Come i siti sanno dove sei

Canale 1: la richiesta di autorizzazione (precisa, con il tuo consenso)

L'unico modo in cui un sito ottiene la tua posizione precisa è l'API di geolocalizzazione del browser — la richiesta «Consentire a questo sito di accedere alla tua posizione?». Dietro di essa il sistema operativo combina i segnali GPS, Wi-Fi e della rete cellulare (vedi come funziona la precisione del GPS) e passa alla pagina una sola serie di coordinate, di solito precisa a pochi metri. Due cose vengono valutate male: un sito non può attivarla di nascosto — l'autorizzazione vale per un singolo sito, è revocabile ed è visibile nella barra degli indirizzi — e «durante l'uso» significa esattamente questo; il tracciamento in background da una scheda del browser non è una cosa che l'API permetta. Questo sito usa proprio questo canale quando premi il pulsante di localizzazione, e le coordinate non lasciano mai il tuo browser: le pagine di consultazione sono costruite in modo che la posizione venga mostrata lato client e non registrata.

Canale 2: il tuo indirizzo IP (approssimativo, automatico)

Ogni server che contatti vede il tuo indirizzo IP — deve vederlo, altrimenti non può inviarti la risposta. Database commerciali associano i blocchi di IP a dei luoghi, ed è così che un sito indovina la tua città senza alcuna richiesta. È un dato grossolano e spesso sbagliato: di solito corretto a livello di paese, incerto a livello di città, mai a livello di abitazione. Controlla cosa rivela il tuo IP sulla pagina Qual è il mio IP e leggi perché la posizione IP sbaglia così spesso per capirne il meccanismo. L'unico modo per cambiare ciò che mostra questo canale è cambiare l'IP con cui ti presenti — una VPN o Tor — perché si trova al di sotto delle impostazioni del browser. Per sapere se la tua ti maschera davvero c'è la verifica VPN.

Canale 3: quello che carichi (foto, file, post)

Gli smartphone inseriscono per impostazione predefinita le coordinate GPS nei metadati delle foto (EXIF). Se condividi il file originale, condividi anche il luogo dello scatto — a volte fino alla stanza. La buona notizia: i principali servizi di messaggistica e i social rimuovono l'EXIF al caricamento, quindi la fuga più comune sono i trasferimenti diretti di file, gli allegati delle email, i link al cloud e le inserzioni sui marketplace. Il nostro strumento per la posizione delle foto legge l'EXIF di una foto interamente nel tuo browser, così vedi cosa rivelerebbe un file, e scarica una copia ripulita senza il GPS. Le esportazioni GPX/KML dalle app per il fitness meritano la stessa prudenza — una mappa di calore delle corse che parte e finisce davanti a casa tua è un indirizzo.

Impronta digitale: la cugina silenziosa della posizione

Oltre alla posizione, i siti possono provare a riconoscere te da una visita all'altra combinando i tratti che il browser espone liberamente — dimensioni dello schermo, font, stringa della GPU, fuso orario, elenco delle lingue, particolarità del rendering su canvas. Nessun tratto da solo ti identifica; la combinazione spesso sì. Il solo fuso orario rivela la tua regione anche dietro una VPN, ed è uno dei controlli previsti dalla nostra verifica VPN. Fai il test privacy del browser per vedere quanto è ampia la tua impronta digitale e se WebRTC rivela il tuo IP reale — i due test che contano di più, fatti in locale nel tuo browser.

Una checklist sensata per le impostazioni

Cinque minuti di igiene digitale coprono quasi tutto. Passa in rassegna le autorizzazioni alla posizione dei siti (Chrome: Impostazioni → Privacy e sicurezza → Impostazioni siti → Posizione; Safari: Impostazioni → Siti web → Posizione; Firefox: Impostazioni → Privacy e sicurezza → Permessi) e rimuovi i siti che non riconosci. Imposta come preferisci la geolocalizzazione della fotocamera — puoi lasciarla attiva e togliere i dati prima di ogni condivisione. Se usi una VPN, verificala con i test di leak qui sopra invece di fidarti dello scudo verde dell'app. E calibra invece di allarmarti: il canale dell'autorizzazione passa dal tuo consenso, il canale IP è grossolano quanto una città e il canale dei caricamenti è nelle tue mani. Che un sito segua il tuo GPS in modo preciso, silenzioso e senza il tuo consenso non è come funziona la piattaforma web.