Każde urządzenie podłączone do internetu ma swój adres IP — trochę jak numer telefonu lub adres pocztowy. I tak jak listonosz musi znać Twój adres, żeby dostarczyć paczkę — serwer musi znać Twoje IP, żeby wiedzieć dokąd odesłać stronę, o którą poprosiłeś.

Cała komunikacja w internecie to właściwie rozmowa adres IP ↔ adres IP. Wygląda to mniej więcej tak:

Twoja przeglądarka podaje ten adres automatycznie, bo bez tego strona po prostu nie wiedziałaby, gdzie odesłać odpowiedź.

Istnieją dwa rodzaje adresów IP:

• Publiczny (zewnętrzny) — adres, który widzi internet. Nadaje go Twój ISP. To właśnie ten adres zobaczysz poniżej. Wszystkie urządzenia w Twojej sieci domowej współdzielą zwykle jeden publiczny IP (NAT).
• Prywatny (lokalny) — adres w Twojej sieci domowej lub firmowej, np. 192.168.1.x lub 10.0.0.x. Widzi go tylko Twój router — prywatne adresy nie wychodzą poza modem/router.

Wspomnijmy też o IPv6 — nowszej wersji adresowania, wyglądającej np. tak: 2001:db8::1. IPv6 może sprawiać, że Twoje urządzenie jest widoczne w internecie bezpośrednio, bez NATu — to ważne dla prywatności.

Serwer strony widzi Twój IP. Widzi go też Twój dostawca internetu (ISP). Widzą go sieci reklamowe. I często wyciągają z niego informacje o Tobie.

Nawet bez dodatkowych narzędzi, z samego adresu IP da się często wywnioskować: kraj, miasto (przybliżone), dostawcę internetu, a czasem nawet typ połączenia (dom, biuro, VPN, sieć mobilna).

Kluczowa lekcja: samo połączenie z internetem ujawnia Twój adres IP — niezależnie od tego, czego szukasz czy co klikasz.

ISP (Internet Service Provider) to Twój dostawca internetu. Każde połączenie z internetem przechodzi przez niego. ISP widzi wszystkie strony, które odwiedzasz (nawet te szyfrowane — widzi adres serwera, choć nie treść).

Przykłady ISP: PL — Orange, Play, T-Mobile; UE — Deutsche Telekom, Proximus, Orange France. Osobna kategoria to satelitarni ISP jak Starlink (SpaceX) czy OneWeb — fizycznie Twój ruch leci do satelity i z powrotem, ale zasada jest ta sama: ISP widzi Twój ruch. Jedyną realną osłoną przed ISP jest VPN — ale to temat na osobną mini lekcję (nr 11).

ASN (Autonomous System Number) to numer sieci, do której należy Twój adres IP. Pozwala zidentyfikować, czy IP pochodzi z sieci domowej, firmowej, centrum danych czy dostawcy VPN.

Do czego służy wiedza o ASN? — praktyczne zastosowania

Detekcja VPN i datacenter — każdy dostawca VPN (NordVPN, Mullvad, ExpressVPN) ma swoje zakresy IP zarejestrowane pod konkretnym ASN. Netflix, banki i platformy e-commerce utrzymują listy „złych" ASN-ów i blokują cały zakres jedną regułą. Twój ISP może brzmieć niewinnie („M Europe SRL"), ale ASN natychmiast mówi serwisowi: to datacenter, nie dom.

Fraud scoring przy transakcjach — systemy antyfrauldowe (Stripe, PayPal, sklepy) liczą „risk score" płatności. IP z ASN centrum danych + nowe konto + pierwsza transakcja = wysoki risk → ręczna weryfikacja lub blokada. To jedna z warstw ochrony przed kradzionymi kartami.

Geotargeting reklamowy — typ ASN zmienia kategorię użytkownika: ASN operatora mobilnego → reklamy mobilne i inne stawki, ASN sieci korporacyjnej → B2B targeting, ASN datacentera → podejrzenie bota → obniżona wycena albo brak reklamy.

WAF i rate limiting — Cloudflare, AWS Shield i inne systemy WAF robią „reputację ASN": ASN z historią ataków DDoS → throttling lub CAPTCHA dla wszystkich z tego zakresu. Jeden zły aktor w ASN = gorsze traktowanie dla całej puli adresów.

Threat intelligence (CTI) — analitycy mapują IP → ASN → infrastrukturę atakującego. Pivot: jeden IP C2 na AS16276 (OVH) → inne IP w tym ASN z podobną historią → blokada całej kampanii jedną regułą zamiast tysięcy pojedynczych adresów.

DNS (Domain Name System) to rozproszona, hierarchiczna baza danych — „książka telefoniczna internetu". Zamiast pamiętać że ta strona ma IP 51.68.151.209, wpisujesz lustereczko.suisen.cloud i przeglądarka pyta serwer DNS: „pod jakim numerem IP znajdę tę domenę?". Serwer odpowiada z adresem i przeglądarka może połączyć się z serwerem strony.

Jak przebiega to zapytanie krok po kroku: przeglądarka pyta najpierw lokalny cache → potem resolver DNS (najczęściej serwer Twojego ISP lub Google/Cloudflare, jeśli zmieniłeś) → resolver szuka odpowiedzi w hierarchii serwerów DNS (główne serwery root → serwery domeny .cloud → serwery autoritatywne suisen.cloud) → wynik wraca do przeglądarki i jest cachowany na chwilę. Cały proces zajmuje zazwyczaj kilka do kilkudziesięciu milisekund.

Ważne: każde zapytanie DNS jest widoczne dla Twojego ISP — jeśli nie korzystasz z DoH/DoT. ISP wie dokąd chcesz wejść, zanim jeszcze nawiążesz połączenie.

DNS a bezpieczeństwo — dlaczego to ważne?

DNS spoofing / cache poisoning — ktoś podstawia fałszywy wpis DNS, żebyś zamiast na prawdziwy bank trafił na identycznie wyglądającą kopię. Wpisujesz hasło — trafia do atakującego.

DNS hijacking — router domowy lub ISP przekierowuje Twoje zapytania DNS na własne serwery, żeby filtrować treści albo zbierać dane.

Ochrona: używaj DNS over HTTPS (DoH) lub DNS over TLS (DoT) — wtedy zapytania są szyfrowane i trudniejsze do podsłuchania lub podrobienia.

Domyślnie Twoje zapytania DNS idą przez serwer Twojego ISP — który widzi każdą stronę, której adresu szukasz.

Kluczowa lekcja: Twój ISP to nie tylko dostawca łącza — to obserwator całego Twojego ruchu sieciowego. DNS to jedno z najczęściej pomijanych źródeł wycieków prywatności.

Nagłówek HTTP (ang. header) to dodatkowa linia metadanych, którą przeglądarka dołącza do każdego zapytania sieciowego — zanim jeszcze strona zdąży się załadować. Wyobraź sobie kopertę: treść listu to właściwa strona internetowa, a nagłówki to informacje napisane na kopercie — nadawca, adres zwrotny, język. Serwer czyta je zanim w ogóle otworzy list.

Przy każdym zapytaniu do serwera Twoja przeglądarka wysyła nagłówek User-Agent — ciąg tekstu opisujący system operacyjny, wersję przeglądarki i silnik. To dzieje się automatycznie, bez Twojej wiedzy.

Nowsze przeglądarki (Chrome 90+) dodają też Client Hints — zestaw ustrukturyzowanych nagłówków, które dokładniej opisują Twoje urządzenie (np. architekturę procesora, wersję systemu).

Samo User-Agent (UA) nie wystarczy do jednoznacznej identyfikacji — wiele urządzeń ma identyczny ciąg UA. Dlatego strony łączą go z dziesiątkami innych sygnałów, tworząc fingerprint. Ale UA jest zawsze pierwszym krokiem.

UA to jeden z wielu nagłówków HTTP. Pełny zestaw nagłówków — co wysyłasz, jak to wygląda i co z tego wynika — omawiamy szczegółowo w etapie 8 tego kursu.

Kluczowa lekcja: Twoja przeglądarka „przedstawia się" serwerowi przy każdym zapytaniu — jeszcze zanim strona się załaduje.

Cookie to mały plik tekstowy, który strona zostawia w Twojej przeglądarce. Przy każdej kolejnej wizycie przeglądarka odsyła go z powrotem do serwera — np. strona może „pamiętać" Cię bez logowania. Co ważne: ciasteczka są izolowane per domena i per przeglądarka — Chrome nie widzi ciasteczek z Firefox i odwrotnie, a strona A nie może odczytać ciasteczek strony B (to tzw. Same-Origin Policy).

Do czego cookies służą normalnie (i dobrze):

• 🛒 Koszyk zakupów — serwer wie, co dodałeś, nawet gdy przełączasz zakładki
• 🔑 Sesja logowania — po zalogowaniu serwer daje Ci ciasteczko z tokenem sesji; dzięki niemu każda kolejna strona wie, że to Ty — bez ponownego wpisywania hasła
• 🌐 Preferencje języka i motywu — „zapamiętaj tryb ciemny i ustaw język Polski"
• 📖 Postęp kursu lub odcinka — np. ta strona zapisuje w ciasteczku lustro_edu etapy, które ukończyłeś — dla przykładu taki Netflix zapamiętuje, do jakiej minuty obejrzałeś serial, choć tak naprawdę wykorzystuje więcej sztuczek

Mają więc uzasadnione zastosowania — ale te same mechanizmy służą do śledzenia między stronami.

Kluczowa lekcja: cookies same w sobie nie są złe — problem w tym, że te same mechanizmy, które pamiętają Twój koszyk, służą też do budowania profilu reklamowego łączącego setki odwiedzanych stron.

Fingerprint (odcisk palca) to technika identyfikacji urządzenia bez cookies. Strona zbiera dziesiątki drobnych charakterystyk Twojej przeglądarki i urządzenia, łączy je w jeden hash — i rozpoznaje Cię przy kolejnej wizycie, nawet jeśli wyczyściłeś cookies.

Co wchodzi w skład fingerprintu:

• 🖼️ Canvas fingerprint — każda karta graficzna rysuje ten sam tekst nieco inaczej. Różnice subpikselowe tworzą unikalny podpis GPU.
• 🖥️ Rozdzielczość ekranu i DPI — kombinacja rozdzielczości fizycznej ekranu, głębi kolorów i skali wyświetlania (devicePixelRatio) jest często unikalna. Uwaga: chodzi o fizyczną rozdzielczość monitora, nie rozmiar okna przeglądarki — zmiana wielkości okna nie zmienia hasha. Na telefonie jednak obracanie urządzenia (portrait ↔ landscape) zamienia miejscami szerokość i wysokość ekranu i może zmienić hash.
• ⚙️ Liczba rdzeni CPU, RAM — JavaScript może zapytać o `navigator.hardwareConcurrency` i `deviceMemory`.
• 🌐 Strefa czasowa i język — `Intl.DateTimeFormat().resolvedOptions().timeZone` jest zawsze dostępny.
• 🔠 Zainstalowane fonty — przez pomiar renderowania tekstu w różnych krojach.
• 🎵 AudioContext fingerprint — karta dźwiękowa przetwarza dźwięk nieco inaczej — to też jest sygnał.

Kluczowa lekcja: wyczyszczenie cookies nie usuwa fingerprintu — dane potrzebne do jego obliczenia są wbudowane w Twoje urządzenie i przeglądarkę.

Wszystkie zebrane sygnały są sklejane w jeden ciąg tekstu i przepuszczane przez funkcję skrótu (np. SHA-256) — wynikiem jest krótki, unikalny hash (identyfikator). Pamiętasz hash pokazany na górze strony? To właśnie on.

Kluczowe pojęcie to entropia — miara unikalności. Każdy sygnał dodaje pewną liczbę bitów entropii. Im więcej bitów, tym łatwiej Cię rozpoznać w tłumie internetowiczów.

Po co w ogóle jest analityka? Właściciele stron używają fingerprint i cookies do legalnych celów: liczenie ilu unikalnych użytkowników odwiedza stronę, które podstrony są popularne, skąd przychodzą odwiedzający, ile czasu spędzają. To pomaga ulepszać serwisy, mierzyć skuteczność kampanii, decydować co warto rozwijać. Problem pojawia się gdy te same dane trafiają do firm reklamowych i są łączone z danymi z setek innych stron.

Do czego używają fingerprintu — ciemna strona:

• 🎯 Reklamy targetowane — rozpoznawanie Cię bez cookies (cookie-less tracking)
• 📊 Analityka — liczenie unikalnych użytkowników bez cookies, nawet gdy je wyczyścisz
• 🚫 Ban evasion detection — platformy blokują konta po fingerprincie, nie tylko po IP

Do czego używają fingerprintu — jasna strona:

• 🛡️ Fraud detection — Twój bank porównuje fingerprint urządzenia przy każdym logowaniu. Nowe urządzenie = dodatkowa weryfikacja. To jedna z warstw ochrony przed kradzieżą konta.
• 🔐 Uwierzytelnienie dodatkowe — „czy to ta sama przeglądarka co ostatnio?" — wykrywa próby przejęcia sesji z innego urządzenia.
• 🧒 Ochrona dzieci — platformy wideo mogą wykrywać urządzenia, które wcześniej naruszały zasady dotyczące treści dla nieletnich — nawet po założeniu nowego konta.
• 🤖 Bot detection — serwisy rozróżniają prawdziwą przeglądarkę od automatycznego skryptu. Fingerprint pomaga chronić formularze przed spamem i rezerwacje przed scalperami.

Kluczowa lekcja: fingerprinting jest trudny do zablokowania, bo nie wymaga żadnej pamięci po stronie przeglądarki — każde zapytanie do strony wystarczy, żeby policzyć hash na nowo.

Pojedynczy sygnał — adres IP, jedno ciasteczko, jedno kliknięcie — jest mało wartościowy. Prawdziwa siła jest w łączeniu danych. Profilowanie to automatyczne agregowanie wszystkich dostępnych sygnałów w jeden model, który pozwala firmom przewidzieć Twoje zachowanie, zainteresowania, sytuację finansową i poglądy.

Kto na tym korzysta:

• 📢 Reklamodawcy — kupują dostęp do precyzyjnie wybranych profili (np. „kobiety 25-34, Warszawa, interesują się modą, właścicielki psów"). Płacą za trafność, nie za zasięg.
• 🗄️ Data brokerzy — firmy jak Acxiom, Oracle Data Cloud — kupują dane od setek źródeł i sprzedają gotowe profile profilowe: dochód szacunkowy, zainteresowania, styl życia. Twój profil może być sprzedany dziesiątkom firm bez Twojej wiedzy.
• 🏦 Banki i ubezpieczyciele — coraz częściej uzupełniają ocenę ryzyka danymi z zewnętrznych profili (choć w UE jest to regulowane przez RODO).
• 🌐 Platformy — Facebook, TikTok, YouTube używają profilu do doboru treści które zobaczysz — nie tylko reklam, ale też postów, filmów, „Proponowanych dla Ciebie". Profil determinuje co widzisz w sieci.

Kluczowa lekcja: profilowanie nie wymaga logowania ani zgody — wystarczą cookies, fingerprint i IP zebrane z setek stron. Dane są korelowane między niezwiązanymi ze sobą serwisami i wzbogacane danymi z wielu źródeł.

W etapie 3 poznałeś User-Agent — jeden nagłówek, który przeglądarka wysyła do serwera. Tutaj przyjrzyjmy się całemu zestawowi nagłówków i temu, co łącznie ujawniają o Tobie.

Każde zapytanie HTTP (czyli każde kliknięcie, każdy obrazek, każdy skrypt) zawiera zestaw nagłówków — metadanych automatycznie dołączanych przez przeglądarkę. Czym jest nagłówek? Wyobraź sobie list: treść strony to tekst w środku, a nagłówki HTTP to informacje na kopercie — kto wysyła, skąd pochodzi, w jakim języku, jaką przeglądarką. Serwer czyta kopertę zanim jeszcze otworzy list.

Jak to działa technicznie: kiedy Twoja przeglądarka wysyła zapytanie do serwera (np. „daj mi stronę główną"), do tego zapytania automatycznie dodawane są linie w stylu:

GET / HTTP/2
Host: lustereczko.suisen.cloud
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)...
Accept-Language: pl-PL,pl;q=0.9
Referer: https://google.com/search?q=...

Najważniejsze z punktu widzenia prywatności:

• User-Agent — przeglądarka + system operacyjny (widziałeś go w etapie 3)
• Referer — skąd przyszedłeś (poprzednia strona). Np. jeśli klikasz link z Facebooka, strona docelowa wie, że byłeś na Facebooku.
• Accept-Language — preferowane języki — zdradza kraj i kulturę
• Sec-CH-UA-* — Client Hints: szczegółowa wersja przeglądarki, platforma, mobilność
• Cookie — wszystkie cookies tej domeny dołączane automatycznie

Kluczowa lekcja: nagłówki HTTP są wysyłane przy każdym zasobie ładowanym przez stronę — każdy obrazek, czcionka, skrypt z CDN, pixel reklamowy. To wiele okazji do śledzenia.

URL (Uniform Resource Locator) to po prostu adres strony — to co widzisz w pasku przeglądarki, np. https://sklep.pl/produkt?id=42. Tak jak adres pocztowy wskazuje konkretny dom, URL wskazuje konkretny zasób w internecie: protokół (https), domenę (sklep.pl), ścieżkę (/produkt) i parametry zapytania (?id=42).

Parametry śledzące w URL — gdy klikasz link w reklamie lub mailu, często zawiera on dodatkowe parametry:

• ?utm_source=email&utm_campaign=promo — UTM, pozwala firmie zmierzyć skąd przyszedłeś
• ?gclid=Cj0KCQ... — Google Click ID — łączy kliknięcie reklamy z zakupem
• ?fbclid=IwAR... — Facebook Click ID — analogicznie dla Meta

Piksel śledzący to obrazek 1×1 piksel ukryty w emailu lub stronie. Załadowanie go przez Twoją przeglądarkę wysyła sygnał do serwera trackera: „ten email został otwarty, z tego IP, w tym czasie, z tą przeglądarką".

CNAME cloaking — zaawansowana technika, gdzie tracker udaje subdomenę odwiedzanej strony (np. analytics.twojbank.pl w rzeczywistości wskazuje na serwery Google). Ad-blokery go nie blokują.

Kluczowa lekcja: śledzenie nie kończy się na cookies — URL, emaile, zasoby zewnętrzne i sprytne konfiguracje DNS to kolejne wektory zbierania danych.

Ad-blocker (np. uBlock Origin) działa porównując każdy ładowany zasób (skrypt, obrazek, iframe) z listami znanych trackerów (tracker — zewnętrzny skrypt lub pixel, którego jedynym celem jest zebranie informacji o Tobie i wysłanie ich do firmy trzeciej, np. Google, Meta, TikTok). Jeśli URL pasuje do wzorca — blokuje.

Co blokuje:

• ✅ Skrypty Google Analytics, Facebook Pixel, Google Tag Manager
• ✅ Piksele reklamowe i zapytania do znanych serwerów śledzących
• ✅ Reklamy displayowe, pop-upy, bannery

Co go omija:

• ❌ Śledzenie server-side (Conversion API Meta) — ruch idzie bezpośrednio między serwerami
• ❌ CNAME cloaking — tracker wygląda jak część strony
• ❌ Fingerprinting — obliczany przez własny JS strony, nie zewnętrzny
• ❌ URL tracking params (gclid, fbclid) — to tylko tekst w adresie

Kluczowa lekcja: ad-blocker to ważna ochrona, ale nie jest tarczą absolutną. Fingerprinting, śledzenie server-side i trackery z losowymi URL działają niezależnie od niego.

VPN (Virtual Private Network) tworzy szyfrowany tunel między Twoim urządzeniem a serwerem VPN — wyobraź sobie podziemny korytarz, którym wychodzisz w inne miejsce. Twój ruch internetowy „wychodzi na powierzchnię" z serwera VPN w innym kraju, z jego adresem IP zamiast Twojego. Strony widzą IP serwera VPN, nie Twoje. ISP widzi tylko że ruch idzie do serwera VPN — nie widzi jakich stron odwiedzasz.

Ważne zastrzeżenie: adresy IP serwerów VPN są ogólnie znane — firmy takie jak Netflix, YouTube czy banki mają listy znanych adresów VPN i mogą bez problemu stwierdzić, że korzystasz z VPN. Często wiadomo nawet z jakiego konkretnego dostawcy VPN korzystasz (na podstawie zakresu IP lub ASN) — i na tej podstawie możesz dostać odpowiednią reklamę, np. reklamy bezpieczeństwa w sieci.

Kluczowa lekcja: VPN to jedno z narzędzi — nie srebrna kula. Łącz go z uBlock Origin, dobrym DNS i świadomością fingerprint żeby uzyskać realną ochronę prywatności.

Wiesz już z etapu 2 jak działa DNS (zamiana nazwy domeny na IP) i z etapu 11 że VPN tworzy szyfrowany tunel z innym adresem wyjściowym. Jest jednak jeden pułapka, którą łatwo przeoczyć.

Gdy wpisujesz adres strony, system operacyjny musi zapytać serwer DNS: „pod jakim IP znajdę tę domenę?". Jeśli VPN nie przechwytuje tych zapytań DNS, lecą one starym kanałem — najczęściej do serwera DNS Twojego ISP. ISP widzi wtedy każdą domenę, którą próbujesz odwiedzić — mimo że reszta ruchu biegnie przez zaszyfrowany tunel VPN. To właśnie jest DNS leak.

Kluczowa lekcja: dobry VPN chroni nie tylko treść połączeń, ale też zapytania DNS — bez tego ISP nadal wie dokąd chcesz wejść, nawet jeśli nie widzi co tam robisz.

Nie musisz robić wszystkiego naraz. Każdy krok zmniejsza Twoją widoczność. Zacznij od poziomu, który jest dla Ciebie wygodny.