Descarregar sites que utilizam FingerprintJS

Sobre FingerprintJS

A impressão digital do navegador responde a uma pergunta que os cookies deixaram de responder de forma fiável. Perante um pedido sem sessão iniciada e sem identificador utilizável, consegue o site saber à mesma se este navegador já cá esteve? O FingerprintJS constrói um identificador de visitante estável a partir de dezenas de sinais do navegador e do dispositivo, e um site que o carrega decidiu que reconhecer visitantes recorrentes importa o suficiente para gastar esforço de engenharia no problema.

As razões são normalmente defensivas. A pontuação de fraude, a proteção contra apropriação de contas, a filtragem de bots, o abuso de períodos experimentais e de cupões e a limitação de pedidos são as mais comuns, com a personalização e a aplicação de barreiras de pagamento logo atrás. A sua presença assinala, portanto, um site com algo que vale a pena roubar ou explorar, o que constitui uma população bem mais restrita e mais interessante do que a dos sites que apenas têm um cabeçalho de segurança definido.

Em outubro de 2026 detetamos a biblioteca em 11 856 sites na categoria Browser fingerprinting, 4266 deles nos Estados Unidos e com .com como sufixo dominante. A geografia não é aqui uma nota de rodapé, porque esta técnica está no meio de uma discussão regulatória ativa sobre consentimento e rastreio, e a jurisdição em que um site opera muda o que lhe é permitido fazer com um identificador que sobrevive à eliminação dos cookies.

O projeto tem uma história pouco habitual que complica qualquer contagem. Criada em 2012 como biblioteca de código aberto com licença MIT e mais tarde transformada num produto comercial por Fingerprint Inc., a tecnologia existe hoje ao mesmo tempo como biblioteca gratuita do lado do cliente que qualquer pessoa pode incorporar e como serviço pago com identificação do lado do servidor e maior precisão. Um rastreador vê um script, não um contrato, por isso distinguir uma instalação amadora de uma implantação empresarial nem sempre é possível só a partir da página.

Os dados de versão refletem essa divisão. No conjunto de dados aparecem 40 versões e 2 é a linha de versões que vemos com mais frequência, o que acontece quando uma biblioteca gratuita continua a funcionar indefinidamente e nada obriga a atualizar, enquanto os clientes pagantes avançam noutro calendário e com outro modelo de distribuição.

A subcontagem segue uma direção previsível e deve ser dita. As implantações comerciais passam com frequência por um subdomínio do próprio cliente, precisamente para que bloqueadores e extensões de privacidade não reconheçam o pedido, e esse arranjo torna também mais difícil a atribuição a partir de fora. As compilações agrupadas e alojadas por conta própria são igualmente opacas. A população visível inclina-se, por isso, para as incorporações simples da biblioteca, e a presença real da técnica é maior do que qualquer lista de sites que carreguem um script reconhecível.

Dentro desses limites, o extrato responde a perguntas que uma consulta por domínio não alcança. Os fornecedores que vendem mitigação de fraude, identidade e bots querem um mapa de quem já aderiu à abordagem e de quem não aderiu, já que os dois grupos precisam de argumentários diferentes. Os investigadores de privacidade e os reguladores querem uma população mensurável e não anedotas sobre uma prática difícil de observar à escala. As equipas de segurança que auditam cadeias de fornecimento querem saber que scripts de terceiros estão a recolher sinais de dispositivo nos sites de que dependem. Os três precisam do conjunto inteiro, segmentado por país e sufixo e comparável entre versões, e uma verificação de um só domínio não dá nada disso.