Tracking, cookies en fingerprinting

Cookies van derden worden ingesteld door andere domeinen dan het domein dat je bezoekt — meestal advertentienetwerken, aanbieders van analysediensten of widgets voor sociale media. Ze volgen je op elke website die hun bronnen bevat.

Grote browsers schaffen cookies van derden geleidelijk af.

Belangrijke beveiligingskenmerken van cookies:

• HttpOnly — voorkomt toegang vanuit JavaScript (tegen XSS)
• Secure — wordt alleen via HTTPS verzonden
• SameSite=Strict/Lax — voorkomt CSRF-aanvallen
• Max-Age/Expires — beperkt de sessieduur

Een trackingpixel is een transparante afbeelding van 1x1 die in e-mails of webpagina's is ingebed. Wanneer de afbeelding wordt geladen, stuurt deze het IP-adres van de gebruiker en de laadtijd naar de volger. E-mailprogramma's die afbeeldingen automatisch laden, onthullen wanneer e-mails worden geopend en vanaf welke locatie.

Web-API's zoals localStorage en sessionStorage stellen websites in staat gegevens in de browser op te slaan. In tegenstelling tot cookies worden deze gegevens niet automatisch naar de server verzonden en kunnen ze meer gegevens bevatten. localStorage blijft na het sluiten van de browser bestaan totdat je het expliciet wist.

Browserfingerprinting identificeert gebruikers zonder cookies door unieke eigenschappen van de browser te combineren:

• User-agenttekenreeks
• Schermresolutie en kleurdiepte
• Geïnstalleerde lettertypen en plug-ins
• Uitvoer van canvas- en WebGL-rendering
• Tijdzone- en taalinstellingen

Elke combinatie is zeer uniek — vaak betrouwbaarder dan cookies.

Canvasfingerprinting tekent verborgen afbeeldingen in een HTML-canvas-element. Verschillende combinaties van GPU's en stuurprogramma's renderen tekst net iets anders. De hash van de pixelgegevens identificeert het apparaat uniek zonder cookies in te stellen.

Maatregelen tegen tracking:

• Gebruik Firefox met Enhanced Tracking Protection
• uBlock Origin met blokkeerlijsten voor tracking
• Privacy Badger voor blokkeren op basis van leergedrag
• Tor Browser voor maximale anonimiteit
• Schakel JavaScript uit op gevoelige websites (blokkeert browserfingerprinting)

Tor Browser maakt alle waarden voor browserfingerprinting gelijk voor gebruikers — iedereen ziet er hetzelfde uit. Het verkeer wordt bovendien via drie knooppunten geleid, waardoor je IP-adres verborgen blijft. Nadeel: een aanzienlijke prestatiedaling en sommige websites blokkeren Tor-uitgangsknooppunten.

De GDPR (EU) en de ePrivacy Directive vereisen toestemming voordat niet-essentiële cookies mogen worden geplaatst. Daar komen cookiebanners vandaan. Ondanks deze banners is de handhaving inconsistent en gebruiken veel websites misleidende ontwerppatronen om gebruikers ertoe aan te zetten alle cookies te accepteren.

Websites volgen gebruikers via cookies van de eerste partij en cookies van derden, trackingpixels, localStorage en browserfingerprinting. Fingerprinting is bijzonder hardnekkig: er zijn geen cookies voor nodig en het blijft actief nadat de cache is gewist. Bescherming hiertegen omvat ETP (Firefox), uBlock Origin, Privacy Badger en Tor Browser voor situaties waarin een hoge mate van privacy nodig is.