Safari добавляет шум в приватном режиме, а с версии 26.0 ограничивает известные скрипты фингерпринтинга. Что WebKit ограничивает и что оставляет.
На вопрос «блокирует ли Safari фингерпринтинг?» однозначного ответа нет. Safari не делает всех пользователей одинаковыми, как стремится Tor Browser, и по умолчанию не добавляет шум в вызовы API на каждом сайте. Согласно собственным заметкам WebKit, у защиты два слоя: дополнительные меры в приватном режиме (с Safari 17) и ограничения для скриптов, которые Safari относит к известным скриптам фингерпринтинга (с Safari 26.0).
Главное
- По заметкам WebKit о Safari 17.0, в приватном режиме добавлен «шум в веб-API, пригодные для фингерпринтинга», и блокировка известных трекеров и фингерпринтинга.
- По заметкам WebKit о Safari 26.0, известные скрипты фингерпринтинга не могут надёжно получать данные через API: размеры экрана, hardware concurrency, список голосов SpeechSynthesis, возможности Apple Pay, чтение web audio, 2D canvas.
- Таким скриптам также запрещено записывать долгоживущие данные через скрипт и читать параметры запроса и
document.referrer. - Защита зависит от того, что скрипт распознан как известный. Нераспознанные скрипты как ограниченные не описаны.
- IP-адрес, TLS-рукопожатие и сама идентичность движка в этих заметках не затрагиваются.
Два слоя, а не один переключатель
Защиты от фингерпринтинга обычно следуют одной из двух идей. Унификация — многие пользователи возвращают одинаковые значения, как в resistFingerprinting у Firefox и Tor. Шум — вывод искажается, и у трекера нет стабильного значения, подробнее в статье про canvas-шум; браузер DuckDuckGo сочетает оба подхода.
Подход, описанный WebKit, иной: целиться в скрипты, про которые известно, что они снимают отпечаток, а обычные не трогать. Сайты меньше ломаются, но защита зависит от классификации.
Слой первый: приватный режим (Safari 17)
В заметках Safari 17.0 перечислены изменения приватного режима. По теме: блокировка известных трекеров и фингерпринтинга и шум в веб-API, пригодных для фингерпринтинга. Также блокируются известные отслеживающие параметры в ссылках, трекеры с отображением поддоменов на сторонние IP и трекеры с CNAME-маскировкой.
Как генерируется шум и в какие API он добавляется, там не сказано, поэтому мы ничего не утверждаем. Не сказано и что эти меры действуют в обычных окнах. Считайте их функцией приватного режима, пока страница WebKit не говорит иного.
Слой второй: известные скрипты (Safari 26.0)
Изменение из заметок Safari 26.0 касается только скриптов, распознанных как фингерпринтинговые:
| Ограничено | Подробный разбор |
|---|---|
| Размеры экрана | Фингерпринтинг по разрешению экрана |
| Hardware concurrency | Hardware concurrency и device memory |
| Список голосов SpeechSynthesis | Фингерпринтинг по синтезу речи |
| Чтение web audio | Аудио-фингерпринтинг |
| 2D canvas | Обнаружение canvas-фингерпринтинга |
| Возможности Apple Pay, «и другое» | — |
В формулировке WebKit такие скрипты не могут «надёжно получать доступ» к этим API. Что это значит — шум, фиксированное значение или пустой результат, — не сказано, и мы не гадаем. Есть ещё два ограничения: известные скрипты не могут создавать долгоживущие записи вроде cookie и LocalStorage и не могут читать состояние для навигационного трекинга — параметры запроса и document.referrer.
Чего подход Safari не закрывает
- Нераспознанные скрипты. Правило опирается на классификацию, поэтому скрипт, который Safari не распознал, ограниченным не описан. Очевидный пример — собственный код сайта, который никогда не попадал в списки.
- Сетевые сигналы. IP и TLS-рукопожатие видны любому серверу в любом браузере, см. TLS-фингерпринтинг.
- Идентичность движка. Сайт видит, что это WebKit, а на iPhone так у любого браузера. Мы не утверждаем, что Chrome или Firefox на iOS наследуют настройки приватности Safari: цитируемые заметки этого не говорят.
- Трекинг по состоянию — отдельный слой. Intelligent Tracking Prevention работает с cookie, хранилищем и referrer, а не с вычисляемыми отпечатками.
Важна и стабильность: отпечаток полезен трекеру, лишь пока он не меняется, а реальные отпечатки и сами «плывут» с обновлениями браузера и сменой настроек — подробнее о том, как отпечатки устаревают со временем.
Проверьте сами
Откройте нашу проверку отпечатка в обычном окне Safari, затем в приватном и сравните, какие значения доступны и меняются ли они после перезагрузки. BrowserInsight — собственный (first-party) сайт, и сбор идёт в вашем браузере, поэтому правила для «известных скриптов» к нему, скорее всего, не применяются. Инструмент показывает, что может прочитать страница, но не сообщает, активна ли защита Safari: вывод делаете вы. Основы — в руководстве по фингерпринтингу.
Часто задаваемые вопросы
Блокирует ли Safari фингерпринтинг полностью?
Нет. WebKit описывает ограничения для известных скриптов и дополнительные меры в приватном режиме, а не общую гарантию.
Включена ли защита в обычном режиме?
Ограничения Safari 26.0 в заметках не привязаны к приватному режиму; дополнения Safari 17.0 перечислены именно в разделе приватного режима.
Делает ли Safari мой отпечаток таким же, как у других?
В цитируемых заметках WebKit этого нет. Заявленная цель — не дать известным скриптам надёжно читать характеристики устройства.
