So identifizieren Sie einen Benutzer ohne Cookies und Registrierung

Stellen Sie sich eine Situation vor: Ein Benutzer besucht Ihre Seite im Inkognitomodus, löscht den Cache, ändert seine IP über einen Proxy, aber Sie müssen trotzdem herausfinden, dass es dieselbe Person ist. Warum? Zum Beispiel, um zu verhindern, dass ein Angreifer endlos Passwörter brute-forced, oder um nicht jedes Mal die Willkommens-Rabatte für denselben „neuen" Kunden anzuzeigen.

Traditionelle Methoden wie LocalStorage oder Cookies scheitern hier — sie können mit einem einzigen Klick gelöscht werden. Genau dieses Problem löst FingerprintJS. Es ist eine Bibliothek, die Dutzende von indirekten Browser- und Gerätesignalen sammelt, um einen eindeutigen Besucher-Identifier zu erstellen.

Was ist das und wie funktioniert es

FingerprintJS ist ein Open-Source-Tool für Browser-Fingerprinting. Einfach ausgedrückt, fragt die Bibliothek den Browser: „Welche Schriftarten haben Sie installiert? Wie hoch ist Ihre Bildschirmauflösung? Wie rendern Sie Grafiken über Canvas?"

Für sich allein bedeutet diese Daten nicht viel. Millionen von Menschen nutzen Chrome unter Windows mit einer Auflösung von 1920x1080. Aber wenn Sie die Engine-Version, die Liste der verfügbaren Sprachen, die Zeitzone, die Audio-Stack-Parameter und die spezifischen Schrift-Rendering-Eigenschaften kombinieren, erhalten Sie eine Kombination, die für fast jedes Gerät eindeutig ist. All diese Daten werden gehasht, und Sie erhalten einen kurzen String — visitorId.

So richten Sie ein Projekt schnell ein

Die Integration ist extrem entwicklerfreundlich. Sie können es über npm installieren:

npm install @fingerprintjs/fingerprintjs

Und starten Sie es mit nur wenigen Codezeilen:

import FingerprintJS from '@fingerprintjs/fingerprintjs'

async function initFingerprint() {
  // Инициализируем агент при запуске приложения
  const fpPromise = FingerprintJS.load()
  
  const fp = await fpPromise
  const result = await fp.get()

  // Вот он, наш уникальный ID
  console.log(result.visitorId)
}

initFingerprint()

Wenn Sie sich nicht mit Bundlern herumschlagen möchten, ist die Bibliothek über CDN verfügbar. Aber es gibt einen Haken: Einige aggressive Werbeblocker oder Browser wie Brave blockieren möglicherweise das Laden von Skripten aus externen Domains. In solchen Fällen empfehlen die Autoren die Verwendung des npm-Pakets und das Bündeln des Codes in Ihr eigenes Bundle.

Wo dies wirklich nützlich sein wird

Nach meiner Erfahrung tauchen solche Tools am häufigsten bei Sicherheits- und Analyseaufgaben auf.

Erstens, Betrugsprävention. Wenn jemand versucht, 50 Konten zu registrieren, um Referral-Boni zu steigern, wird FingerprintJS hervorheben, dass all diese „unterschiedlichen" Personen hinter demselben Laptop sitzen.

Zweitens, Zugriffseinschränkung. Sie können die Anzahl der kostenlosen Inhaltsaufrufe begrenzen (wie große Medien es tun), ohne den Benutzer zur Anmeldung zu zwingen.

Drittens, Schutz vor Passwort-Brute-Forcing. Wenn Anmeldeversuche von einem Gerät verschiedene Benutzernamen verwenden, ist das ein Grund, den Zugriff für diesen spezifischen „Fingerabdruck" zu sperren, ohne andere Benutzer mit derselben IP zu beeinträchtigen (z.B. in einem Bürogebäude).

Was Sie vorher wissen sollten

Die Bibliothek ist großartig, aber sie ist keine „eierlegende Wollmilchsau". Die Open-Source-Version hat ihre Einschränkungen, die die Entwickler ehrlich in der README beschreiben.

Die Genauigkeit der kostenlosen Version ist geringer als bei ihrem kommerziellen Cloud-Produkt. Da alle Berechnungen auf der Client-Seite stattfinden, kann ein fortgeschrittener Benutzer einige Browser-Parameter fälschen, um seine ID zu ändern.

Darüber hinaus ändert sich der Fingerabdruck eines Benutzers wahrscheinlich, wenn er seinen Browser oder sein Betriebssystem aktualisiert. Es ist kein dauerhafter Identifier, sondern eher ein sehr zuverlässiger temporärer Marker.

FingerprintJS ist eine ausgezeichnete Wahl, wenn Sie eine Sicherheitsschicht oder grundlegende Analysen hinzufügen möchten, ohne Cookies zu verwenden. Das Projekt ist aktiv, hat eine riesige Community (fast 28.000 Sterne auf GitHub) und eine klare Dokumentation.

Ist es das Richtige für Sie? Wenn das Ziel darin besteht, 90% der Bots und amateurhaften Betrüger herauszufiltern, dann definitiv ja. Für Banksysteme mit kritischen Sicherheitsanforderungen sollten Sie sich möglicherweise ihre kostenpflichtigen Lösungen mit serverseitiger Validierung ansehen, aber für die meisten Webprojekte sind die Fähigkeiten der MIT-Version mehr als ausreichend.

Sie können die Bibliothek auf ihrer Demo-Seite in Aktion sehen — öffnen Sie sie im normalen Modus, dann im Inkognito-Modus, und Sie werden sehen, dass die Magie funktioniert.