浏览器指纹检测——你暴露了哪些可被追踪的参数？

指纹检测的核心不是「你的 UA 长什么样」，而是「你声称的身份能不能自圆其说」。风控系统很少因为某个参数稀有就封你——它封的是互相打架的组合。最常被抓的第一组矛盾是时区与 IP 地理位置：你的出口 IP 落在洛杉矶(UTC-8)，但 JavaScript 的 Intl.DateTimeFormat().resolvedOptions().timeZone 却返回 Asia/Shanghai，这种 16 小时的错位几乎只可能出现在「人在国内挂了美国代理」的场景，是代理用户最常见的露馅点。

第二组矛盾在 UA 字符串与运行环境之间。UA 里写着 Windows NT 10.0，但 navigator.platform 返回 MacIntel；或者 UA 声称是 Chrome on Android，可 navigator.maxTouchPoints 却是 0(没有触摸屏)、屏幕宽高比是桌面比例。指纹浏览器改 UA 容易，但要让底层几十个关联属性全部对齐很难，露的往往就是这些「改了门面没改里子」的细节。

第三组矛盾是语言与地区。Accept-Language 头和 navigator.languages 写着 en-US，但 IP 在越南、时区是 Asia/Ho_Chi_Minh，这种语言/地区/网络三者不一致同样会拉低可信度。IPOK 把参数按网络/软件/硬件三类铺开，逐项标 ✓ 或 🚩，正是为了让你一眼看到自己卡在哪一组矛盾上，而不是淹没在一堆原始参数里。

很多人以为指纹检测是看「有没有被识别」，其实更底层的指标是「你有多容易被单独认出来」。衡量它的概念叫熵(entropy)：一个参数能把人群切得越细，它携带的信息量(比特)越大。屏幕分辨率、显卡型号、安装的字体列表、时区、语言这些组合起来，往往就足以在数百万用户里把你压缩成几乎唯一的一个——这也是 EFF 的 Panopticlick/Cover Your Tracks 项目多年来反复演示的结论。

讽刺的是,越是为了「隐私」去装各种插件、改 UA、用冷门浏览器,反而可能让你更独特、更好追踪。一个裸奔的主流 Chrome 用户淹没在人海里;而一个 UA 被改得乱七八糟、装了一堆反指纹插件的浏览器,组合参数稀有到全网可能就你一个,Cookie 清了照样能凭这套指纹再认出你。这就是「隐私悖论」。

所以指纹检测的健康目标不是「参数全改光」,而是「看起来像一台平平无奇的真机」。IPOK 顶部的 0-100 匿名可信度分,扣分逻辑偏向「有没有伪装露馅 / 自动化痕迹」,而不是奖励你把参数改得多花哨——因为对抗风控时,合群比独特安全得多。

做多账号、防关联的人会用指纹浏览器(AdsPower、Multilogin、比特浏览器等)给每个账号配一套独立指纹。但「装了指纹浏览器」不等于「指纹干净」,常见翻车有几类。第一类是 WebGL/Canvas 渲染露馅:显卡 vendor/renderer 返回 SwiftShader、llvmpipe 或 Mesa 这类软件渲染标识,强烈暗示无头浏览器、虚拟机或服务器环境——真实台式机/笔记本几乎都是 NVIDIA/AMD/Intel/Apple 的硬件 GPU。

第二类是自动化框架的残留标记。用 Selenium/Puppeteer/Playwright 驱动浏览器时,navigator.webdriver 会是 true,window 上可能挂着 cdc_ 之类的注入变量;就算用了 stealth 插件抹掉一部分,函数 toString、原型链异常、缺失的 chrome 对象等细节仍可能被进阶检测抓到。第三类是配置不自洽:把指纹改得很「高端」(顶级显卡 + 64G 内存)却配了一条廉价机房 IP,硬件与网络画风对不上,反而更可疑。

正确做法是改完指纹后用一个中立的检测器复测,确认时区跟着代理走、UA 与平台一致、没有 webdriver、GPU 是硬件渲染、硬件与 IP 画风匹配。IPOK 全程在你本地读取参数、不上传、也刻意不生成 canvas/audio 唯一哈希,适合用来给配好的环境做这一步「出门前照镜子」的自检。

如果你是隐私敏感的普通用户:重点看自己被暴露了哪些高熵参数,以及有没有「换了 IP 却没换身份」的错觉。挂了 VPN/代理后,务必确认时区、语言是不是还泄露着你的真实所在地——很多 VPN 只改 IP,不动浏览器时区,结果 IP 在美国、时区还在 Asia/Shanghai,等于自己举手。配合本站的 WebRTC 泄露、DNS 泄露检测一起跑,才算把「网络层」和「浏览器层」的暴露面都覆盖到。

如果你是跨境电商/多账号运营者:把这页当成每个浏览器环境上线前的体检表。逐个账号确认指纹三类参数自洽、无自动化痕迹、硬件与代理画风一致,再去登录目标平台,能显著降低「批量注册被秒封」「养号突然集体掉线」这类因指纹关联导致的损失。

如果你是开发者/做反欺诈:这页可以当成理解对手视角的样本。你能直观看到客户端能读出哪些信号、哪些组合最容易暴露伪装,从而在自己的风控里设计相应的一致性校验(时区 vs IP、UA vs platform、webdriver、软渲染 GPU 等)。需要说明的是,IPOK 定位是「自查暴露面」的工具,展示的是你这台设备的真实参数,不替你生成可追踪指纹。