Wat een browser eigenlijk doet¶

Een website is geen plaatje dat wordt opgestuurd. Het is een verzameling instructies, en jouw browser voert die uit. Hij haalt een tekstbestand op, leest daarin welke lettertypen, afbeeldingen, scripts en stijlen erbij horen, haalt die ook op, en bouwt daaruit het beeld dat jij ziet.

Dat is elke keer opnieuw een kleine verbouwing, in een paar honderd milliseconden. De browser is de vertaler tussen wat een maker heeft opgeschreven en wat jij te zien krijgt.

En hier zit het punt dat de meeste mensen missen: die vertaler werkt voor jou. Niet voor de website.

Hij kiest steeds vaker jouw kant¶

De afgelopen jaren heeft je browser een reeks beschermingen erbij gekregen, zonder dat je erom vroeg:

• Cookies van derden worden geblokkeerd of afgeschermd. Een site kan niet meer zomaar een cookie van een advertentiebedrijf laten plaatsen die je over duizend andere sites herkent.
• Scripts zitten in een doos. Ze mogen niet zomaar bij je bestanden, je camera, je locatie of andere tabbladen.
• De verwijzende pagina wordt ingekort. Waar je vandaan kwam, wordt niet meer volledig doorgegeven.
• Herkenning aan je toestel wordt lastiger gemaakt. Sommige browsers geven expres vage antwoorden op vragen over je scherm, je lettertypen of je grafische kaart.
• Opslag wordt opgeruimd. Wat een site achterlaat, verdwijnt sneller dan vroeger.

Dit gebeurt allemaal onder de motorkap. Je merkt het niet, want als het goed werkt, zie je niets.

En daarom bestaat vrijwel alles waar ik over schrijf¶

Zodra je dit ziet, valt het hele veld op zijn plek. Bijna elke techniek die ik meet, is een antwoord op een bescherming die de browser heeft ingebouwd.

De browser blokkeert cookies van derden. Dus verplaatst men de tracker naar een subdomein van de site zelf, via een omleiding in de naamgeving. Voor de browser is het dan eigen verkeer, en de blokkade grijpt niet. Zie CNAME-cloaking zit op vier op de tien overheidssites.

De browser laat je opslag opruimen. Dus herkent men je aan eigenschappen die je niet kunt wissen: schermformaat, lettertypen, grafische kaart, tijdzone. Er wordt niets opgeslagen, dus er is niets te verwijderen. Zie Fingerprinting ontwijkt je weigering door niets op te slaan.

De browser laat je scripts blokkeren. Dus verhuist men de verzameling naar de server van de site zelf, waar geen browser bij kan. Zie Server-side tagging verplaatst de tracking uit het zicht.

De browser laat je een advertentie-ID resetten. Dus koppelt men het oude nummer aan het nieuwe via een partij die ze allebei zag. Zie Een resetbare identifier is alsnog een sleutel.

Dat is geen samenzwering en het is meestal niet eens illegaal. Het is een wedloop, en de browser is de partij die aan jouw kant staat.

Waarom je dat moet weten als je geen techneut bent¶

Drie dingen worden hierdoor begrijpelijk.

Een cookiebanner is niet de bescherming. De echte bescherming zit in je browser en gebeurt automatisch. De banner is een juridische vraag, en het antwoord daarop wordt op veel sites niet eens uitgevoerd. Zie Weigeren doet op vier van de vijf sites niets.

Je browserkeuze doet meer dan je cookiekeuze. Welke browser je gebruikt en hoe hij staat ingesteld, bepaalt meer dan welk vinkje je aanklikt. Dat is een oncomfortabele waarheid voor iedereen die denkt dat weigeren genoeg is.

Wat ik meet, meet ik vanuit de browser. Mijn scanner is een echte browser die doet wat jij doet. Daarom is alles wat ik vind een ondergrens: wat de browser niet ziet, zie ik ook niet. Wat er op de server van een site gebeurt nadat het verkeer daar is aangekomen, blijft buiten beeld. Zie Hoe mijn scanner werkt, van bezoek tot bewijsstuk.

Wat je zelf kunt zien, vandaag nog¶

Je hebt geen gereedschap nodig om dit een keer met eigen ogen te zien.

1. Open een willekeurige nieuwssite. 2. Druk op F12, of rechtermuisknop en dan Inspecteren. 3. Ga naar het tabblad Netwerk en herlaad de pagina.

Wat je dan ziet is de volledige verbouwing: elk bestand dat wordt opgehaald, van welke server, hoe groot en hoe lang het duurde. Bij een gemiddelde nieuwssite staan daar honderden regels, en een flink deel daarvan gaat naar bedrijven waar je nooit van hebt gehoord.

Dat is geen verborgen kennis. Het staat er gewoon, in elke browser, altijd. De vertaler laat je meekijken in zijn eigen werk.

Waar de vergelijking mank gaat¶

Een tolk kiest partij, en dat doet je browser dus ook. Maar een tolk wordt door iemand betaald, en dat geldt hier ook.

De grootste browser ter wereld wordt gemaakt door een bedrijf dat zijn geld verdient aan advertenties. Dat betekent niet dat die browser slecht is, want hij bevat veel van de beschermingen hierboven. Het betekent wel dat de partij die de regels van het spel schrijft, ook een van de spelers is.

Dat is precies de reden dat meten nodig blijft. Een belofte over gedrag is geen gedrag. Zie Papier versus code: de verklaring en de uitvoering.