Перейти к основному содержимому

История браузера и приватность на клиенте

НЕ ОБЯЗАТЕЛЬНОДЛЯ НОВИЧКОВ
Всем

Что такое история браузера​

История браузера — локальный журнал посещённых URL (и часто заголовков страниц), времени визита и иногда счётчика заходов. Браузер использует его для автодополнения адресной строки, списка "недавно закрытых" вкладок и синхронизации между устройствами, если включена учётная запись.

Это данные на вашем устройстве (или в облаке провайдера браузера при sync), а не "вся интернет-память о вас". Отдельно существуют cookies, localStorage, кэш HTTP и журналы на стороне сайта, провайдера и работодателя в корпоративной сети.

Культурный контекст формулировок — Неолурк: История браузера; этика и мемы про "инкогнито" — 9.10 / 126.

Что ещё хранит клиент​

МеханизмЧто записываетсяОчистка пользователем
ИсторияURL, время"Очистить историю"
Кэшкопии ресурсов для ускорениявместе с историей или отдельно
Cookiesидентификаторы сессий, настройкипо сайту или целиком
localStorage / IndexedDBданные приложения на originв настройках сайта или глобально
Пароли (менеджер)логины (зашифровано)отдельный раздел настроек

Типы XSS и чек-лист для ревью — в Безопасность приложений; хранение данных в браузере и защита сессий — в Хранение данных в браузере и на сервере.

Кто видит активность кроме владельца ПК​

  1. Владелец устройства — родитель, коллега за общим компьютером, IT при корпоративной политике.
  2. Синхронизация браузера — история на серверах Google, Mozilla, Yandex и др. при включённом аккаунте.
  3. Провайдер и маршрутизатор — метаданные соединений (куда подключались), без расшифровки HTTPS-тела страницы.
  4. Сайт и аналитика — свои логи, пиксели, идентификаторы в cookies.
  5. Вредоносное ПО — может читать файлы профиля браузера, если есть доступ к ОС.

Расследование инцидентов в организации обычно опирается на корпоративные прокси и SIEM, а не на экспорт истории с домашнего ноутбука.

Режим инкогнито / приватный​

Приватное окно ограничивает локальный след на этом устройстве после закрытия сессии: история и часть cookies не сохраняются в профиле так же, как в обычном режиме. Оно не делает пользователя невидимым для сайта, работодателя, провайдера или VPN-логов.

Для разработчика важно: тест в инкогнито имитирует "нового посетителя" без старых cookies, но не заменяет проверку с разных учётных записей и политик CSP.

Практика для пользователя и разработчика​

Пользователю:

  • разделять профили браузера (работа / личное);
  • не хранить секреты в истории и автозаполнении на чужом ПК;
  • понимать, что "очистить историю" не отзывает уже утёкшие cookies на сервере.

Разработчику:

  • не класть токены в localStorage без оценки риска XSS (см. Хранение данных в браузере и на сервере);
  • не логировать чувствительные query-параметры на сервере;
  • учитывать Referer и URL с персональными данными в закладках.

Связанные материалы​

Содержание