fbclid, gclid и msclkid — идентификаторы клика в ссылках. Что они фиксируют, почему блокировка cookie не помогает и что удаляют Safari и Brave.
Вы переходите по ссылке из ленты, и в адресе открывшейся страницы появляется длинный хвост: ?fbclid=IwAR… или ?gclid=Cj0K…. Вы его не вводили, а без него страница выглядит точно так же. Что это такое и следит ли он за вами? Коротко: да, именно для этого он и нужен. В статье разберём, что такое click ID, почему они работают даже при заблокированных cookie, что с ними делают браузеры и когда их можно спокойно удалять.
Главное
fbclid,gclidиmsclkid— идентификаторы клика. Их добавляют к ссылке соответственно Meta (Facebook), Google Ads и Microsoft Ads, чтобы платформа могла связать визит на другом сайте с кликом, который к нему привёл.- Это не то же самое, что теги
utm_. Тегutm_campaign=springодинаков у всех, кто перешёл по этой кампании. Click ID привязан к одному клику, поэтому средства защиты приватности, такие как фильтр Brave, обращаются с ними по-разному. - Они находятся в URL, а не в хранилище. Блокировка сторонних cookie и разделение хранилища не затрагивают идентификатор, который передаётся в самом адресе.
- Некоторые браузеры уже их удаляют. Brave убирает click ID из своего списка в межсайтовых запросах; Safari в приватном режиме блокирует известные отслеживающие параметры запроса и ограничивает то, что известные скрипты фингерпринтинга могут прочитать из URL.
- Удалить параметр перед отправкой ссылки обычно безопасно, но не всегда: некоторые сайты хранят в строке запроса действительно нужные данные.
Что такое click ID
Когда вы кликаете по рекламе или по ссылке, которой поделились внутри платформы, та может переписать адрес назначения, добавив в него токен, похожий на случайный набор символов:
| Параметр | Кто добавляет | Расшифровка |
|---|---|---|
fbclid | Meta (Facebook) | Facebook Click Identifier |
gclid | Google Ads | Google Click Identifier |
msclkid | Microsoft Advertising | Аналог gclid от Microsoft |
Токен попадает на сайт назначения сразу двумя путями: сервер получает его в запросе страницы, а скрипт аналитики или рекламы может прочитать его из адреса и отправить платформе. После этого платформа может сопоставить визит с исходным кликом и, если вы у неё авторизованы, потенциально с вашим аккаунтом. Так рекламодатель узнаёт, что именно этот клик привёл к покупке. Команда приватности Brave описывает ту же цепочку в материале об удалении параметров запроса: эти значения добавляются к URL, по которым вы кликаете, чтобы рекламодатели могли больше узнать о вас и вашем поведении в сети.
Общий приём называется link decoration («декорирование ссылок»): когда вы уходите с одного сайта, трекер добавляет к ссылке идентифицирующий параметр запроса, а когда попадаете на другой — считывает его и так связывает ваше поведение на двух независимых сайтах. Тот же приём переносит идентификатор и в варианте с редиректами, описанном в статье о bounce tracking, поэтому здесь этот механизм мы не повторяем.
Click ID и теги кампаний
Не каждый параметр персонален, и от этого зависит, что будет удалено:
- Теги кампаний (
utm_source,utm_medium,utm_campaign) описывают, откуда пришёл посетитель. У всех, кто перешёл по одной и той же ссылке из рассылки, значения совпадают. Они отвечают на вопрос «какая кампания сработала», никого не выделяя лично. - Click ID описывают один клик. Если значение уникально, его можно связать со всем, что платформа уже знает о человеке, сделавшем клик.
Query String Filter в Brave формулирует этот замысел прямо: он нацелен на параметры, которые заведомо привязаны к пользователю, адресу электронной почты или отдельному клику, и не мешает обобщённому отслеживанию на уровне кампаний.
Почему блокировка cookie их не останавливает
Блокировка сторонних cookie и разделение хранилища ограничивают то, что встроенная третья сторона может сохранять и считывать на разных сайтах. А click ID третьей стороне вообще не нужно сохранять. Он передаётся вместе с переходом, его видят и сервер сайта назначения, и собственный скрипт страницы (контекст первой стороны), а страница затем пересылает его платформе. Для браузера это обычный скрипт первой стороны, отправляющий обычный запрос.
Очистка cookie после клика этого тоже не отменяет. ID прикреплён в момент клика и уже доставлен, а чистый профиль, кликнувший по той же рекламе, просто получит новый. Поэтому браузерам приходится чистить сам URL.
Что делают браузеры
Каждая из этих мер уже, чем «блокировка всего отслеживания», поэтому обращайте внимание на область действия.
Brave. Query String Filter удаляет параметры из списка (имя и значение) перед выполнением межсайтового (non-same-site) GET-запроса, включая переходы, подресурсы и редиректы. Поэтому параметр не попадает ни на сервер, ни в адресную строку, ни в заголовок Referer, и скрипты на странице не могут его восстановить. Предусмотрено исключение: если идентифицирующий пользователя параметр нужен для работы ссылки отписки в письме, Brave его оставляет. В упомянутом выше материале 2020 года Brave называет fbclid, gclid и msclkid примерами удаляемых параметров.
Safari. В заметках WebKit к Safari 17.0 среди новых защит приватного режима указана блокировка известных отслеживающих параметров запроса в ссылках. Кроме того, заметки WebKit к Safari 26.0 сообщают, что Safari не даёт известным скриптам фингерпринтинга читать данные, пригодные для навигационного отслеживания, например параметры запроса и document.referrer. В обычном режиме Intelligent Tracking Prevention ещё и ограничивает 24 часами срок действия cookie, созданных скриптом на целевой странице, которую он распознал как открытую по декорированной ссылке; подробности — в статье Safari ITP по механизмам.
Firefox. Политика Mozilla по борьбе с отслеживанием относит декорирование URL к навигационному межсайтовому отслеживанию и сообщает, что Firefox «будет стремиться выявлять параметры запроса, которые сайты используют для отслеживания», и удалять их при межсайтовых переходах верхнего уровня. Исключение сделано для атрибуции, не привязанной к конкретному пользователю. Это заявление о политике, а не список параметров и не обещание насчёт ваших настроек, так что не считайте его гарантией для какого-либо из этих трёх параметров.
Chrome и другие браузеры на Chromium. Мы не нашли проверенного первоисточника, поэтому ничего здесь не утверждаем. Для любого браузера есть простая проверка: перейдите по ссылке с таким параметром и посмотрите, остался ли он в адресной строке, когда страница откроется.
У заголовка Referer похожий риск
Адрес страницы, которую вы только что покинули, тоже передаётся следующему сайту в заголовке Referer. Если в нём есть click ID, идентификатор может уйти ещё на один сайт дальше. Сейчас браузеры по умолчанию отправляют урезанное значение: согласно MDN, если политика не задана, действует strict-origin-when-cross-origin — при cross-origin HTTPS-запросах отправляется только origin, а при переходе с HTTPS на HTTP заголовок не отправляется вовсе. Полный список политик — в справочнике MDN по Referrer-Policy. Safari идёт дальше и урезает все сторонние referrer до origin — см. статью про ITP, ссылка на которую дана выше.
Стоит ли удалять параметр?
Перед отправкой ссылки — обычно да. Если часть до ? — обычный адрес статьи или товара, можно удалить всё начиная с ?, и страница, как правило, откроется так же. Если в адресе есть и другие параметры, надёжнее убрать только фрагмент fbclid=… (или gclid=…, msclkid=…), а остальное оставить. В любом случае получатель не будет переходить с идентификатором вашего клика, а ссылка станет короче.
Две оговорки. Некоторые приложения хранят в строке запроса действительно нужные данные (поисковую фразу, номер страницы, токен сессии или приглашения), и удаление изменит или сломает страницу, поэтому откройте очищенную ссылку один раз перед отправкой. И удаление параметра не отменяет уже сделанный клик: платформа увидела его в момент нажатия. Конкретные расширения и инструменты мы не рекомендуем; если в вашем браузере есть встроенная защита, пользуйтесь ею.
Что остаётся после очистки URL
Удаление click ID убирает один явный идентификатор. Сайт всё равно может узнать вас и без него — по сочетанию атрибутов, которые раскрывает браузер. Это и есть фингерпринтинг браузера. Благодаря ему постоянные ID посетителей переживают очистку cookie, и поэтому руководство по фингерпринтингу браузера важно наравне с очисткой ссылок.
Уточним, что именно делает BrowserInsight: наши инструменты не проверяют ссылки, по которым вы кликаете, и адреса, которые вы посещаете. Проверка отпечатка целиком работает в вашем браузере и показывает, что сайт может о нём узнать, — а этот слой функция очистки URL убрать не может.
Часто задаваемые вопросы
fbclid — это вирус или признак взлома аккаунта?
Нет. Это обычный текст в адресе, и на вашем устройстве он ничего не запускает. Его появление значит лишь, что ссылка прошла через платформу, которая добавляет click ID. Вопрос здесь в приватности, а не во вредоносных программах.
Что означает gclid?
Это сокращение от Google Click Identifier. Для Google Ads он делает то же, что fbclid для Meta и msclkid для Microsoft Advertising.
Удаляют ли click ID VPN или приватное окно?
VPN меняет ваш IP-адрес, а не ссылку, поэтому идентификатор всё равно дойдёт до сайта. Приватное окно само по себе ссылку тоже не меняет. Приватный режим Safari, описанный выше, — это конкретная защита, а не то, что документировано для приватного режима любого браузера.
Итог
fbclid, gclid и msclkid — идентификаторы одного клика, записанные прямо в ссылку, поэтому они обходят защиту на уровне cookie и хранилища. Некоторые браузеры закрывают эту брешь очисткой URL, но охват зависит от браузера и режима. Удалять их из ссылок, которыми вы делитесь, — разумная привычка; просто помните, что URL — лишь один из возможных источников идентификатора.
Рекомендуем прочитать:
