimelik bir takma ad olarak da gösteriyor.

Her ziyaret, sonrasında silinen geçici bir profil dizinine yönlendirilmiş kalıcı bağlamlı (persistent-context) bir başlatmayla Playwright üzerinden, localhost'tan sunulan sayfayla çalıştırıldı. Donanım, macOS 26.6.2 üzerinde 16 GB RAM'li bir Apple M1 Pro'ydu; test edilen sürümler Chrome 155.0.8059.40 ve Brave 155.1.97.56 idi ve ikisi de headless çalışıyordu.

Sonuç

Chrome, depolanmış verisi olmayan boş bir profille başlayan beş ziyaretin beşinde de aynı kimliği döndürdü — "Bold Llama" olarak gösterilen e08e953c. Varsayılan ayarlarıyla Brave, beş fresh-profile ziyaretinde beş farklı kimlik üretti; aynı profil yeniden kullanılıp tarayıcı her seferinde yeniden başlatıldığında da beş farklı kimlik daha üretti. Yazar ayrıca temiz bir profilde Brave'in Shields ayarlarını kontrol etti ve "Block fingerprinting" anahtarının zaten açık olduğunu gördü.

Parça parça döküm bu farkı açıklıyor. Chrome'da yedi girdinin tamamı her çalıştırmada tek bir değer tutuyordu. Brave'de üç girdi değişti — canvas hash'i, audio toplamı ve 7, 4, 8, 7 ve 7 olarak bildirilen CPU çekirdek sayısı — diğer dördü ise sabit kaldı.

Tarayıcılar neden farklı

Yazıda belirtildiği gibi bu yedi değerin hiçbiri tarayıcı profilinde yaşamıyor. Bunlar altlarındaki donanımı ve sistemi tanımlıyor, dolayısıyla yepyeni bir profil bunları eski bir profil gibi aynen okuyor. Çerez, bir sitenin diskinize yazdığı veridir; parmak izi ise bir site sorduğunda makinenizin verdiği cevaptır.

Yazıda atıfta bulunulan parmak izi belgelerine göre Brave'in savunması, okumaları engellemek değil, her oturum, site (eTLD+1) ve depolama alanı için ayrı ayrı tohumlanmış küçük rastgele sapmalar eklemektir. Kimlik yedi parça üzerinde bir hash olduğu için, tek bir hareketli girdi bile onu bozar — ve üçü hareket etti. Oturum başına tohumla tutarlı olarak, tek bir Brave oturumu içinde sayfayı yeniden yüklemek her seferinde aynı kimliği korudu; yalnızca tarayıcı başlatmak yeni bir kimlik üretti.

Yazı bu bulguyu rıza tartışmasına da bağlıyor. Mozilla'dan Tom Ritter, Kasım 2025 tarihli bir yazıda parmak izinin "çerezler engellendiğinde ya da özel gezinmedeyken bile web sitelerinin sizi tanımasını sağladığını" yazdı; İngiltere düzenleyicisi ICO ise Aralık 2024'te, 16 Şubat 2025'ten itibaren Google'ın reklam ürünlerinde parmak izini artık yasaklamadığını belirtti — Google daha önce kullanıcıların "bunlara çerezlerde olduğu gibi kolayca rıza veremeyeceğini" söylemişti.

Uyarılar

Yazar sınırlar hakkında açık sözlü: tek makine, çalıştırma başına beş ölçüm, varsayılan başlatma bayraklarıyla headless mod (bu yüzden iki tarayıcı da fiziksel ekranla eşleşmeyen ekran boyutları bildirdi) ve gerçek bir reklam takipçisi yerine yedi sinyalli oyuncak bir sayfa. Gerçek takipçiler daha fazla sinyal katıyor; Brave'in gizlemediği IP adresi dahil. Test Chrome'un kimliğinin kararlı olduğunu gösteriyor, benzersiz olduğunu değil — iki özdeş Mac aynı değeri üretebilirdi. Katı korumalı Firefox test edilmedi. Planlanan devam adımları arasında görünür pencereyle bir çalıştırma ve çakışmaları kontrol etmek için ikinci özdeş bir Mac var.

Neden önemli

Deney, soyut bir gizlilik tartışmasını yeniden üretilebilir bir şeye dönüştürüyor: bu kurulumda, çerezleri silmek, fresh bir profil kullanmak ya da depolamayı temizlemek Chrome'da sayfanın görebildiği hiçbir şeyi değiştirmedi. Çerez odaklı rıza akışları ve çerez temizleme alışkanlıkları bu kanalı hiç ele almıyor; düzenleyicilerin bunu işaret etmesinin nedeni de bu. Brave alternatifi gösteriyor — hash'in her oturumda çökmesi için yeterli sayıda girdiyi rastgeleleştirmek — ama bu, oturumlar arası izlenemezlik sağlar, anonimlik değil; çünkü IP adresi gibi sinyaller durmaya devam ediyor. Bir tarayıcının gizlilik iddialarını değerlendiren herkes için, bir localhost sayfası ve beş ziyaret, gerçekte ne açığa çıkardığını ölçmek için yeterli.