Tarayıcı Parmak İzi: Siteler Sizi Çerezsiz Nasıl İzler?

Çerezlerinizi siliyorsunuz. Gizli pencere açıyorsunuz. VPN'e bağlanıyorsunuz. Daha önce hiç girmediğiniz bir web sitesine giriyorsunuz ve site bir şekilde kim olduğunuzu zaten biliyor.

Adınızı bilmiyor olabilir. Ama dün gelen kişiyle aynı kişi olduğunuzu biliyor. Kullandığınız cihazı, çalıştırdığınız yazılımı ve bu hafta girdiğiniz bir düzine başka siteyi biliyor. Üstelik bilgisayarınıza tek bir dosya bile kaydetmeden.

Bu, tarayıcınızın, cihazınızın ve donanımınızın benzersiz özelliklerinden yola çıkarak sizi tanımlayan bir izleme tekniği olan tarayıcı parmak izi takibidir. Görünmezdir, kalıcıdır ve kaçınılması neredeyse imkânsızdır. Electronic Frontier Foundation'ın (EFF) araştırmasına göre tarayıcıların yaklaşık %83,6'sı, kullanıcısını internetin geri kalanından ayırt edecek kadar benzersiz bir parmak izine sahip.

Üçüncü taraf çerezleri zemin kaybettikçe (Safari, Firefox ve Brave'de varsayılan olarak engelleniyorlar, ancak Chrome hâlâ izin veriyor) boşluğu parmak izi takibi doldurdu. Bu yöntem artık reklam ağlarından bankalara kadar en popüler binlerce web sitesinde kullanılıyor ve kullanıcıların ezici çoğunluğu adını bile duymamış durumda.

Bu rehber, tarayıcı parmak izinin tam olarak ne olduğunu, her tekniğin perde arkasında nasıl çalıştığını, bunu kimlerin yaptığını ve gerçekçi olarak neler yapabileceğinizi anlatıyor.

Tarayıcı parmak izi nedir?

Bir web sitesini ziyaret ettiğinizde tarayıcınız kendiliğinden şaşırtıcı miktarda bilgi paylaşır: hangi tarayıcıyı ve işletim sistemini kullandığınız, ekran çözünürlüğünüz, saat diliminiz, tercih ettiğiniz diller, yüklü yazı tipleriniz, ekran kartınızın modeli ve onlarca başka ayrıntı. Web sitelerinin düzgün çalışması, yani sayfaları doğru görüntülemesi, videoyu doğru çözünürlükte oynatması ya da içeriği sizin dilinizde sunması için bu verilerin çoğuna ihtiyacı vardır.

Tarayıcı parmak izi takibi bundan yararlanarak bu veri noktalarından olabildiğince çoğunu toplar ve tek bir tanımlayıcıda birleştirir. Ayrıntıların hiçbiri tek başına size özgü değildir. Milyonlarca kişi Windows'ta Chrome kullanıyor. Milyonlarca kişinin 1920×1080 ekranı var. Peki tarayıcınızın, işletim sistemi sürümünüzün, ekran çözünürlüğünüzün, ekran kartınızın, saat diliminizin, dil ayarlarınızın, yüklü yazı tiplerinizin ve yüz başka özelliğin birleşimi? Bu neredeyse kesinlikle yalnızca size aittir.

Bunu şöyle düşünebilirsiniz. 80.000 kişilik bir futbol stadyumunda olduğunuzu hayal edin. Biri "Kim kırmızı tişört giyiyor?" diye sorsa binlerce kişi çıkar. "Kim kırmızı tişört ve kot pantolon giyiyor?" Hâlâ yüzlerce kişi. "Kırmızı tişört, kot pantolon, gözlük, kahverengi saç, üst tribünde oturuyor ve sol bileğinde dövme var?" Büyük ihtimalle yalnızca siz. Tarayıcı parmak izi de aynı şekilde çalışır: Her özellik kalabalığı daraltır ve sonunda geriye yalnızca siz kalırsınız.

Bir parmak izi betiği genellikle 300 milisaniyeden kısa sürede 50 ile 200 arasında veri noktası toplar. Arka planda sessizce çalışır, bir web sitesinin çalışması için gereken diğer betiklerden farksız görünür ve çerezin aksine cihazınızda kesinlikle hiçbir iz bırakmaz. Ne bir açılır pencere, ne bir onay penceresi, ne de tarayıcı ayarlarınızda bulup silebileceğiniz bir kayıt vardır.

Tarayıcı parmak izi nasıl çalışır?

Tarayıcı parmak izi tek bir teknik değil; bileşik bir tanımlayıcı oluşturmak için farklı tarayıcı API'lerinden, donanım özelliklerinden ve ağ protokollerinden yararlanan bir yöntemler ailesidir. Bazıları basittir. Bazıları ise dikkat çekici ölçüde zekicedir. Başlıca tekniklerin her biri şöyle çalışır.

User-Agent dizesi ve HTTP başlıkları

En temel parmak izi verileri, cihazınızda daha hiçbir kod çalışmadan, zahmetsizce elde edilir. Tarayıcınız bir web sitesine bağlandığında her istekle birlikte bir dizi HTTP başlığı gönderir. Bunların en çok şey ele vereni, tarayıcınızı, sürümünü, işletim sisteminizi ve platformunuzu tanımlayan bir metin satırı olan User-Agent dizesidir:

Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36

Tek başına bir User-Agent dizesi, aynı tarayıcıyı ve işletim sistemini kullanan milyonlarca kullanıcıda ortaktır. Ama diğer başlıklarla birleştiğinde çok daha ayırt edici hâle gelir: Accept-Language değeri tercih ettiğiniz dilleri ve öncelik sıralarını, Accept-Encoding tarayıcınızın sıkıştırma yeteneklerini ortaya koyar; başlıkların gönderilme sırası bile tarayıcı aileleri arasında farklılık gösterir. Eski bir tarayıcı sürümü ya da alışılmadık bir işletim sistemi kullanmak sizi hemen öne çıkarır.

Modern Chromium tabanlı tarayıcılar ayrıca Client Hints özelliğini de devreye alıyor. Bu yeni sistem, cihaz belleği, CPU çekirdek sayısı ve platform mimarisi gibi donanım ayrıntılarını ayrı HTTP başlıkları olarak gönderir. Client Hints, aşırı yüklenmiş User-Agent dizesinin daha düzenli bir alternatifi olarak tasarlandı; ama aynı zamanda parmak izi toplayanların eline düzgünce etiketlenmiş veri noktaları da veriyor.

Canvas parmak izi

Canvas parmak izi, en yaygın ve en çok incelenmiş tekniklerden biridir. İlk kez 2012'de California Üniversitesi San Diego'daki (UCSD) araştırmacılar tarafından tanımlanan bu teknik, aslen tarayıcıda 2D grafikler çizmek için tasarlanmış bir API olan HTML5 <canvas> öğesinden yararlanır.

İşleyişi şöyle: Bir parmak izi betiği, tarayıcınıza görünmez bir görsel çizmesini söyler; bu genellikle metin, şekiller, renk geçişleri, renkler ve bazen emojiden oluşan belirli bir birleşimdir. Betik ardından toDataURL() fonksiyonuyla ham piksel verisini geri okur ve sonucun hash değerini hesaplar.

İşin püf noktası şu: Bu görselin tam olarak nasıl çizildiği; ekran kartınıza, grafik sürücülerinize, işletim sisteminize, yazı tipi işleme motorunuza, alt piksel düzeninize ve kenar yumuşatma ayarlarınıza göre hafifçe değişir. Bu farklar çıplak gözle görülmez, görseller insan gözüne birebir aynı görünür; ama ikili düzeyde farklı piksel değerleri ve dolayısıyla cihazlar arasında farklı hash değerleri üretir. NVIDIA ekran kartlı bir Windows bilgisayar aynı canvas talimatını Apple Silicon'lı bir MacBook'tan hafifçe farklı çizer; o da Intel tümleşik grafikli bir Linux bilgisayardan farklı çizer.

Emoji işleme, parmak izi için özellikle etkilidir; çünkü emojilerin görünümü işletim sistemleri ve tarayıcı motorları arasında çarpıcı biçimde değişir. Aynı gülen yüz emojisi Apple, Google, Microsoft ve Samsung platformlarında bambaşka görünebilir; bu da onu cihazı daraltmak için verimli bir sinyal yapar.

Araştırmalar, canvas parmak izinin tek başına kullanıcıların yaklaşık %60'ını benzersiz şekilde tanımlayabildiğini gösteriyor. Diğer tekniklerle birleştiğinde bu oran %99'un üzerine çıkıyor.

WebGL parmak izi

WebGL (Web Graphics Library) parmak izi, benzer bir işleme tabanlı yaklaşım izler ama 2D yerine 3D'de çalışır. WebGL API'si, doğrudan cihazın ekran kartıyla iletişim kurarak tarayıcıda üç boyutlu grafikler çizer.

Bir parmak izi betiği, belirli ışıklandırma, doku ve geometriye sahip karmaşık bir 3D sahne çizer ve ortaya çıkan pikselleri analiz eder. Farklı ekran kartları, sürücü sürümleri ve donanım yapılandırmaları 3D işlemeyi farklı yürüttüğü için sonuç cihazdan cihaza değişir.

Ama WebGL parmak izi yalnızca işlemeyle sınırlı değildir. API, donanım bilgilerini de doğrudan açığa çıkarır. WEBGL_debug_renderer_info uzantısı sayesinde bir betik, ekran kartınızın tam üreticisini ve işleyici modelini sorgulayabilir; örneğin "NVIDIA Corporation" ve "NVIDIA GeForce RTX 4070". Ayrıca desteklenen uzantıları, maksimum doku boyutlarını, gölgelendirici hassasiyet biçimlerini ve diğer ekran kartı yeteneklerini de listeleyebilir. Bunlar, kullanıcı hiçbir şey yapmadan erişilebilen son derece ayırt edici verilerdir.

Canvas parmak izi temel 2D işlemeyi sınarken WebGL donanım katmanına daha derinden uzanır. İki teknik genellikle birlikte kullanılır.

Ses parmak izi

Ses parmak izi, cihazınızın sesi nasıl işlediğine dayanarak benzersiz bir tanımlayıcı oluşturmak için Web Audio API'sini kullanır; önemlisi, duyulabilir hiçbir ses çalınmaz. Tüm süreç hesaplamalı olarak, bellekte gerçekleşir.

Bir parmak izi betiği, OscillatorNode ile bir ses sinyali oluşturur, bunu bir işleme hattından geçirir (genellikle bir DynamicsCompressorNode içerir) ve ortaya çıkan dalga biçimi verisini toplar. Tarayıcı motoru, işletim sistemi, ses sürücüleri ve donanım dahil farklı ses yığınlarının sinyali işlemesindeki ince farklar, ölçülebilir ölçüde farklı çıktılar üretir. Bu farklar, kararlı ve benzersiz bir hash oluşturmaya yeter.

Ses parmak izi özellikle zaman içindeki kararlılığı nedeniyle değerlidir. Bir kullanıcı ekran çözünürlüğünü değiştirebilir, yeni yazı tipleri yükleyebilir ya da tarayıcısını güncelleyebilir; ama cihazının ses işleme hattı aylar, hatta yıllar boyunca genellikle aynı kalır. Apple bu tekniğe karşı önlem alan ilk tarayıcı üreticilerinden biriydi: Safari 17'den itibaren tarayıcı, gizli gezinme sırasında ses işlemeye küçük miktarlarda rastgelelik ekliyor; böylece aynı cihaz oturumlar arasında farklı ses hash'leri üretiyor.

Yazı tipi parmak izi

Sisteminizde yüklü yazı tipleri şaşırtıcı derecede güçlü bir tanımlayıcıdır. Her işletim sistemi varsayılan bir yazı tipi setiyle gelir, ama kullanıcılar zamanla ek yazı tipleri biriktirir: yazılım kurulumlarıyla (yalnızca Adobe Creative Suite onlarca yazı tipi ekler), iş gereksinimleriyle ya da kişisel tercihlerle. Sonuçta kişiden kişiye büyük ölçüde değişen bir yazı tipi kütüphanesi ortaya çıkar.

Yazı tipi parmak izi, uzun bir aday yazı tipi listesiyle metin çizip görünmez DOM öğeleri aracılığıyla ortaya çıkan metin kutularının boyutlarını ölçerek çalışır. Bir yazı tipi yüklüyse metin kendi doğal genişliği ve yüksekliğiyle çizilir. Yüklü değilse tarayıcı, farklı boyutlara sahip varsayılan bir yazı tipine geri döner. Yüzlerce yazı tipini test eden bir betik, siz ekranda hiçbir şey görmeden yazı tipi envanterinizin tam haritasını hızla çıkarabilir.

Araştırmalar, kullanıcıların yaklaşık %57'sinin yalnızca yüklü yazı tipi setiyle benzersiz şekilde tanımlanabildiğini ortaya koydu. Yazı tipleri, işletim sisteminiz ve yüklü yazılımlarınız hakkında da güçlü bir ipucudur: Helvetica Neue bulunan bir makine neredeyse kesinlikle bir Mac'tir, Segoe UI bulunan ise Windows çalıştırıyordur.

Ekran ve donanım özellikleri

Tarayıcınız, standart JavaScript API'leri aracılığıyla bir dizi donanım ve ekran özelliğini açığa çıkarır. Hiçbiri tek başına benzersiz değildir, ama birleştiklerinde olası cihaz havuzunu hızla daraltırlar:

• Ekran çözünürlüğü ve renk derinliği: screen.width, screen.height ve screen.colorDepth üzerinden
• Cihaz belleği: navigator.deviceMemory üzerinden (Chromium tarayıcıları)
• CPU çekirdek sayısı: navigator.hardwareConcurrency üzerinden
• Saat dilimi: Intl.DateTimeFormat().resolvedOptions().timeZone üzerinden
• Platform: navigator.platform üzerinden
• Dokunmatik desteği: navigator.maxTouchPoints üzerinden
• Pil durumu: Battery Status API (artık çoğu tarayıcıdan kaldırıldı, ama geçmişte bir parmak izi vektörüydü)

2560×1440 ekranı, 8 mantıksal CPU çekirdeği, 16 GB cihaz belleği ve Europe/Amsterdam saat dilimi olan bir kullanıcı, daha gelişmiş tekniklerin hiçbiri devreye girmeden çok küçük bir grubun içindedir.

TLS parmak izi

TLS (Transport Layer Security) parmak izi, herhangi bir JavaScript çalışmadan ya da web sayfası içeriği yüklenmeden önce, ağ protokolü düzeyinde işler. Tarayıcınız bir HTTPS bağlantısı başlattığında, desteklenen şifre takımlarının, TLS uzantılarının, sıkıştırma yöntemlerinin, eliptik eğrilerin ve nokta biçimlerinin listesini içeren bir "Client Hello" mesajı gönderir.

Bu değerlerin belirli birleşimi ve sıralaması tarayıcı aileleri, sürümleri ve işletim sistemleri arasında değişir. Güvenlik araştırmacıları, bu TLS el sıkışma parametrelerini kompakt bir parmak izine dönüştüren JA3 ve onun devamı JA4 gibi araçlar geliştirdi. Örneğin Chrome, Firefox ve Safari, farklı şifre takımlarını farklı öncelik sıralarıyla destekledikleri için birbirinden açıkça farklı JA3 hash'leri üretir.

TLS parmak izini özellikle güçlü kılan, tarayıcı uzantılarıyla engellenememesi ya da JavaScript'i devre dışı bırakarak atlatılamamasıdır. Sayfa içindeki hiçbir betiğin kontrolünde olmayan protokol düzeyinde gerçekleşir. Bazı CDN sağlayıcıları ve bot tespit hizmetleri, TLS parmak izlerini sayfa daha yüklenmeden ilk eleme filtresi olarak kullanır.

WebRTC sızıntıları

WebRTC (Web Real-Time Communication), eşler arası görüntülü görüşmeleri, sesli sohbeti ve dosya paylaşımını mümkün kılan bir tarayıcı API'sidir. Cihazlar arasında doğrudan bağlantı kurabilmek için WebRTC'nin cihazların gerçek IP adreslerini bulması gerekir; bunu da VPN'inizi ya da proxy tünelinizi tamamen atlayan harici STUN sunucularına istek göndererek yapar.

Bu, bir web sitesinin VPN'e bağlı olsanız bile gerçek genel IP adresinizi bulmak için WebRTC'yi kullanabileceği anlamına gelir. WebRTC ayrıca 192.168.1.42 gibi yerel (dahili) IP adresinizi de ortaya çıkarabilir; bu da ağ topolojinizi açığa vurur ve parmak izinize bir veri noktası daha ekler.

Firefox, Chrome, Opera ve Edge'de WebRTC varsayılan olarak etkindir. Brave, WebRTC IP sızıntılarını varsayılan olarak engeller. Tor Browser ise WebRTC'yi tamamen devre dışı bırakır.

CSS parmak izi

Parmak izi tekniklerinin çoğu JavaScript'e dayanır; bu da gizliliğe önem veren birçok kullanıcıyı JavaScript'i tamamen kapatmaya yöneltti. Ancak yakın tarihli araştırmalar, hiç JavaScript olmadan yalnızca CSS ile de parmak izi çıkarılabildiğini gösterdi.

Teknik, cihaz özelliklerini (ekran boyutu, renk derinliği, işaretçi türü, renk şeması tercihi) test etmek için CSS @media sorgularını, yüklü yazı tiplerini yoklamak için de @font-face kurallarını kullanır. CSS her özellik için, yalnızca o medya sorgusu eşleşirse tarayıcının isteyeceği benzersiz bir background-image URL'si tanımlar. Sunucu gelen isteklerin örüntüsünü toplar ve bunu bir parmak izi oluşturmak için kullanır.

CSS parmak izi tarayıcı uzantılarını da tespit edebilir. Bazı uzantılar CSS stil sayfaları ekler ya da DOM öğelerini tespit edilebilir biçimde değiştirir; CSS container sorguları bu değişiklikleri belirlemek için kullanılabilir. 2025 NDSS Sempozyumu'nda sunulan bir araştırma, yalnızca CSS'e dayalı parmak izi tekniklerinin JavaScript'in tamamen engellendiği en yüksek Tor Browser güvenlik ayarlarında bile çalıştığını gösterdi.

Bu önemli, çünkü CSS, web'i tamamen kullanılmaz hâle getirmeden devre dışı bırakılamaz; JavaScript'in aksine bir "NoCSS" uzantısı yoktur. Bu da parmak izi için saldırı yüzeyini, JavaScript'i çıkarıp CSS'i işleyen e-posta istemcileri gibi daha önce güvenli sayılan ortamlara kadar önemli ölçüde genişletir.

Davranışsal parmak izi

Bazı parmak izi sistemleri, statik donanım ve yazılım özelliklerinin ötesinde cihazınızla nasıl etkileşime girdiğinizi analiz eder:

• Fare hareketi örüntüleri: hız, ivme, hareketin kavisi
• Yazma dinamikleri: tuş vuruşu zamanlaması, tuşa basılı kalma süresi, ritim
• Kaydırma davranışı: hız, akıcılık, sıklık
• Dokunma hareketleri: mobilde basınç, açı, kaydırma örüntüleri

Bu davranışsal biyometrik verileri güvenilir biçimde toplamak daha zordur ve reklamcılıktan çok dolandırıcılık tespitinde kullanılırlar. Ama taklit edilmeleri son derece zordur, çünkü yazılım yapılandırmanızdan değil, bedeninizin fiziksel özelliklerinden ve alışkanlıklarınızdan kaynaklanırlar.

Parmak iziniz ne kadar benzersiz?

Parmak izi takibini mümkün kılan kavram entropidir: tek bir veri noktasının ne kadar tanımlayıcı bilgi taşıdığının ölçüsü.

Saat diliminizin entropisi düşüktür: Milyonlarca kişi America/New_York saat dilimini paylaşır. Ekran çözünürlüğünüzünki biraz daha yüksektir: Onlarca yaygın değer vardır, ama yine de kullanıcıları büyük gruplara ayırır. Ekran kartı işleyici dizeniz? O çok daha yüksektir; sizi tam olarak aynı ekran kartına ve sürücü sürümüne sahip kullanıcılara indirger.

Ama entropi birikimlidir. Her yeni veri noktası daraltma etkisini katlar. Saat diliminizi 10 milyon kişi, ekran çözünürlüğünüzü 5 milyon kişi ve ekran kartınızı 500.000 kişi paylaşıyor olsa bile, üçünün kesişimi 50.000 kişi olabilir. Buna yüklü yazı tiplerinizi, ses parmak izinizi, canvas hash'inizi, dil ayarlarınızı ve CPU çekirdek sayınızı ekleyin; hızla tek kişilik bir gruba varırsınız.

EFF'nin Panopticlick projesi (şimdiki adıyla Cover Your Tracks), herhangi bir kullanıcıyla aynı parmak izine sahip tarayıcının yalnızca 286.777'de 1 olduğunu buldu. Daha yeni araştırmalar bu rakamı daha da yükseğe taşıyor: Tarayıcı ve cihaz düzeyindeki özellikler birleştirildiğinde kullanıcıların %99'undan fazlası benzersiz şekilde tanımlanabiliyor.

Bu da temel bir gerilim yaratıyor. Tarayıcınızın açığa çıkardığı her veri noktasının meşru bir nedeni var: grafik çizmek, düzeni uyarlamak, ses çalmak, içeriği yerelleştirmek. Ama tüm bu işlevsel verilerin toplamı, hiçbir çerezin olmadığı kadar kalıcı ve atlatılması zor bir izleme tanımlayıcısı ortaya çıkarıyor.

Tarayıcı parmak izini kimler kullanıyor ve neden?

Tarayıcı parmak izi özünde kötü niyetli değildir. Aynı teknik, onu kimin ve nasıl kullandığına bağlı olarak çok farklı amaçlara hizmet eder.

Dolandırıcılığı önleme ve güvenlik, en yaygın kabul gören kullanım alanıdır. Bankanıza her zamanki dizüstü bilgisayarınızdan giriş yaptığınızda bankanın dolandırıcılık sistemi cihaz parmak izini tanır ve geçmenize izin verir. Dünyanın öbür ucundaki biri çalıntı kimlik bilgileriyle bankanın hiç görmediği bir cihazdan giriş yapmaya çalışırsa, tanıdık olmayan parmak izi ek doğrulamayı tetikler. Ödeme kuruluşları kredi kartı dolandırıcılığını, hesap ele geçirmelerini ve kimlik bilgisi doldurma saldırılarını tespit etmek için parmak izinden yararlanır. Bu bağlamda parmak izi kullanıcıları gerçekten korur.

Reklamcılık ve siteler arası izleme, tartışmanın başladığı yerdir. Çerezler güvenilirliğini yitirdikçe reklam sektörü, kullanıcıları web siteleri arasında izlemek, davranış profilleri oluşturmak ve hedefli reklam sunmak için parmak izine yöneldi. Veri simsarları binlerce siteden parmak izi verisi toplar ve reklamverenlere satılabilecek ayrıntılı gezinme geçmişleri derler. Çerezlerin aksine parmak izleri gizli mod oturumlarında da sürer, tarayıcı yeniden başlatmalarından sağ çıkar ve hatta aynı cihazdaki farklı tarayıcılardaki etkinlikleri bile birbirine bağlayabilir (çünkü canvas ve ses parmak izleri yazılıma değil donanıma bağlıdır).

Bot tespiti büyük ölçüde parmak izine dayanır. Otomatik botların parmak izleri genellikle alışılmadık ya da tutarsızdır: Başsız (headless) bir tarayıcıda bazı API'ler eksik olabilir, imkânsız donanım yapılandırmaları bildirilebilir ya da fare hareketi gibi hiçbir davranışsal sinyal görülmeyebilir. Parmak izi, CAPTCHA alternatiflerinden içerik koruma hizmetlerine kadar neredeyse her ticari bot tespit sisteminin temel bileşenidir.

Analiz ve içerik kişiselleştirme tabloyu tamamlar. Bazı web siteleri, çerez kullanmadan tekil ziyaretçileri saymak ya da hesap gerektirmeden tercihleri (dil, düzen, erişilebilirlik ayarları) hatırlamak için hafif parmak izi tekniklerinden yararlanır.

Tarayıcı parmak izi ve çerezler

Parmak iziyle mücadelenin çerezlerle mücadeleden neden çok daha zor olduğunu anlamak için ikisini yan yana karşılaştırmak işe yarar.

Çerezler, web sitelerinin cihazınızda sakladığı küçük metin dosyalarıdır. Görünürdürler: Onları tarayıcı ayarlarınızda bulabilir, inceleyebilir ve birkaç tıklamayla silebilirsiniz. Kapsamlı düzenlemelere tabidirler: GDPR, izleme çerezleri yerleştirilmeden önce onay alınmasını şart koşar; onay pencerelerinin artık neredeyse her web sitesinde çıkmasının nedeni budur. Büyük tarayıcıların çoğu artık üçüncü taraf çerezlerini varsayılan olarak engelliyor; büyük istisna olan Chrome ise hâlâ izin veriyor. Tarayıcı değiştirdiğinizde ya da gizli mod kullandığınızda çerezleriniz sizi takip etmez.

Tarayıcı parmak izleri ise tam tersi yönde çalışır. Cihazınızda hiçbir şey saklanmaz; tanımlayıcı, tarayıcınızın otomatik olarak gönderdiği verilerden sunucu tarafında hesaplanır ve orada saklanır. Bulabileceğiniz, inceleyebileceğiniz, engelleyebileceğiniz ya da silebileceğiniz hiçbir şey yoktur. Parmak izleri oturumlar boyunca sürer ve çerez temizliğinden sağ çıkar. Gizli gezinme modlarında da çalışır. Donanım ve sistem düzeyindeki özelliklerden türetildikleri için aynı makinedeki farklı tarayıcılarda bile sizi izleyebilirler; bu, çerezlerin asla yapamayacağı bir şeydir.

Pratikteki sonuçlar çarpıcı. Çerezler kullanıcılara en azından bir kontrol yanılsaması veriyordu: Onları temizleyebilir, engelleyebilir ya da uzantılarla yönetebilirdiniz. Parmak izi bu kontrolü tamamen ortadan kaldırıyor. Dayandığı veriler (ekran çözünürlüğü, ekran kartı modeli, yüklü yazı tipleri), web sitelerinin çalışabilmesi için tarayıcınızın açığa çıkarmak zorunda olduğu verilerdir. Web'i kullanılmaz hâle getirmeden bundan kurtulamazsınız.

Şunu da belirtmekte fayda var: Çerezler ve parmak izi her zaman birbirinin alternatifi değildir; çoğu zaman birlikte kullanılırlar. Bazı izleme sistemleri, silinen çerezleri yeniden canlandırmak için parmak izlerini kullanır; bu tekniğe evercookie denir. Çerezlerinizi temizlediğiniz hâlde parmak iziniz aynı kalırsa izleyici sizi önceki çerezinizle ilişkilendirip onu geri yükleyebilir. Bu da ikisinin birleşimini her birinden tek başına daha güçlü kılar.

Tarayıcılar nasıl karşılık veriyor?

Tarayıcı üreticileri tehdidin farkında ve aktif olarak karşı önlemler geliştiriyor. Ama yaklaşımlar temelden farklı ve her birinin gerçek ödünleri var.

Parmak izine karşı iki strateji

İlk strateji tek tipliktir: her kullanıcının tarayıcısını birebir aynı göstermek. Her tarayıcı aynı ekran çözünürlüğünü, aynı yazı tiplerini ve aynı canvas çıktısını bildirirse çıkarılacak bir parmak izi kalmaz. Tor Browser ve Mullvad Browser bu yaklaşımı benimser. Tor bunu agresif bir standartlaştırmayla başarır: Pencere boyutlarını maskelemek için letterboxing kullanır, kullanılabilir yazı tiplerini kısıtlar, canvas ve WebGL çıktılarını engeller ya da standartlaştırır ve User-Agent dizesini taklit eder. Amaç, her Tor kullanıcısının tamamen aynı parmak izini sunmasıdır. Bedeli ise birçok web sitesinin düzgün çalışmaması ya da beklenmedik davranması ve gezinme deneyiminin belirgin şekilde yavaşlamasıdır.

İkinci strateji rastgeleleştirmedir: parmak izinizi her seferinde farklı göstermek. Parmak iziniz her oturumda ve her web sitesinde değişirse kalıcı izleme için kullanılamaz. Brave, canvas çıktısına, WebGL çıktısına, ses işlemeye, dil bildirimine ve yazı tipi listelemeye küçük miktarlarda rastgele gürültü ekleyen "farbling" sistemiyle bu yaklaşımın öncüsü oldu. Gürültü, parmak izi betiklerini boşa çıkaracak kadar büyük ama web sitelerinin normal çalışmaya devam edeceği kadar küçüktür.

Her iki stratejinin de sınırları var. Tek tiplik, anonimlik kümenizi aynı tarayıcının diğer kullanıcılarıyla sınırlar (ve Tor'un kullanıcı tabanı o kadar küçüktür ki yalnızca Tor kullanmak bile bir sinyal olabilir). Rastgeleleştirme ise istatistiksel analizle aşılabilir: Bir parmak izi toplayıcı yeterince örnek toplarsa gürültüyü tespit edip oturumları yine de ilişkilendirebilir.

Tarayıcı tarayıcı durum

Brave, yaygın tarayıcılar arasında en agresif yerleşik parmak izi korumasını sunar. Farbling sistemi; canvas, WebGL, ses, dil tercihleri, donanım eşzamanlılığı ve yazı tipi listeleme dahil yüksek entropili birden fazla API'yi varsayılan olarak rastgeleleştirir. Parmak izi koruması varsayılan olarak açıktır ve site bazında kapatılabilir; Brave daha sıkı parmak izi modunu, çok fazla sitede sorun çıkardığı için 2024'te kaldırdı. Brave ayrıca WebRTC IP sızıntılarını varsayılan olarak engeller ve ayarlar arayüzünde parmak izi kontrollerini açıkça etiketleyen tek büyük tarayıcıdır. Bağımsız testler onu sürekli olarak en iyi performans gösterenler arasında sıralıyor; ancak akademik araştırmalar, rastgeleleştirmesinin gelişmiş istatistiksel saldırılarla kısmen aşılabileceğini öne sürüyor.

Firefox, varsayılan (Standart) ve Sıkı modlarında bilinen üçüncü taraf parmak izi betiklerini engelleyen Gelişmiş İzlenme Koruması'nı (Enhanced Tracking Protection) içerir. Firefox ayrıca benzersizliği azaltmak için birçok tarayıcı özelliğini standartlaştıran bir privacy.resistFingerprinting seçeneği (about:config üzerinden erişilebilir) sunar; ancak bu özellik varsayılan olarak kapalıdır ve bazı web sitelerinde sorunlara yol açabilir. Kutudan çıktığı hâliyle Firefox'un parmak izi koruması Brave'inkinden daha zayıftır. Ama manuel yapılandırmayla önemli ölçüde güçlendirilebilir ve engelleme listesine dayalı yaklaşımı, yaygın üçüncü taraf parmak izi betiklerinin çoğunun yüklenmesini etkili şekilde önler.

Safari platform düzeyinde bir yaklaşım benimser. Apple'ın Intelligent Tracking Prevention özelliği siteler arası izlemeyi sınırlar ve Safari bazı parmak izi vektörlerine istatistiksel gürültü ekler. Safari 17'den itibaren gizli gezinme modunda ses parmak izi bozuluyor, yazı tipi erişimi kullanıcının diline yönelik sistem yazı tipleriyle sınırlanıyor ve siteler arası izleme betikleri agresif şekilde engelleniyor. Safari'nin korumaları Brave'inkiler kadar yapılandırılabilir değil, ama Apple ekosistemi içinde etkili; ayrıca Apple, geliştirici yönergelerinde parmak izi takibini "asla izin verilmeyen" bir uygulama olarak niteleyerek sektördeki en kararlı duruşu sergiliyor.

Chrome asgari düzeyde yerleşik parmak izi koruması sunar. Chrome üçüncü taraf izleyicileri varsayılan olarak engellemez ve daha yeni izleme korumaları Gizli modla sınırlıdır. Orada bile parmak izi yüzeylerini Brave'in ya da Firefox'un yapabildiği şekilde rastgeleleştirmez veya standartlaştırmaz. Chrome ayrıca parmak izini zorlaştırmak yerine kolaylaştırabilecek düzenli donanım verileri sağlayan Client Hints'i devreye alıyor. Şubat 2025'te Google, reklam platformu için uzun süredir savunduğu parmak izi karşıtı tutumdan geri adım atarak reklamcılık ve analiz için bazı parmak izi türlerine izin verdi; Birleşik Krallık Bilgi Komiserliği Ofisi (ICO) bu kararı kamuoyu önünde "sorumsuzca" olarak nitelendirdi.

Tor Browser, parmak izine direnç konusunda altın standart olmayı sürdürüyor. Mümkün olan her tarayıcı özelliğini tüm kullanıcılar arasında standartlaştırarak tüm tarayıcılar içinde en güçlü anonimliği sağlıyor. Canvas okumalarını engelliyor, WebRTC'yi devre dışı bırakıyor, yazı tiplerini kısıtlıyor ve pencere boyutlarını normalleştirmek için letterboxing kullanıyor. Bedeli ağır: Birçok modern web sitesi kısmen ya da tamamen çalışmıyor, Tor ağı yönlendirmesi nedeniyle hızlar düşüyor ve küçük kullanıcı tabanı, Tor kullanmanın kendisini ayırt edici bir özellik hâline getiriyor.

Mullvad Browser, Mullvad VPN ekibinin Tor Project ile iş birliği içinde geliştirdiği, sağlamlaştırılmış bir Firefox çatalıdır. Tor'un parmak izi karşıtı önlemlerinin çoğunu (standartlaştırılmış yazı tipleri, letterboxing, canvas korumaları) trafiği Tor ağı üzerinden yönlendirmeden uygular. Bu da onu hem daha hızlı hem de modern web siteleriyle daha uyumlu kılarken güçlü bir parmak izi direnci sağlamayı sürdürüyor. Tor düzeyinde koruma ile gündelik kullanılabilirliği bir arada isteyen kullanıcılar için mükemmel bir orta yol.

Parmak izinizi nasıl test edersiniz?

Herhangi bir şeyi değiştirmeden önce mevcut kurulumunuzun gerçekte ne kadar tanımlanabilir olduğunu görmekte fayda var. Birkaç ücretsiz araç, parmak izinizi hemen şimdi test etmenizi sağlıyor:

Cover Your Tracks (EFF'den) en çok güvenilen test aracıdır. Tarayıcınızın izlemeye karşı savunmasız olup olmadığını test eder ve yapılandırmanızın kendi veritabanlarına kıyasla ne kadar benzersiz olduğunu gösterir. Çığır açan Panopticlick projesinin devamıdır.

BrowserLeaks, tek tek parmak izi vektörlerinin (canvas, WebGL, ses, yazı tipleri, WebRTC, CSS medya sorguları ve daha fazlası) ayrıntılı dökümünü sunar. Sizi hangi özelliklerin tanımlanabilir kıldığını anlamak için en iyi araçtır.

AmIUnique, INRIA'nın bir araştırma projesidir; parmak izinizin tamamını, veri setlerindeki kaç kullanıcının her özelliği paylaştığına dair istatistiklerle birlikte gösterir.

CreepJS en agresif testtir. Taklit edilmiş ya da rastgeleleştirilmiş özellikleri aktif olarak tespit etmeye çalışır; bu da parmak izi karşıtı araçlarınızın zorlu koşullarda gerçekte ne kadar dayandığını değerlendirmek için onu kullanışlı kılar.

Bu araçları önce Chrome'da ya da Edge'de (büyük ihtimalle parmak izinizin tamamen benzersiz olduğunu göreceksiniz), ardından Brave'de veya Tor'da açarak farkı kendi gözlerinizle görün. Fark çarpıcıdır ve tarayıcı değiştirmenin gerekçesini herhangi bir makaleden daha somut biçimde ortaya koyar.

Kendinizi nasıl korursunuz?

Açık konuşalım: Gezinme deneyiminizi temelden bozmadan tarayıcı parmak izine karşı tam koruma mümkün değil. Ama izlenmenizi önemli ölçüde zorlaştırabilirsiniz. Amaç görünmez olmak değil; parmak izinizi kalabalığa karışacak kadar yaygın ya da zaman içinde sizi izlemek için kullanılamayacak kadar değişken hâle getirmek.

Temel adımlar

Gizlilik odaklı bir tarayıcıya geçin. Atabileceğiniz en etkili tek adım budur; herhangi bir uzantıdan ya da ayar değişikliğinden daha etkilidir. Brave, çoğu kişi için parmak izi koruması ile gündelik kullanılabilirlik arasındaki en iyi dengeyi sunar. Gelişmiş İzlenme Koruması Sıkı olarak ayarlanmış Firefox da güçlü bir seçenektir. İkisi de ücretsizdir ve tüm büyük platformlarda kullanılabilir.

Tarayıcınızı ve işletim sisteminizi güncel tutun. Eski tarayıcı sürümleri alışılmadık derecede tanımlanabilirdir, çünkü kullanıcıların büyük çoğunluğu güncel sürümleri kullanır. Güncel kalmak, User-Agent dizenizin mümkün olan en büyük gruba karışması demektir. Aynısı, yazı tipi setlerini, işleme motorlarını ve parmak izi çıkarılabilecek diğer özellikleri etkileyen işletim sistemi güncellemeleri için de geçerlidir.

Uzantılar konusunda dikkatli olun. Parmak izi konusunun sezgilere ters düştüğü yer burası. Beş gizlilik uzantısı yüklemek kendinizi koruyormuşsunuz gibi hissettirebilir, ama aslında parmak izinizi daha benzersiz hâle getirirsiniz. Her uzantı tarayıcı davranışını tespit edilebilir şekillerde değiştirir ve çalıştırdığınız uzantıların belirli birleşimi başlı başına bir parmak izi sinyalidir. uBlock Origin gibi az sayıda köklü araçla yetinin ve daha fazlasını ekleme isteğine direnin.

Orta düzey adımlar

uBlock Origin'i yükleyin. Bilinen birçok parmak izi betiğini çalışmadan engeller ve genel kabul gören en etkili içerik engelleyicidir. Birinci taraf parmak izini (ziyaret ettiğiniz web sitesinin betiği kendisinin çalıştırdığı durumu) durdurmaz, ama diğer sitelere gömülü üçüncü taraf parmak izi izleyicilerini etkili şekilde engeller.

Güvenmediğiniz sitelerde JavaScript'i devre dışı bırakın. NoScript gibi uzantılar, hangi sitelerin JavaScript çalıştırabileceğini kontrol etmenizi sağlar. Parmak izi tekniklerinin çoğu JavaScript'e dayandığı için bu güçlü bir karşı önlemdir; ancak birçok sitede bazı işlevlerin çalışmamasına yol açar, bu yüzden bir izin listesini yönetmeye razı olmanız gerekir. CSS tabanlı parmak izinin JavaScript kapalıyken bile çalışabileceğini unutmayın; bu yüzden tam bir çözüm değildir.

VPN kullanın, ama sınırlarını bilin. VPN, parmak izinizin bileşenlerinden biri olan IP adresinizi maskeler. Canvas, ses ya da yazı tipi parmak izini durdurmaz. Ama önemli bir tanımlayıcı sinyali ortadan kaldırır ve tarayıcı düzeyindeki korumalarla birleştiğinde genel tanımlanabilirliğinizi anlamlı ölçüde azaltır. VPN'inizin WebRTC sızıntılarını da engellediğinden emin olun; aksi hâlde gerçek IP adresiniz yine de açığa çıkabilir.

İleri düzey önlemler

Hassas gezinme için Tor Browser kullanın. Anonimliğin gerçekten önemli olduğu durumlarda Tor mevcut en güçlü korumayı sağlar. Hız ve web sitesi uyumluluğu açısından ödünleri kabullenin ve onu özelleştirme isteğine direnin; yaptığınız her değişiklik sizi küçük Tor kullanıcı tabanı içinde daha benzersiz kılar.

Gezinmenizi bölümlere ayırın. Farklı etkinlikler için farklı tarayıcılar kullanın: biri sosyal medya, biri alışveriş, biri araştırma için. Bu, parmak izi toplayanların davranışınıza dair siteler arası eksiksiz bir profil oluşturmasını engeller. Şaşırtıcı derecede etkili, basit bir stratejidir.

Mullvad Browser'ı değerlendirin. Tor'un hız ve uyumluluk sınırlamaları olmadan güçlü parmak izi direnci isteyen kullanıcılar için Mullvad Browser, trafiği Tor ağı üzerinden yönlendirmeden Tor düzeyinde korumalar (letterboxing, standartlaştırılmış yazı tipleri, canvas engelleme) uygular.

Gizlilik paradoksu

Parmak izi korumasında anlamanız gereken önemli bir ironi var: Tarayıcınızı gizlilik için ne kadar özelleştirirseniz o kadar benzersiz hâle gelirsiniz.

WebGL'i devre dışı bırakmak, canvas erişimini engellemek, User-Agent'ınızı taklit etmek ve niş gizlilik uzantıları yüklemek, tarayıcınızın alışılmadık, yani çoğu insanın tarayıcısının davranmadığı şekillerde davranmasına yol açar. Bir izleyici canvas parmak izinizi okuyamayabilir, ama canvas erişiminin engellendiğini görebilir ve bu davranışın kendisi bir sinyaldir. Kullanıcıların yalnızca %0,1'i canvas'ı engelliyorsa, kendinizi çok küçük bir gruba daraltmış olursunuz.

Bu yüzden en etkili parmak izi karşıtı stratejiler, en çok kişinin kullandığı stratejilerdir. Brave'in rastgeleleştirmesi kısmen milyonlarca Brave kullanıcısının aynı koruma mekanizmasını paylaşması sayesinde işe yarar. Tor'un tek tipliği, her Tor kullanıcısı aynı göründüğü için işe yarar. En kötü yaklaşım, başka kimsenin kullanmadığı, az bilinen gizlilik ince ayarlarından benzersiz bir karışım oluşturmaktır; bu başlı başına bir parmak izidir.

İşe yaramayanlar

Sizi neyin korumadığını bilmek de aynı derecede önemlidir:

• Gizli mod / Gizli gezinme: Bu modlar çerezleri ve yerel depolamayı temizler ama parmak izinizi değiştirmez. Donanımınız, yazı tipleriniz ve işleme özellikleriniz gizli modda da dışında da aynı kalır.
• Çerezleri ve gezinme geçmişini temizlemek: Parmak izleri saklanan hiçbir veriye bağlı değildir; bu yüzden yerel verileri silmenin hiçbir etkisi yoktur.
• Tek başına VPN: VPN IP adresinizi değiştirir ama diğer tüm parmak izi özelliklerine (canvas, WebGL, ses, yazı tipleri, ekran, saat dilimi ve daha fazlası) dokunmaz.
• Tek başına reklam engelleyiciler: Reklam engelleyiciler bazı üçüncü taraf izleme betiklerini engelleyebilir; ancak parmak izi giderek daha fazla, ziyaret ettiğiniz web sitelerinde reklam engelleyicilerin dokunmadığı birinci taraf kodu olarak çalıştırılıyor.

Yasal durum

Tarayıcı parmak izi hukuki bir gri alanda duruyor: Teoride çoğu şirketin kabul ettiğinden daha fazla kısıtlanmış, pratikte ise çerezlere göre çok daha az denetleniyor.

Avrupa: GDPR ve ePrivacy boşluğu

AB'nin Genel Veri Koruma Tüzüğü'ne (GDPR) göre tarayıcı parmak izleri, bir bireyi tanımlamak için kullanılabildiği her durumda kişisel veri sayılır; parmak izlerinin %99'undan fazlasının benzersiz olduğu düşünülürse bu, neredeyse her zaman demektir. Bu da reklamcılık veya analiz amaçlı parmak izi takibinin bir hukuki dayanak, genellikle de kullanıcının açık onayını gerektirdiği anlamına gelir.

Pratikte denetimler tutarsız oldu. GDPR teknolojiden bağımsız olacak şekilde tasarlandı ve parmak izini çerezler kadar açık biçimde kapsaması gerekir. Ama düzenleyicilerin ilgisi büyük ölçüde çerez onayına yöneldi; parmak izinin görünmez doğası ise onu tespit etmeyi ve yaptırım uygulamayı zorlaştırıyor. EFF, izleme amaçlı kullanılan parmak izinin hukuki dayanak olarak "meşru menfaat"e dayanamayacağını savundu; çünkü tekniğin tasarımının ta kendisi, kullanıcının farkındalığından ve kontrolünden kaçmaktır.

Önerilen ePrivacy Tüzüğü, şu anda çerezleri düzenleyen onay gerekliliklerini açıkça parmak izine de uygulayarak bu boşluğu kapatmayı amaçlıyor. Tüzük yıllardır AB yasama sürecinde ilerliyor. Kabul edilirse, temel teknolojiden bağımsız olarak tüm kalıcı izleme mekanizmalarına eşit muamele yolunda önemli bir adım olacak.

Amerika Birleşik Devletleri: yamalı bir yaklaşım

ABD'de California Consumer Privacy Act (CCPA) ve onun devamı olan CPRA, parmak izi verilerini kişisel bilgi olarak sınıflandırır. California'daki düzenleyiciler, parmak izine dayalı izlemenin bağlamlar arası davranışsal reklamcılık (cross-context behavioral advertising) sayıldığını ve bir reddetme mekanizması gerektirdiğini açıkça belirtti. Kapsamlı gizlilik yasalarına sahip diğer birkaç eyalet de California'nın yaklaşımını izliyor; ancak parmak izine ilişkin federal bir düzenleme yok.

Sektörün tutumu

Google yıllarca reklam platformunda parmak izini kamuoyu önünde yasakladı; ardından Şubat 2025'te bu tutumdan geri adım atarak reklamcılık ve analiz için bazı parmak izi türlerine izin verdi. Birleşik Krallık Bilgi Komiserliği Ofisi bu adımı "sorumsuzca" olarak nitelendirdi ve insanların verilerini kontrol etme yeteneğini azaltacağı uyarısında bulundu. Apple ise tam tersi bir tutum sergiliyor: Ekosisteminde parmak izine "asla izin verilmiyor" ve Safari yüksek entropili API erişimini agresif şekilde kısıtlamayı sürdürüyor. Sektördeki bu farklı tutumlar, web'in büyük kısmını finanse eden reklam modeli ile anlamlı kullanıcı gizliliğine yönelik artan talep arasındaki temel gerilimi yansıtıyor.

Tarayıcı parmak izinin geleceği

Parmak izi toplayanlarla tarayıcı üreticileri arasındaki silahlanma yarışı yavaşlama belirtisi göstermiyor.

İzleme tarafında yeni web API'leri sürekli olarak yeni parmak izi yüzeyleri yaratıyor. WebGL'in devamı olan WebGPU, ekran kartı yeteneklerine çok daha derin erişim sağlıyor ve tarayıcılarda yaygınlaştıkça muhtemelen güçlü yeni bir parmak izi vektörü hâline gelecek. CSS tabanlı parmak izi, saldırı yüzeyini e-posta istemcileri dahil JavaScript'in engellendiği ortamlara genişletiyor. Analizi istemci tarafındaki JavaScript'ten TLS el sıkışmaları ve HTTP/2 çerçeve sıralaması gibi ağ düzeyindeki sinyallere taşıyan sunucu tarafı parmak izi, tarayıcının kontrolü dışında gerçekleştiği için tarayıcıların karşı koyması daha zor. Davranışsal biyometri (fare hareketleri, yazma örüntüleri, dokunma hareketleri) ise hiçbir tarayıcı ayarının önleyemeyeceği bir parmak izi kategorisini temsil ediyor, çünkü sinyal kullanıcının yazılımından değil bedeninden geliyor.

Savunma tarafında ise tarayıcı üreticileri API'lerini sıkılaştırmayı sürdürüyor. Mozilla ve Apple, tarayıcılarının açığa çıkardığı entropiyi azaltmaya yatırım yapıyor. W3C'nin Privacy Interest Group'u, web işlevselliğini bozmadan parmak izi yüzeylerini sınırlayacak standartlar üzerinde çalışıyor. Gizliliği koruyan doğrulama (privacy-preserving attestation) gibi yeni ortaya çıkan kavramlar ise hangi insan olduğunuzu açıklamadan gerçek bir insan olduğunuzu kanıtlayarak dolandırıcılığı önlemede parmak izine duyulan meşru ihtiyacı zamanla azaltabilir.

En olası sonuç parmak izinin ortadan kalkması değil. Giderek daha fazla düzenlenmesi, tarayıcı düzeyindeki korumalarla giderek daha fazla karşılanması ve kamuoyu tarafından giderek daha görünür hâle gelmesi. Şimdiden adım atan, yani doğru tarayıcıyı seçen, kullanılan teknikleri anlayan ve maruziyetini düzenli olarak test eden kullanıcıları izlemek, atmayanlara göre çok daha zor olacak.

Ve bu, kusursuz olmasa da anlamlı bir fark.

---

Gizlilik odaklı tarayıcıların parmak izi koruması ve diğer konularda yaygın seçeneklerle nasıl kıyaslandığını görmek mi istiyorsunuz? Size uygun tarayıcıyı bulmak için tarayıcı karşılaştırmalarımıza göz atın.