لماذا Do Not Track لا يعمل؟ كيف تصبح إشارة تتبع

Do Not Track ميزة خصوصية في المتصفح ترسل رأس HTTP تطلب من المواقع عدم تتبعك. كانت نيّتها طيبة — لكنها أخفقت بطريقة لم يتوقعها أحد تقريباً. تفعيل DNT يمكن أن يجعل متصفحك أكثر قابلية للتعريف، لا أقل. يمكنك مشاهدة حالة DNT الخاصة بك وبصمة متصفحك الكاملة الآن على whatsmy.fyi.

ملخص سريع

يرسل Do Not Track (DNT) رأس HTTP يُخبر المواقع بأنك تُفضّل عدم التتبع. معظم المواقع تتجاهله — أهمل W3C المعيار في 2019 بعد عقد من الاعتماد الفاشل. الأسوأ، لأن عدداً قليلاً جداً من المستخدمين يُفعّلون DNT، وجوده مُفعَّلاً يجعل متصفحك إحصائياً غير عادي، مما يزيد إنتروبيا بصمتك ويجعلك أسهل تعريفاً. الخلف، Global Privacy Control (GPC)، يواجه نفس المشكلة الهيكلية.

ما هو Do Not Track (DNT)؟

Do Not Track إعداد متصفح يُضيف رأس طلب HTTP — DNT: 1 — إلى كل طلب صفحة تقوم به. عند التفعيل، يُشير للخادم المتلقّي بأنك تُفضّل عدم تتبع نشاطك عبر المواقع. عند التعطيل، يرسل المتصفح إما DNT: 0 (السماح صراحةً بالتتبع) أو يحذف الرأس كلياً (لم يُحدَّد تفضيل).

يمكن لـ JavaScript قراءة نفس التفضيل عبر navigator.doNotTrack، الذي يُعيد "1" أو "0" أو null. تلك الخاصية الواحدة كافية لقراءة تفضيل DNT من أي صفحة ويب — لا حاجة لسجل خادم.

نشأت الفكرة في Electronic Frontier Foundation في 2009 وأيّدتها لجنة التجارة الفيدرالية الأمريكية في 2010. شحن Firefox وSafari الدعم في 2011، وشكّل W3C مجموعة عمل حماية التتبع لتوحيد البروتوكول. للحظة، بدا أن الخصوصية عبر الإنترنت تملك حلاً تقنياً حقيقياً.

لم تملك. مبادرة DNT حالة نموذجية لكيفية تقديم إشارة بصمة المتصفح بأحسن النوايا وتصبح مسؤولية خصوصية.

كيف يعمل رأس DNT؟

DNT إشارة اشتراك خالصة. يُضيفها المتصفح إلى طلبات HTTP؛ يقرأها الخادم ومن المتوقع (بموجب المعيار الطوعي) أن يُعدّل سلوكه وفقاً لذلك. لا يوجد تطبيق تقني — إنها طلب مؤدب، وليست حاجزاً تقنياً.

// The HTTP request header sent when DNT is enabled
DNT: 1

// Reading DNT preference in JavaScript
const dntEnabled = navigator.doNotTrack === '1';
// Returns true if user has opted out of tracking

// Some browsers expose it differently
// (legacy inconsistency)
const dnt =
  navigator.doNotTrack ||       // Standard
  window.doNotTrack ||          // IE / Edge legacy
  navigator.msDoNotTrack;       // Very old IE

// What a tracking script sees
console.log(navigator.doNotTrack);
// "1"  → user opted out
// "0"  → user opted in to tracking
// null → no preference set

الرأس مرئي لكل خادم وكل سكريبت يعمل على صفحة. لا يكلف شيئاً لقراءته. والمشكلة هنا: قراءته مشروعة تماماً ولا تمييز بينها وبين احترامه — متتبع يمكنه قراءة تفضيل DNT الخاص بك ثم تتبعك على أي حال.

لماذا فشل DNT — ولماذا تخلّى عنه W3C

حلّت مجموعة عمل حماية التتبع في W3C في يناير 2019 بعد ما يقارب عقداً من العمل لم ينتج عنه أي معيار قابل للتطبيق. الأسباب كانت هيكلية:

• الامتثال الطوعي فقط. لا يوجد قانون في الولايات المتحدة أو الاتحاد الأوروبي أو أي مكان آخر يُلزم المواقع بمراعاة إشارة DNT. أخبر تحالف الإعلانات الرقمية صراحةً أعضاءه بأنهم غير ملزمين بالامتثال.
• لا اتفاق على ما يعنيه "التتبع". أمضى أصحاب المصلحة سنوات في الجدال حول ما إذا كانت تحليلات الأطراف الأولى وكشف الاحتيال وتحديد تكرار الإعلانات تُعدّ تتبعاً. لم تصل مجموعة العمل إلى توافق أبداً.
• المتصفحات شحنت الدعم قبل أن تكون المواصفة جاهزة. مكّن Microsoft DNT بشكل افتراضي في Internet Explorer 10 بشكل مثير للجدل، مما جعلت صناعة الإعلانات تجادل بأن ذلك أبطل الإشارة — لا يمكن لتفضيل مُفعَّل افتراضياً أن يمثّل اختياراً حقيقياً للمستخدم.
• المنصات الكبرى ببساطة تجاهلته. لم تدعم Google DNT بأي طريقة ذات معنى. عطّلت Facebook دعم DNT. واصلت معظم شبكات الإعلانات التتبع بغض النظر عن الرأس.

أزالت Apple DNT من Safari 12.1 في 2019، مستشهدةً بسبب ساخر لكن حاسم: إعداد DNT نفسه أصبح متغيّر بصمة يمكن استخدامه لتتبع المستخدمين. أزال Firefox الواجهة في الإصدار 135 (2025). الميزة الآن فضول تاريخي — لا تزال موجودة تقنياً في بعض المتصفحات، لكنها ميتة وظيفياً.

المفارقة: DNT كإشارة بصمة

هنا تنقلب القصة ضد المستخدمين الذين كانوا يحاولون حماية أنفسهم. تعمل بصمة المتصفح بدمج إشارات صغيرة كثيرة في معرّف فريد. كلما كانت إشارة واحدة أكثر غرابة، زادت الإنتروبيا التي تُضيفها للبصمة — وأصبحت أكثر قابلية للتعريف.

DNT مُفعَّل لدى أقلية صغيرة فقط من المستخدمين. في حركة مرور موقع نموذجية، بين 8% و12% من الزوار لديهم DNT مُفعَّلاً. هذا يعني أن وجود DNT مُفعَّلاً يضعك فوراً في مجموعة أقلية. سكريبت بصمة يقرأ navigator.doNotTrack يعلم الآن شيئاً محدداً وغير معتاد عن متصفحك لا تشاركه معظم المتصفحات.

مقترناً بنظام التشغيل وإصدار المتصفح والخطوط المثبتة ودقة الشاشة والمنطقة الزمنية وإعدادات اللغة وبيانات GPU، تزيد إشارة DNT التفرد الإجمالي لبصمتك. حاولت الاختباء، وبدلاً من ذلك لوّحت بعَلَم.

هذه ليست مخاوف افتراضية. استشهد فريق هندسة Apple بها صراحةً عند إزالة DNT من Safari. يُدرج مستند توجيه W3C لبصمة الإصبع صراحةً إشارات تفضيلات المستخدم كسطح بصمة. أظهرت الأبحاث أن 96% من المواقع التي تلقّت رأس DNT استمرت في جمع بيانات بصمة بغض النظر.

اعتماد DNT والامتثال: الأرقام

Global Privacy Control: خَلَف DNT

Global Privacy Control (GPC) إشارة خصوصية أحدث أُدخلت في 2020، ترسل رأس HTTP Sec-GPC: 1. على عكس DNT، يملك GPC ثقلاً قانونياً في بعض الولايات القضائية: تعترف CCPA وCPRA في كاليفورنيا بـ GPC كانسحاب صالح من بيع البيانات الشخصية، وقد اتخذ المدعي العام لكاليفورنيا إجراءات تطبيقية ضد المواقع التي تجاهلته.

لكن GPC يواجه نفس مشكلة البصمة الجوهرية كـ DNT. خاصية navigator.globalPrivacyControl قابلة للقراءة من أي JavaScript يعمل على الصفحة، ووجود GPC مُفعَّلاً غير عادي بما يكفي لإضافة إنتروبيا إلى بصمتك. النمط يتكرر: إشارة خصوصية مصمّمة لتقليل التتبع تصبح إشارة تتبع بحق ذاتها.

كل من متصفح Brave وFirefox مع تفعيل privacy.resistFingerprinting يدعمان GPC. متصفح DuckDuckGo وإضافة المتصفح يرسلان GPC بشكل افتراضي أيضاً. التطبيق والاعتماد أفضل بشكل ملموس مما حققه DNT، لكن التوتر الكامن بين "التعبير عن تفضيل الخصوصية" و"التعريف بهذا التفضيل" لا يزال دون حل.

كيف تحمي نفسك

النهج الأكثر فاعلية تتجنب فخ البصمة الذي وقع فيه DNT — تُطبّع متصفحك بدلاً من الإشارة إليه كغير عادي.

• لا تعتمد على DNT: تفعيل DNT على متصفح قياسي لا يوفر حماية خصوصية ذات معنى اليوم وقد يزيد قليلاً من تفرد بصمتك. أوقف تشغيله إذا كان متصفحك لا يزال يكشف الإعداد.
• استخدم متصفح Brave: يُعشوش Brave إشارات البصمة لكل جلسة ولكل موقع (أسلوب يُسمى Farbling)، مما يجعل التتبع غير موثوق دون الإشارة إلى متصفحك كغير عادي.
• استخدم Tor Browser لأقصى إخفاء هوية: يُطبّع Tor كل إشارة بصمة — بما فيها navigator.doNotTrack — بحيث يبدو جميع مستخدمي Tor متطابقين. المقايضة هي سرعة التصفح.
• تفعيل privacy.resistFingerprinting في Firefox: هذا العَلَم في about:config يُطبّع إشارات بصمة كثيرة بما فيها DNT وعامل المستخدم وأبعاد الشاشة ومخرجات canvas. إنه أكثر حماية بصمة فعّالة متاحة في متصفح سائد.
• استخدم Privacy Badger من EFF: بما أن المواقع لا تحترم DNT طوعاً، فإن إضافة Privacy Badger من EFF تكشف المتتبعين وتحجبهم من خلال التحليل السلوكي — تُطبّق الخصوصية تقنياً بدلاً من الاعتماد على إشارة يمكن للمتتبعين تجاهلها.
• افهم الإشارات التي تكشف عنها: تحقق من بصمة متصفحك الحالية على whatsmy.fyi لمشاهدة الإشارات — بما فيها حالة DNT — التي تكون مرئية لكل موقع تزوره.

الأسئلة الشائعة

هل تفعيل Do Not Track يوقف التتبع فعلاً؟

لا، وليس في الممارسة العملية. DNT إشارة طوعية بلا تطبيق تقني. وجدت الأبحاث أن نحو 96% من المواقع التي تلقّت رأس DNT استمرت في جمع بيانات التتبع. أهمل W3C المعيار رسمياً في 2019 بعد عدم التوصل إلى اتفاق قابل للتطبيق. تفعيل DNT رقمياً مكافئ لوضع ملصق "لا بريد غير مرغوب فيه" على صندوق بريدك — مؤدب، لكن غير قابل للتطبيق قانونياً وتقنياً في معظم البلدان.

لماذا أزالت Apple Do Not Track من Safari؟

أزالت Apple DNT من Safari 12.1 في مارس 2019، مستشهدةً صراحةً بخطر أن إعداد DNT نفسه أصبح متغيّر بصمة. لأن أقلية من المستخدمين يُفعّلون DNT، فإن وجوده مضبوطاً يجعل متصفحك إحصائياً مميّزاً. خلصت Apple إلى أن تكلفة الخصوصية من الاحتفاظ بـ DNT — زيادة إنتروبيا البصمة — تفوق أي فائدة من الإشارة المتجاهلة.

ما الفرق بين DNT وGlobal Privacy Control؟

كلاهما رؤوس HTTP تُعبّر عن تفضيل الانسحاب من التتبع. الفرق الجوهري هو القابلية للتطبيق القانوني: تعترف CCPA وCPRA في كاليفورنيا صراحةً بـ GPC (Sec-GPC: 1) كإشارة انسحاب صالحة، مما يجعل عدم الامتثال قابلاً للملاحقة القانونية في كاليفورنيا. لم يكن لدى DNT أي دعم قانوني في أي مكان.

هل يمكن لموقع قراءة تفضيل DNT الخاص بي بدون زيارتي له؟

لا. يُرسَل DNT كرأس HTTP في كل طلب متصفح ويمكن الوصول إليه فقط من الخادم الذي يتلقّى ذلك الطلب المحدد. لكن أي JavaScript محمّل على صفحة تزورها يمكنه قراءة navigator.doNotTrack فوراً، قبل أي تفاعل مستخدم — نفس أي خاصية متصفح أخرى مستخدمة في البصمة.

هل يؤثر DNT على متطلبات موافقة GDPR؟

لا. بموجب GDPR، الأساس القانوني لمعالجة البيانات الشخصية منفصل عن أي إشارة على مستوى المتصفح. يتطلب GDPR إما موافقة صريحة (عبر لافتة كوكيز أو آلية مكافئة) أو تقييم مصلحة مشروعة أو أساس قانوني محدد آخر. رأس DNT لا يُشكّل سحب موافقة صالح لـ GDPR، ولا يتجاوز أساس مصلحة مشروعة.

هل تعطيل DNT يجعلني أصعب أخذ بصمتي؟

هامشياً، نعم — لأن غالبية المتصفحات لا ترسل DNT، عدم وجوده (أو غيابه) يجعل تلك الإشارة الواحدة أقل تميزاً. لكن هذا تأثير ثانوي. بصمة متصفحك تتكون من عشرات الإشارات — دقة الشاشة والمنطقة الزمنية وبيانات GPU و مخرجات canvas و بصمة الصوت والمزيد. إيقاف DNT وحده له تأثير عملي ضئيل مقارنةً باستخدام Brave أو تفعيل privacy.resistFingerprinting في Firefox.

هل Global Privacy Control (GPC) أيضاً خطر بصمة؟

نعم، بنفس المنطق. navigator.globalPrivacyControl خاصية منطقية قابلة للقراءة من أي سكريبت صفحة، ووجودها مضبوطة على true غير عادي — فقط المتصفحات مع دعم GPC الصريح (Brave، Firefox مع العَلَم، DuckDuckGo) ترسله. GPC يملك دعماً قانونياً أقوى مما حققه DNT، لذا المقايضة أكثر ملاءمةً، لكن الانكشاف الكامن للبصمة موجود. متصفحات مثل Brave تُخفّف هذا بتطبيع إشارات كثيرة في آنٍ واحد بدلاً من كشف تفضيل غير عادي في عزل.

مقالات ذات صلة

• ما هو Browser Language Fingerprinting؟ لغة المتصفح وخطر التتبع — كيف تصبح "إشارة تفضيل" أخرى ناقل تتبع
• ما هو Canvas Fingerprinting؟ كيف تتتبعك المواقع بدون كوكيز — إشارة رسم GPU عالية الإنتروبيا التي لا يمكن لـ DNT الحماية منها
• ما هو Audio Fingerprinting؟ كيف يتتبعك AudioContext — كيف ينتج مكدس الصوت لجهازك معرّفاً فريداً
• Cookie Enabled Fingerprinting: حجب الكوكيز يجعلك أكثر تميزاً — مفارقة مماثلة حيث تتحوّل إشارة الخصوصية إلى ناقل تتبع