Scaricare i siti web che utilizzano FingerprintJS

Informazioni su FingerprintJS

Il fingerprinting del browser risponde a una domanda a cui i cookie hanno smesso di rispondere in modo affidabile. Davanti a una richiesta senza login e senza alcun identificatore utilizzabile, il sito riesce ancora a capire se quel browser è già passato di lì? La libreria FingerprintJS costruisce un identificatore stabile del visitatore a partire da decine di segnali del browser e del dispositivo, e un sito che la carica ha deciso che riconoscere i visitatori di ritorno è abbastanza importante da dedicare al problema risorse di sviluppo.

Le ragioni sono di solito difensive. Le più comuni sono la valutazione del rischio di frode, la protezione dalla presa di controllo degli account, il filtraggio dei bot, il contrasto agli abusi di prove gratuite e coupon e la limitazione della frequenza delle richieste, seguite dalla personalizzazione e dall’applicazione dei paywall. La presenza della libreria segnala quindi un sito che custodisce qualcosa che vale la pena rubare o sfruttare in modo abusivo, e i siti di questo tipo formano una popolazione molto più ristretta e più interessante di quella dei siti che si limitano ad avere impostato un header di sicurezza.

A ottobre 2026 rileviamo la libreria su 31.946 siti nella categoria Browser fingerprinting, 13.663 dei quali si trovano negli Stati Uniti, e l’estensione più diffusa è .com. Per questa tecnologia la geografia non è una nota a margine, perché il fingerprinting si colloca all’interno di un dibattito normativo ancora aperto su consenso e tracciamento, e la giurisdizione in cui un sito opera cambia ciò che gli è consentito fare con un identificatore che sopravvive alla cancellazione dei cookie.

Il progetto ha una storia insolita che complica qualsiasi conteggio. Nata nel 2012 come libreria open source con licenza MIT e poi trasformata in un prodotto commerciale da Fingerprint Inc., la tecnologia esiste oggi sia come libreria lato client gratuita che chiunque può integrare, sia come servizio a pagamento con identificazione lato server e maggiore precisione. Un crawler vede uno script, non un contratto, quindi distinguere un’installazione amatoriale da un’implementazione aziendale non è sempre possibile partendo dalla sola pagina.

I dati di versione riflettono questa divisione. Nel dataset compaiono 53 versioni e la linea di rilascio che vediamo più spesso è 2, il che è quanto accade quando una libreria gratuita continua a funzionare a tempo indefinito e nulla impone un aggiornamento, mentre i clienti paganti si muovono con tempi diversi e con un diverso modello di distribuzione.

La sottostima ha una direzione prevedibile e merita di essere dichiarata. Le implementazioni commerciali passano spesso attraverso un proxy sul sottodominio del cliente proprio per evitare che i sistemi di blocco e le estensioni per la privacy riconoscano la richiesta, e questa configurazione rende più difficile anche l’attribuzione dall’esterno. Le build incluse nel bundle e quelle ospitate in proprio sono altrettanto opache. La popolazione visibile è quindi sbilanciata verso le semplici integrazioni della libreria, e la reale diffusione della tecnica è più ampia di qualsiasi elenco di siti che caricano uno script riconoscibile.

Entro questi limiti, l’estrazione risponde a domande a cui una ricerca per singolo dominio non può rispondere. I fornitori di soluzioni contro le frodi, per l’identità e per la mitigazione dei bot vogliono una mappa di chi ha già adottato questo approccio e di chi no, perché i due gruppi richiedono proposte commerciali diverse. I ricercatori che si occupano di privacy e le autorità di regolamentazione vogliono una popolazione misurabile anziché aneddoti su una pratica difficile da osservare su larga scala. I team di sicurezza che verificano le catene di fornitura vogliono sapere quali script di terze parti raccolgono segnali del dispositivo sui siti da cui dipendono. Tutti e tre hanno bisogno dell’insieme completo, segmentato per paese ed estensione e confrontabile tra un rilascio e l’altro, e una verifica su un singolo dominio non offre nulla di tutto questo.