Skąd strony wiedzą, gdzie jesteś

Kanał 1: prośba o zgodę (dokładny, tylko gdy pozwolisz)

Jedyny sposób, w jaki strona internetowa poznaje Twoją dokładną pozycję, to interfejs Geolocation API przeglądarki — czyli pytanie „Czy zezwolić tej witrynie na dostęp do Twojej lokalizacji?”. Za nim system operacyjny łączy sygnały GPS, Wi-Fi i sieci komórkowej (zobacz, jak działa dokładność GPS) i podaje stronie jeden zestaw współrzędnych, zwykle z dokładnością do kilku metrów. Dwie rzeczy ludzie oceniają błędnie: strona nie może wywołać tego po cichu — zgoda jest osobna dla każdej witryny, odwoływalna i widoczna na pasku adresu — a „podczas używania” naprawdę znaczy to, co znaczy; śledzenie w tle z karty przeglądarki nie jest czymś, na co API pozwala. Ta strona korzysta dokładnie z tego kanału, gdy naciśniesz przycisk lokalizacji, a współrzędne nigdy nie opuszczają Twojej przeglądarki: strony z wynikami są zbudowane tak, że pozycja wyświetla się po stronie klienta, a nie trafia do logów.

Kanał 2: Twój adres IP (zgrubny, automatyczny)

Każdy serwer, z którym się łączysz, widzi Twój adres IP — musi go widzieć, żeby odesłać odpowiedź. Komercyjne bazy danych przypisują bloki adresów IP do miejsc i tak właśnie strona zgaduje Twoje miasto, bez żadnego pytania o zgodę. Jest to zgrubne i często błędne: zwykle trafia na poziomie kraju, różnie bywa na poziomie miasta, a nigdy nie schodzi do pojedynczego domu. Sprawdź, co ujawnia Twoje IP, na stronie „jakie jest moje IP”, a po mechanikę sięgnij do tekstu o tym, dlaczego lokalizacja IP tak często jest błędna. Jedyny sposób, by zmienić to, co pokazuje ten kanał, to zmienić swój widoczny adres IP — VPN albo Tor — bo działa on poniżej poziomu ustawień przeglądarki. To, czy Twój naprawdę Cię maskuje, sprawdzisz w testerze VPN.

Kanał 3: to, co wysyłasz (zdjęcia, pliki, posty)

Telefony domyślnie zapisują współrzędne GPS w metadanych zdjęcia (EXIF). Udostępniasz oryginalny plik — udostępniasz też miejsce, w którym powstał, czasem z dokładnością do pokoju. Dobra wiadomość: duże komunikatory i serwisy społecznościowe usuwają EXIF przy wysyłaniu, więc typowy wyciek to bezpośrednie przesyłanie plików, załączniki w e-mailach, linki do chmury i ogłoszenia sprzedażowe. Nasze narzędzie lokalizacja zdjęcia odczytuje EXIF w całości w Twojej przeglądarce, więc widzisz, co ujawniłby plik, i pobiera oczyszczoną kopię bez danych GPS. Eksporty GPX/KML z aplikacji sportowych wymagają tej samej ostrożności — mapa cieplna biegów, która zaczyna się i kończy pod Twoimi drzwiami, to adres.

Cyfrowy odcisk palca: cichszy kuzyn lokalizacji

Poza lokalizacją strony mogą próbować rozpoznać Ciebie między wizytami, łącząc cechy, które przeglądarka udostępnia bez pytania — rozmiar ekranu, czcionki, nazwę GPU, strefę czasową, listę języków, drobne różnice w rysowaniu canvas. Żadna pojedyncza cecha Cię nie identyfikuje; ich kombinacja często tak. Sama strefa czasowa zdradza Twój region nawet zza VPN-a i jest jednym z testów, które wykonuje nasz tester VPN. Uruchom test prywatności przeglądarki, aby zobaczyć swój cyfrowy odcisk palca i to, czy WebRTC ujawnia Twoje prawdziwe IP — dwa najważniejsze testy, wykonywane lokalnie w Twojej przeglądarce.

Rozsądna lista ustawień do sprawdzenia

Pięć minut higieny cyfrowej załatwia większość sprawy. Przejrzyj uprawnienia stron do lokalizacji (Chrome: Ustawienia → Prywatność → Ustawienia witryn → Lokalizacja; Safari: Ustawienia → Witryny → Lokalizacja; Firefox: Ustawienia → Prywatność & bezpieczeństwo → Uprawnienia) i usuń te, których nie kojarzysz. Znakowanie GPS w aparacie ustaw według własnych upodobań — możesz je zostawić włączone i czyścić dane przy każdym udostępnieniu. Jeśli korzystasz z VPN, sprawdź go testami wycieków opisanymi wyżej, zamiast ufać zielonej tarczy w aplikacji. I zamiast panikować, wykalibruj oczekiwania: kanał uprawnień działa tylko za Twoją zgodą, kanał IP sięga najwyżej miasta, a to, co wysyłasz, masz pod kontrolą. Dokładne, ciche, wymuszone śledzenie Twojego GPS przez stronę internetową nie jest czymś, na co platforma internetowa pozwala.