Każde urządzenie podłączone do internetu ma swój adres IP — trochę jak numer telefonu. Gdy wchodzisz na stronę, Twoja przeglądarka automatycznie podaje ten adres — bez żadnego pytania o zgodę.

Istnieją dwa rodzaje adresów IP:

• Publiczny (zewnętrzny) — adres, który widzi internet. Nadaje go Twój ISP. To właśnie ten adres zobaczysz poniżej. Wszystkie urządzenia w Twojej sieci domowej współdzielą zwykle jeden publiczny IP.
• Prywatny (lokalny) — adres w Twojej sieci domowej lub firmowej, np. 192.168.1.x lub 10.0.0.x. Widzi go tylko Twój router — internet go nie widzi.

Wspomnijmy też o IPv6 — nowszej wersji adresowania, wyglądającej np. tak: 2001:db8::1. IPv6 może sprawiać, że Twoje urządzenie jest widoczne w internecie bezpośrednio, bez NATu — to ważne dla prywatności.

Serwer strony widzi Twój IP. Widzi go też Twój dostawca internetu (ISP). Widzą go sieci reklamowe. I często wyciągają z niego informacje o Tobie.

Nawet bez dodatkowych narzędzi, z samego adresu IP da się często wywnioskować: kraj, miasto (przybliżone), dostawcę internetu, a czasem nawet typ połączenia (dom, biuro, VPN, sieć mobilna).

Kluczowa lekcja: samo połączenie z internetem ujawnia Twój adres IP — niezależnie od tego, czego szukasz czy co klikasz.

ISP (Internet Service Provider) to Twój dostawca internetu. Każde połączenie z internetem przechodzi przez niego. ISP widzi wszystkie strony, które odwiedzasz (nawet te szyfrowane — widzi adres serwera, choć nie treść).

Przykłady ISP w różnych krajach: Polska — Orange, Play, Polsat Box, UPC, T-Mobile; USA — Comcast/Xfinity, AT&T, Verizon, Spectrum, T-Mobile US; Australia — Telstra, Optus, TPG, Aussie Broadband. Niezależnie od kraju, zasada jest ta sama: ISP widzi Twój ruch.

ASN (Autonomous System Number) to numer sieci, do której należy Twój adres IP. Pozwala zidentyfikować, czy IP pochodzi z sieci domowej, firmowej, centrum danych czy dostawcy VPN.

DNS (Domain Name System) to internetowa „książka telefoniczna" — zamienia nazwy stron (google.com) na adresy IP. Domyślnie Twoje zapytania DNS idą przez serwer Twojego ISP — który widzi każdą stronę, której adresu szukasz.

Kluczowa lekcja: Twój ISP to nie tylko dostawca łącza — to obserwator całego Twojego ruchu sieciowego. DNS to jedno z najczęściej pomijanych źródeł wycieków prywatności.

Nagłówek HTTP (ang. header) to dodatkowa linia metadanych, którą przeglądarka dołącza do każdego zapytania sieciowego — zanim jeszcze strona zdąży się załadować. Wyobraź sobie kopertę: treść listu to właściwa strona internetowa, a nagłówki to informacje napisane na kopercie — nadawca, adres zwrotny, język. Serwer czyta je zanim w ogóle otworzy list.

Przy każdym zapytaniu do serwera Twoja przeglądarka wysyła nagłówek User-Agent — ciąg tekstu opisujący system operacyjny, wersję przeglądarki i silnik. To dzieje się automatycznie, bez Twojej wiedzy.

Nowsze przeglądarki (Chrome 90+) dodają też Client Hints — zestaw ustrukturyzowanych nagłówków, które dokładniej opisują Twoje urządzenie (np. architekturę procesora, wersję systemu).

Samo User-Agent (UA) nie wystarczy do jednoznacznej identyfikacji — wiele urządzeń ma identyczny ciąg UA. Dlatego strony łączą go z dziesiątkami innych sygnałów, tworząc fingerprint. Ale UA jest zawsze pierwszym krokiem.

Kluczowa lekcja: Twoja przeglądarka „przedstawia się" serwerowi przy każdym zapytaniu — jeszcze zanim strona się załaduje.

Cookie to mały plik tekstowy, który strona zostawia w Twojej przeglądarce. Przy każdej kolejnej wizycie przeglądarka odsyła go z powrotem do serwera — strona „pamięta" Cię bez logowania.

Do czego cookies służą normalnie (i dobrze):

• 🛒 Koszyk zakupów — serwer wie, co dodałeś, nawet gdy przełączasz zakładki
• 🔑 Sesja logowania — po zalogowaniu serwer daje Ci ciasteczko z tokenem sesji; dzięki niemu każda kolejna strona wie, że to Ty — bez ponownego wpisywania hasła
• 🌐 Preferencje języka i motywu — „zapamiętaj tryb ciemny"
• 📖 Postęp kursu lub odcinka — np. ta strona zapisuje w ciasteczku lustro_edu etapy, które ukończyłeś — dokładnie tak jak Netflix zapamiętuje, do jakiej minuty obejrzałeś serial

Mają więc uzasadnione zastosowania — ale te same mechanizmy służą do śledzenia między stronami.

Kluczowa lekcja: cookies same w sobie nie są złe — problem w tym, że te same mechanizmy, które pamiętają Twój koszyk, służą też do budowania profilu reklamowego łączącego setki odwiedzanych stron.

Fingerprint (odcisk palca) to technika identyfikacji urządzenia bez cookies. Strona zbiera dziesiątki drobnych charakterystyk Twojej przeglądarki i urządzenia, łączy je w jeden hash — i rozpoznaje Cię przy kolejnej wizycie, nawet jeśli wyczyściłeś cookies.

Co wchodzi w skład fingerprintu:

• 🖼️ Canvas fingerprint — każda karta graficzna rysuje ten sam tekst nieco inaczej. Różnice subpikselowe tworzą unikalny podpis GPU.
• 🖥️ Rozdzielczość ekranu i DPI — kombinacja rozdzielczości, głębi kolorów i skali wyświetlania jest często unikalna.
• ⚙️ Liczba rdzeni CPU, RAM — JavaScript może zapytać o `navigator.hardwareConcurrency` i `deviceMemory`.
• 🌐 Strefa czasowa i język — `Intl.DateTimeFormat().resolvedOptions().timeZone` jest zawsze dostępny.
• 🔠 Zainstalowane fonty — przez pomiar renderowania tekstu w różnych krojach.
• 🎵 AudioContext fingerprint — karta dźwiękowa przetwarza dźwięk nieco inaczej — to też jest sygnał.

Kluczowa lekcja: wyczyszczenie cookies nie usuwa fingerprintu — dane potrzebne do jego obliczenia są wbudowane w Twoje urządzenie i przeglądarkę.

Wszystkie zebrane sygnały są sklejane w jeden ciąg tekstu i przepuszczane przez funkcję skrótu (np. SHA-256) — wynikiem jest krótki, unikalny hash (identyfikator). Pamiętasz hash pokazany na górze strony? To właśnie on.

Kluczowe pojęcie to entropia — miara unikalności. Każdy sygnał dodaje pewną liczbę bitów entropii. Im więcej bitów, tym łatwiej Cię rozpoznać w tłumie internetowiczów.

Do czego używają fingerprintu — ciemna strona:

• 🎯 Reklamy targetowane — rozpoznawanie Cię bez cookies (cookie-less tracking)
• 📊 Analityka — liczenie unikalnych użytkowników bez cookies, nawet gdy je wyczyścisz
• 🚫 Ban evasion detection — platformy blokują konta po fingerprincie, nie tylko po IP

Do czego używają fingerprintu — jasna strona:

• 🛡️ Fraud detection — Twój bank porównuje fingerprint urządzenia przy każdym logowaniu. Nowe urządzenie = dodatkowa weryfikacja. To jedna z warstw ochrony przed kradzieżą konta.
• 🔐 Uwierzytelnienie dodatkowe — „czy to ta sama przeglądarka co ostatnio?" — wykrywa próby przejęcia sesji z innego urządzenia.
• 🧒 Ochrona dzieci — platformy wideo mogą wykrywać urządzenia, które wcześniej naruszały zasady dotyczące treści dla nieletnich — nawet po założeniu nowego konta.
• 🤖 Bot detection — serwisy rozróżniają prawdziwą przeglądarkę od automatycznego skryptu. Fingerprint pomaga chronić formularze przed spamem i rezerwacje przed scalperami.

Kluczowa lekcja: fingerprinting jest trudny do zablokowania, bo nie wymaga żadnej pamięci po stronie przeglądarki — każde zapytanie do strony wystarczy, żeby policzyć hash na nowo.

VPN szyfruje ruch sieciowy i ukrywa Twój adres IP przed odwiedzanymi stronami. Ale jest jedno częste niedopatrzenie: zapytania DNS.

Gdy wpisujesz adres strony, system operacyjny musi zamienić nazwę (np. google.com) na adres IP. Jeśli VPN nie przechwyci tego zapytania, trafi ono do serwera DNS Twojego ISP — który widzi każdą stronę, którą próbujesz odwiedzić, nawet przez VPN.

To właśnie jest DNS leak — wyciek nazw odwiedzanych stron poza tunel VPN.

Kluczowa lekcja: dobry VPN musi chronić nie tylko ruch HTTP, ale też zapytania DNS. Sprawdź ustawienia swojego klienta VPN — szukaj opcji „DNS leak protection" lub „private DNS".

Każde zapytanie HTTP (czyli każde kliknięcie, każdy obrazek, każdy skrypt) zawiera zestaw nagłówków — metadanych automatycznie dołączanych przez przeglądarkę. Czym jest nagłówek? Wyobraź sobie list: treść strony to tekst w środku, a nagłówki HTTP to informacje na kopercie — kto wysyła, skąd pochodzi, w jakim języku, jaką przeglądarką. Serwer czyta kopertę zanim jeszcze otworzy list.

Jak to działa technicznie: kiedy Twoja przeglądarka wysyła zapytanie do serwera (np. „daj mi stronę główną"), do tego zapytania automatycznie dodawane są linie w stylu:

GET / HTTP/2
Host: lustereczko.suisen.cloud
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)...
Accept-Language: pl-PL,pl;q=0.9
Referer: https://google.com/search?q=...

Najważniejsze z punktu widzenia prywatności:

• User-Agent — przeglądarka + system operacyjny (widziałeś go w etapie 3)
• Referer — skąd przyszedłeś (poprzednia strona). Np. jeśli klikasz link z Facebooka, strona docelowa wie, że byłeś na Facebooku.
• Accept-Language — preferowane języki — zdradza kraj i kulturę
• Sec-CH-UA-* — Client Hints: szczegółowa wersja przeglądarki, platforma, mobilność
• Cookie — wszystkie cookies tej domeny dołączane automatycznie

Kluczowa lekcja: nagłówki HTTP są wysyłane przy każdym zasobie ładowanym przez stronę — każdy obrazek, czcionka, skrypt z CDN, pixel reklamowy. To wiele okazji do śledzenia.

URL (Uniform Resource Locator) to po prostu adres strony — to co widzisz w pasku przeglądarki, np. https://sklep.pl/produkt?id=42. Tak jak adres pocztowy wskazuje konkretny dom, URL wskazuje konkretny zasób w internecie: protokół (https), domenę (sklep.pl), ścieżkę (/produkt) i parametry zapytania (?id=42).

Parametry śledzące w URL — gdy klikasz link w reklamie lub mailu, często zawiera on dodatkowe parametry:

• ?utm_source=email&utm_campaign=promo — UTM, pozwala firmie zmierzyć skąd przyszedłeś
• ?gclid=Cj0KCQ... — Google Click ID — łączy kliknięcie reklamy z zakupem
• ?fbclid=IwAR... — Facebook Click ID — analogicznie dla Meta

Piksel śledzący to obrazek 1×1 piksel ukryty w emailu lub stronie. Załadowanie go przez Twoją przeglądarkę wysyła sygnał do serwera trackera: „ten email został otwarty, z tego IP, w tym czasie, z tą przeglądarką".

CNAME cloaking — zaawansowana technika, gdzie tracker udaje subdomenę odwiedzanej strony (np. analytics.twojbank.pl w rzeczywistości wskazuje na serwery Google). Ad-blokery go nie blokują.

Kluczowa lekcja: śledzenie nie kończy się na cookies — URL, emaile, zasoby zewnętrzne i sprytne konfiguracje DNS to kolejne wektory zbierania danych.

Ad-blocker (np. uBlock Origin) działa porównując każdy ładowany zasób (skrypt, obrazek, iframe) z listami znanych trackerów (tracker — zewnętrzny skrypt lub pixel, którego jedynym celem jest zebranie informacji o Tobie i wysłanie ich do firmy trzeciej, np. Google, Meta, TikTok). Jeśli URL pasuje do wzorca — blokuje.

Co blokuje:

• ✅ Skrypty Google Analytics, Facebook Pixel, Google Tag Manager
• ✅ Piksele reklamowe i zapytania do znanych serwerów śledzących
• ✅ Reklamy displayowe, pop-upy, bannery

Co go omija:

• ❌ Śledzenie server-side (Conversion API Meta) — ruch idzie bezpośrednio między serwerami
• ❌ CNAME cloaking — tracker wygląda jak część strony
• ❌ Fingerprinting — obliczany przez własny JS strony, nie zewnętrzny
• ❌ URL tracking params (gclid, fbclid) — to tylko tekst w adresie

Kluczowa lekcja: ad-blocker to ważna ochrona, ale nie jest tarczą absolutną. Fingerprinting i śledzenie server-side działają niezależnie od niego.

Nie musisz robić wszystkiego naraz. Każdy krok zmniejsza Twoją widoczność. Zacznij od poziomu, który jest dla Ciebie wygodny.