Як сайти дізнаються, де ви (і як це контролювати)

Канал 1: запит дозволу (точний, за вашою згодою)

Єдиний спосіб, яким сайт отримує вашу точну позицію, — це Geolocation API браузера, тобто запит «Дозволити цьому сайту доступ до вашого місцезнаходження?». За ним операційна система поєднує сигнали GPS, Wi-Fi і мобільної мережі (див. як працює точність GPS) і віддає сторінці один набір координат, зазвичай з точністю до кількох метрів. Дві речі зазвичай оцінюють неправильно: сайт не може викликати це непомітно — дозвіл діє окремо для кожного сайту, його можна відкликати, і він видимий в адресному рядку — а «під час використання» означає саме те, що написано; фонового стеження з вкладки браузера API просто не дозволяє. Цей сайт використовує саме цей канал, коли ви натискаєте кнопку визначення місця, і координати ніколи не залишають ваш браузер: сторінки визначення розташування побудовані так, що позиція показується на боці клієнта й не логується.

Канал 2: ваша IP-адреса (грубий, автоматичний)

Кожен сервер, до якого ви звертаєтеся, бачить вашу IP-адресу — інакше він не зміг би надіслати відповідь. Комерційні бази даних зіставляють блоки IP із місцями, і саме так сайт вгадує ваше місто, взагалі нічого не питаючи. Це грубо й часто хибно: країна зазвичай правильна, місто — як пощастить, будинок — ніколи. Подивіться, що показує ваша адреса, на сторінці «Яка моя IP-адреса», а про механіку прочитайте в тексті чому розташування за IP так часто помилкове. Єдиний спосіб змінити те, що показує цей канал, — змінити вашу видиму IP, тобто скористатися VPN або Tor, бо він працює нижче за рівень налаштувань браузера. Чи справді ваш VPN вас прикриває, можна перевірити в перевірці VPN.

Канал 3: те, що ви завантажуєте (фото, файли, дописи)

Телефони за замовчуванням вписують GPS-координати в метадані фото (EXIF). Поділіться оригінальним файлом — і ви поділилися місцем зйомки, іноді з точністю до кімнати. Добра новина: великі месенджери й соцмережі вирізають EXIF під час завантаження, тож типовий витік — це передавання файлів напряму, вкладення в листах, посилання на хмару та оголошення на маркетплейсах. Наш інструмент «Де знято фото» читає EXIF повністю у вашому браузері, тож ви бачите, що видав би файл, і дає завантажити очищену копію без GPS. Експорти GPX/KML із фітнес-застосунків заслуговують на таку саму обережність — теплова карта пробіжок, що починається й закінчується біля ваших дверей, це адреса.

Цифровий відбиток: тихіший родич геолокації

Крім місцезнаходження, сайти можуть намагатися впізнати вас між візитами, поєднуючи риси, які браузер віддає без питань: розмір екрана, шрифти, рядок GPU, часовий пояс, перелік мов, особливості рендерингу canvas. Жодна риса окремо вас не ідентифікує; комбінація — часто так. Сам лише часовий пояс видає ваш регіон навіть під VPN, і це одна з перевірок, які виконує наша перевірка VPN. Запустіть перевірку приватності браузера, щоб побачити власну поверхню відбитка й дізнатися, чи не видає WebRTC вашу справжню IP-адресу, — два тести, що важать найбільше, виконуються локально у вашому браузері.

Розсудливий список налаштувань

П’ять хвилин гігієни закривають більшу частину. Перегляньте дозволи сайтів на геолокацію (Chrome: Налаштування → Конфіденційність → Налаштування сайтів → Геодані; Safari: Налаштування → Вебсайти → Геопозиція; Firefox: Налаштування → Приватність і безпека → Дозволи) і приберіть сайти, яких не впізнаєте. Позначення фото GPS-координатами налаштуйте, як вам зручно, — можна лишити його ввімкненим і натомість чистити файли перед кожним надсиланням. Якщо користуєтеся VPN, перевірте його тестами витоків вище, а не довіряйте зеленому щиту в застосунку. І радше калібруйте очікування, ніж панікуйте: канал із дозволом працює лише за вашою згодою, канал IP грубий до рівня міста, а канал завантажень — під вашим контролем. Точне, тихе, недобровільне стеження вебсайту за вашим GPS — не те, як влаштована вебплатформа.