Первые 100 миллисекунд > или как тебя прочитали до того, как страница загрузилась

Есть один эксперимент, который ты можешь провести прямо сейчас. Открой любой сайт. Неважно какой. Можешь даже whox.com, но суть не в этом. Суть в том, что происходит между моментом, когда ты нажал Enter, и моментом, когда на экране появился первый пиксель.

Ты думаешь, ничего не происходит. Белый экран. Курсор крутится. Ты ждёшь.

На самом деле всё уже закончилось. Тебя прочитали, классифицировали, оценили и положили в корзину. Операционная система. Браузер. Провайдер. VPN или его отсутствие. Мобильный оператор. Страна. Уровень доверия. Всё это сервер узнал из того, как твой компьютер здоровается. Не из того, что он сказал. Из того, как он это сделал. Из акцента. Из походки. Из того, в каком порядке он расставил слова в предложении, которое ты даже не знал, что произносишь.

Сто миллисекунд. Одна десятая секунды. Быстрее, чем ты моргаешь. Буквально быстрее: среднее моргание занимает 300-400 миллисекунд. За одно моргание тебя успевают прочитать трижды.

И это не какая-то секретная программа АНБ, не китайский Golden Shield и не российский ТСПУ. Это стандартная, будничная, повсеместная инфраструктура. Cloudflare так работает. Akamai так работает. Каждый антибот, каждый WAF, каждый CDN крупнее районной файлопомойки так работает. Механика зашита в протоколы, по которым функционирует весь интернет, и зашита не вчера > двадцать пять лет назад.

Мы решили разобрать эти сто миллисекунд по кадрам. Как замедленная съёмка выстрела: пуля уже в полёте, а ты ещё не услышал хлопок.

Коротко: Серверы определяют твою ОС, VPN и браузер за 100 мс через отпечатки TCP, TLS и HTTP/2. До запуска JavaScript. До установки куки. До загрузки страницы. Расширения браузера об этом не знают, потому что к этому моменту расширения ещё спят.

SYN-пакет: один выстрел, полное досье

Прежде чем браузер запросит страницу, ему нужно установить TCP-соединение. Три пакета: SYN, SYN-ACK, ACK. Десять-тридцать миллисекунд. Ритуал, существующий с 1981 года, когда Винт Серф и Боб Кан, вероятно, не задумывались о том, что их протокол будет использоваться для массовой идентификации людей.

Первый SYN-пакет. Один пакет. Ноль полезной нагрузки. Чистая техника.

Этот пакет уже всё рассказал.

Каждая операционная система собирает TCP по-своему. Не «что» она отправляет > стандарт один, > а «как». Размер окна, набор TCP-опций, их порядок, Maximum Segment Size, Window Scale Factor. Инженеры Microsoft в 2001 году выбрали одни значения. Инженеры Linux > другие. Инженеры Apple > третьи. Решения, принятые конкретными людьми в конкретных кабинетах, о которых давно забыли, намертво впаяны в ядра миллиардов устройств. Заводские татуировки, которые нельзя свести.

ОС	Window	Options	MSS	Scale	JA4T
Windows 10/11	65535	2-4-8-1-3	1460	8	`65535_2-4-8-1-3_1460_8`
Linux 5.x+	29200	2-4-8-1-3	1460	7	`29200_2-4-8-1-3_1460_7`
macOS	65535	2-4-8-1-3	1460	6	`65535_2-4-8-1-3_1460_6`
iOS	65535	2-4-8-1-3-0	1460	6	`65535_2-4-8-1-3-0_1460_6`
Android	65535	2-4-8-1-3	1460	9	`65535_2-4-8-1-3_1460_9`

Видишь нолик в конце у iOS? TCP Option 0, End of List. Больше так не делает никто. Ни одна операционная система в мире. Зачем Apple это добавила > загадка, которая вряд ли когда-нибудь будет разгадана, потому что человек, написавший этот код, скорее всего, ушёл из Apple лет десять назад и работает где-нибудь в стартапе по производству умных кормушек для кошек. А его решение тем временем ежедневно кричит «привет, я айфон» миллиарду устройств.

Android задирает Window Scale до 9 > выше всех десктопных систем. Windows принципиально не отправляет TCP Timestamps. macOS использует уникальную комбинацию Scale и Window Size. Каждая ОС оставляет подпись в первом пакете. Подпись, о которой тебя не предупредили.

10 июня 2000 года > ещё до того, как большинство читателей этого текста получили свой первый email > Михал Залевски опубликовал инструмент p0f в рассылке Bugtraq. Пассивная идентификация ОС: просто слушаешь трафик, ни одного зондирующего пакета, и определяешь систему на другом конце по тому, как она собирает SYN-пакеты. TTL, размер окна, MSS, бит don't-fragment, порядок опций. Windows > TTL 128. Linux > 64. OpenBSD выбирал размер окна, которого не было ни у кого.

В отличие от nmap, который стреляет зондами и палится на любом файрволе, p0f просто слушал. Как сосед, который определяет, кто пришёл, по звуку шагов в подъезде. Тот, с каблуками > Марина с пятого. Тот, с шарканьем > Петрович со второго. Никогда не ошибается.

OpenBSD интегрировал p0f в пакетный фильтр PF в 2003 году > файрвол мог фильтровать трафик по операционной системе подключающейся машины. Ettercap, Prads, Satori, pfSense, amavisd > все тянули p0f под капотом. Версия 3 в 2012 году добавила анализ HTTP-заголовков. Инструменту уже четверть века. Он старше YouTube.

В 2024-м Джон Алтхаус из FoxIO формализовал наследие p0f в JA4T. Формат: window_options_mss_scale. Совместно с GreyNoise они прогнали JA4T по глобальному трафику и нашли отпечаток 29200_2-4-8-1-3_1424_7 на сотнях IP-адресов. Паттерн 2-4-8-1-3 означал Unix. MSS 1424 вместо стандартных 1460, разница 36 байт > слишком мало для VPN, значит прокси или нешифрованный туннель. Все адреса оказались в диапазонах Tencent. Сотни сканирующих машин идентифицированы по одному полю одного пакета. Одному.

MSS > это рентген маршрута. 1460 = прямой Ethernet, ничего между тобой и сервером. 1380 = VPN, оверхед шифрования съел 80 байт. У WireGuard свой оверхед, у OpenVPN свой, у IPsec третий. Алтхаус показал, что JA4T иногда различает T-Mobile и Verizon по одному SYN-пакету. Оператор мобильной связи > из одного пакета. Понимаешь масштаб?

Проверка WHOX A06 ловит именно это: MTU и TTL соединения, обнаруживая туннели и картографируя маршрут. Проверка C09 складывает TTL, MTU и время отклика в одну оценку аномальности. Серверная версия анализа заканчивается до того, как браузер отправит хоть байт контента.

В 2025 году разработчик Альберто Вентафридда опубликовал веб-сервер на Go, который снимает TCP-отпечатки через eBPF прямо в ядре. Его мотивация прекрасна в своей откровенности: «Тема стала горячей из-за потребности скрейпить интернет ради контента для LLM». Гонка за обучающие данные для нейросетей породила новый класс защиты. eBPF перехватывает пакет на сетевом интерфейсе до попадания в TCP-стек. Нулевой оверхед. Отпечаток лежит в kernel-space hashmap и готов к моменту, когда сервер принимает соединение. Охранник, который прочитал твой паспорт через конверт, пока ты его доставал из кармана.

Ты не отправил ни байта контента. Сервер уже знает твою ОС, твой маршрут и стоишь ли ты за туннелем.

Двадцать один триллион перестановок и один вызов sort()

TCP позади. Теперь браузер устанавливает шифрование через TLS. Первым делом летит Client Hello > в открытом виде, потому что шифровать пока нечем. Чтобы договориться о замке, нужно сначала поговорить без замка.

Этот Client Hello > подробная анкета твоего софта, отправленная без шифрования, доступная каждому устройству между тобой и сервером. Версии TLS, наборы шифров, расширения, эллиптические кривые, Alpn. Chrome отправляет одно. Firefox > другое. Python-скрипт > третье. Даже разные версии одного браузера дают разные отпечатки.

В 2017 году трое из Salesforce > Алтхаус, Аткинсон и Аткинс > опубликовали JA3. Пять полей Client Hello, конкатенация, MD5-хеш. Просто. Элегантно. Убийственно эффективно. Cloudflare внедрил немедленно. Каждый крупный инструмент безопасности интегрировал. Шесть лет JA3 был золотым стандартом определения того, что подключается к серверу.

Потом Google всё сломал. И вот тут начинается самое интересное.

В начале 2023 года Chrome начал рандомизировать порядок TLS-расширений в каждом Client Hello. Официальная причина: заставить серверы уважать RFC 8446 и не привязываться к конкретному порядку. Благородная цель. Побочный эффект: полное уничтожение JA3.

Stamus Networks посчитали масштаб катастрофы. Одна установка Chrome с 16 TLS-расширениями теперь генерирует 16 факториал возможных комбинаций. Шестнадцать факториал > это:

20 922 789 888 000

Двадцать целых девять десятых триллиона. Разных JA3-хешей. Из одного браузера. Одной машины. Одного человека. Для масштаба: в Млечном Пути от 100 до 400 миллиардов звёзд. Один Chrome генерирует больше вариаций JA3, чем звёзд в нашей галактике. Примерно в пятьдесят раз больше.

JA3 умер за ночь. Stamus Networks написали прямо: «JA3 стал бесполезен для идентификации клиентов и user-agent». Chrome контролирует две трети рынка. «Бесполезен для Chrome» значит бесполезен для интернета.

А теперь поворот, который заслуживает отдельной Netflix-документалки. Джон Алтхаус > тот самый человек, который создал JA3 > к тому моменту ушёл из Salesforce в FoxIO. Когда Chrome сбросил рандомизационную бомбу, он был готов. С новым инструментом. JA4.

Решение: отсортировать список расширений перед хешированием.

Chrome тасует колоду. JA4 раскладывает карты по порядку, прежде чем на них смотреть. Двадцать один триллион перестановок нейтрализованы одним вызовом sort(). Самая масштабная защита в истории браузеров побеждена алфавитной сортировкой. Есть в этом что-то комически прекрасное.

Проверка WHOX C12 делает именно это: JA4-отпечаток TLS-рукопожатия сравнивается с браузером из User-Agent. Не совпало > значит софт врёт о том, кто он. Скрейпер притворяется Chrome, но его TLS выдаёт Python. Антидетект подменил юзер-агент, но забыл про хендшейк. Одна проверка, один бит информации: врёт или нет.

Протокольный уровень не забывает. Как бы ты ни тасовал.

Внутри зашифрованного туннеля всё видно

TCP готов. TLS согласован. Шифрование установлено. Теперь-то безопасно?

Нет. Теперь браузер отправляет HTTP/2-запрос. И внутри зашифрованного туннеля > внутри, где, казалось бы, никто не видит > значения, которые он отправляет, идентифицируют тебя безошибочно. Не потому, что шифрование сломали. А потому, что сервер > тот, с кем ты разговариваешь > видит всё. Шифрование защищает от подслушивающих. Не от собеседника.

HTTP/2 работает на бинарных фреймах. Первый фрейм > SETTINGS на потоке 0. Максимум параллельных потоков, начальный размер окна, таблица заголовков, максимальный размер фрейма. Эти значения зашиты разработчиками браузера. Они не меняются от сайта к сайту. Одинаковы для каждого соединения. Это не настройки, которые ты выбрал. Это настройки, которые за тебя выбрали инженеры Google или Mozilla лет шесть назад.

Akamai задокументировали это на Black Hat EU 2017. TU Munich позже построил инструмент для сбора. Данные красноречивы.

Chrome: таблица заголовков 65 536, до 1 000 потоков, начальное окно ~6 мегабайт. Firefox: та же таблица, но окно 128 килобайт и свой максимальный размер фрейма. Сразу после SETTINGS каждый браузер отправляет WINDOW_UPDATE для увеличения окна на уровне соединения. Chrome запрашивает 15 663 105 байт. Firefox > 12 517 377. Разные числа. Одна цель. Безупречная идентификация.

А дальше > деталь, которая ставит печать. В HTTP/2 строка запроса разбивается на псевдо-заголовки: :method, :authority, :scheme, :path. Каждый браузер отправляет все четыре. В разном порядке.

Chrome: m,a,s,p. Firefox: m,p,a,s. Safari: m,s,p,a. curl: m,p,s,a.

Спецификация HTTP/2 не предписывает порядок. Каждая команда разработчиков выбрала свой, и теперь это постоянный акцент. Как «подъезд» в Москве и «парадная» в Питере. Как «булка» в Питере и «батон» в Москве. Произвольно, но безошибочно выдаёт происхождение.

Две сессии с разницей в три дня. Идентичные HTTP/2 SETTINGS, идентичный TLS-отпечаток, идентичный WINDOW_UPDATE. Это один браузер. Даже если IP другой. Даже если куки удалены. Даже если между сессиями ты переустановил расширения, сбросил кэш и помолился всем цифровым богам.

Проверка WHOX A18 снимает это: HTTP/2 SETTINGS сравнивается с тем, что должен отправлять заявленный браузер. Движок FORESIGHT использует эти значения для связывания сессий. JA4-хеш, HTTP/2-настройки, Alpn. Стабильные идентификаторы, которые переживают очистку куки, смену IP и режим инкогнито. Потому что они определяются не твоим поведением, а твоим софтом.

У Firefox есть отдельная причуда, которую мы находим очаровательной. Он строит дерево приоритетов в начале каждого HTTP/2-соединения: Priority-фреймы для потоков 3, 5, 7, 9, 11. Поток 3 > вес 201. Поток 5 > вес 101. Потоки 7, 9, 11 > вес 1. Это дерево уникально для Firefox. Chrome ничего подобного не делает. Firefox входит в каждую комнату и первым делом переставляет мебель по своей схеме. Каждый раз. В каждой комнате.

Браузер сдаёт себя в значениях, которые ты не можешь изменить, не можешь отключить и о существовании которых не подозревал.

Два года работы, два байта провала

В феврале 2022 года разработчик под псевдонимом lwthiker выложил на GitHub проект curl-impersonate. Идея: взять curl > консольный HTTP-инструмент, который стоит на каждом сервере в мире > и пропатчить так, чтобы его сетевые рукопожатия были побайтово идентичны настоящему браузеру.

Инженерия была серьёзной. Для Chrome-варианта: компиляция с BoringSSL, гугловским форком OpenSSL. Для Firefox: сборка с NSS, TLS-библиотекой Mozilla. Замена TLS-библиотеки > только начало. lwthiker подправил конфигурацию расширений, добавил compress_certificate и application_settings, поменял HTTP/2 SETTINGS. Каждое значение должно было совпадать побайтово, потому что одно неверное окно или фрейм мгновенно выдаёт подделку.

В блоге lwthiker описал момент, ради которого мы рассказываем эту историю. После полного совпадения TLS Client Hello с Chrome > каждый байт, каждое расширение, каждый шифр > инструмент всё ещё детектировали. Два мелких различия в HTTP/2-фреймах. Два. Два значения, о которых человек даже не думал, раскрыли подделку, на которую ушло два года работы. Вот насколько глубоко копают фингерпринтеры.

Парадокс в том, зачем lwthiker всё это делал. Не для ботоводов. Не для скрейпинга. Он строил curl-impersonate как протестную акцию: доказательство, что TLS и HTTP/2 фингерпринтинг делает веб «менее открытым, менее приватным и гораздо более ограничивающим». Это был proof of concept. Манифест.

Бот-операторы подхватили мгновенно. Активный форк обновляет профили каждый месяц. Коммерческие скрейпинг-сервисы оборачивают в свои продукты. Сайт impersonate.pro продаёт «full-stack tls/h2/h3/js fingerprints» за $99 в месяц. Инструмент, который должен был разоблачить проблему, стал главным оружием для её эксплуатации. Ирония настолько толстая, что можно резать ножом.

Сто миллисекунд покадрово

Ты нажал Enter. Разберём покадрово.

0 мс. SYN-пакет уходит. Несёт подпись твоей ОС, оверхед маршрута и VPN-улику, если она есть. Один пакет. Серверу уже известна твоя операционная система.

15 мс. TCP-рукопожатие завершено. Летит TLS Client Hello. Полный список шифров, расширения, протоколы > всё в открытом виде. Сервер вычисляет JA4-хеш за микросекунду.

30 мс. Если это Cloudflare > а это Cloudflare для значительной части интернета > твой JA4 уже сверяется с JA4 Signals. Это поведенческая база, агрегированная за последний час глобального трафика. В любой день Cloudflare обрабатывает более 15 миллионов уникальных JA4-отпечатков от 500+ миллионов юзер-агентов. Твой хеш > не просто идентификатор. Это индекс: как вели себя все остальные соединения с таким же отпечатком за сегодня. Процент настоящих браузеров. Количество бот-флагов. Объём трафика. Если 94% соединений с твоим хешем > настоящие браузеры, тебе доверяют. Если твой хеш появлялся 200 раз и все 200 > с датацентровых IP на login-эндпоинты, тебя отправляют в ад до первого байта контента. Планетарный фингерпринтинг. Индивидуальная подделка бессмысленна, когда сервер оценивает тебя не в одиночку, а на фоне миллиардов.

50 мс. TLS завершён.

70 мс. HTTP/2 SETTINGS и WINDOW_UPDATE. Версия браузера подтверждена. Порядок псевдо-заголовков ставит печать.

90 мс. Уходит запрос на саму страницу. Сервер уже знает ОС, браузер, TLS-библиотеку, сетевую топологию и насколько ты надёжен.

100 мс. Страница начинает загружаться. JavaScript получает управление. Расширения просыпаются. Антидетект включается.

Слишком поздно. Тебя уже рассортировали. Всё, что происходит после 100 мс > это второй слой, дополнительная информация к уже готовому досье. Фундамент залит. JavaScript только красит стены.

И это только HTTP/2. QUIC и HTTP/3 > следующий фронт. QUIC работает по UDP, SYN-фингерпринтинг меняется полностью. Но QUIC вводит свои транспортные параметры и паттерны установки соединения, которые так же уникальны. Исследователи UC San Diego показали в 2022-м: Chrome и Firefox различимы по одним только QUIC-параметрам. ETH Zurich подтвердил: QUIC так же уязвим к анализу трафика, как TCP. Шифрование полезной нагрузки не помогает, когда структура и тайминг пакетов говорят за тебя.

Группа Refraction Networking из Университета Колорадо создала uQUIC > форк quic-go для подмены QUIC Initial Packet, первого нешифрованного пакета. Цель: обход цензуры. JA4 уже работает с QUIC нативно, маркируя 'q' вместо 't'. Игра мигрирует на новый протокол. Правила те же.

Что не работает. Ничего

Потому что уважение к читателю > это не рассказывать только то, что ему хочется услышать.

Tor Browser > самая серьёзная попытка протокольной унификации. Все пользователи разделяют один TLS-отпечаток: идентичные шифры, расширения, параметры, независимо от ОС. Но Tor построен на Firefox. А Firefox шлёт своё дерево приоритетов HTTP/2: потоки 3, 5, 7, 9, 11 с весами 201, 101, 1, 1, 1. Любой сервер знает: это Firefox-основа. Даже если TLS выглядит чисто.

Mullvad Browser > совместная разработка Mullvad VPN и Tor Project. Те же антифингерпринтинг-техники, без маршрутизации через Tor. Но WebRTC включён, NoScript отличается. И на протокольном уровне > Firefox. Всё те же фреймы. Всё те же веса.

Firefox resist fingerprinting > privacy.resistFingerprinting в конфиге. Подменяет экран, таймзону, локаль, canvas. Звучит серьёзно. Работает на уровне приложений. TLS Client Hello > не тронут. HTTP/2 SETTINGS > не тронуты. TCP-опции > не тронуты. Проверка WHOX C12 подтверждает: включи, выключи > протокольный отпечаток не двинется. Ноль. Ничего. Как поставить бронированную дверь в квартиру, у которой нет стены.

Brave делает ставку на farbling: рандомизирует canvas, WebGL, аудио для каждого сайта. Issue #21625 в трекере Brave подтверждает: даже в агрессивном режиме TLS-фингерпринтинг не блокируется. Brave > это Chromium. TLS как у Chrome. HTTP/2 как у Chrome. Псевдо-заголовки: m,a,s,p. Каждый раз. При каждом соединении. На каждом сайте.

Закономерность: каждый приватный браузер защищает JavaScript-слой. Ни один не трогает протокольный. TCP, TLS и HTTP/2 летят ниже той высоты, на которой работают приватные функции. Как подводная лодка, на которую установили невидимость > но только от спутников. Сонар всё видит.

Тебя рассортировали до входа

Ты не просматриваешь интернет. Интернет просматривает тебя.

До загрузки страницы. До куки. До пиксельных трекеров. Сервер уже положил тебя в корзину. Человек на домашнем WiFi. Подозрительная автоматизация с датацентрового IP. VPN-пользователь с оверхедом WireGuard. Python-скрипт, прикинувшийся Chrome, но отправивший неправильный WINDOW_UPDATE.

Корзины решают всё. Капча или нет. Цены выше или ниже. Аккаунт на подозрении или чист. Трафик до реального сервера или в ханипот.

JA3 доминировал с 2017 по 2023. Chrome убил его рандомизацией. JA4 заменил за месяцы. Бот-операторы внедрили curl-impersonate. Защитники скоррелировали TCP, TLS, HTTP/2. Атакующие начали подделывать все три. Защитники добавили поведенческую аналитику по миллиардам запросов.

Асимметрия никуда не денется. Фингерпринтинг работает, потому что разный софт делает разный выбор на уровне протоколов. HTTP/2-окна Chrome заточены под производительность Chrome. Дерево приоритетов Firefox > под стратегию загрузки Firefox. Различия существуют по инженерным причинам. Стандартизировать их > значит заставить все браузеры работать одинаково. Не произойдёт. Никогда.

Каждое соединение шлёт многослойный сигнал идентичности. Десятилетия решений разработчиков ОС, команд браузеров, мейнтейнеров TLS-библиотек, авторов протоколов. Никто из них не собирался строить механизм слежки.

Именно это они и построили.

WHOX - Отличаем настоящие сигналы от сфабрикованных. Проверьте свой отпечаток на whox.com и узнайте какие сигналы утекают из вашего браузера и насколько вы уникальны.

Часто задаваемые вопросы

Что такое серверный фингерпринтинг? Идентификация по метаданным TCP, TLS и HTTP/2, которые компьютер отправляет автоматически. Без куки, без скриптов. Браузерные расширения не помогут > всё происходит уровнем ниже.

Спасёт ли VPN? VPN прячет IP, но меняет MSS, создавая новый отпечаток. WireGuard, OpenVPN, IPsec дают разные MSS. Сервер видит VPN и иногда определяет конкретный протокол по первому пакету.

Что такое JA4? Метод TLS-фингерпринтинга от Джона Алтхауса, 2023. Заменил JA3 после рандомизации Chrome. Сортирует расширения перед хешированием. Используется Cloudflare, AWS, Google Cloud.

Помогает ли инкогнито? Нет. TCP-опции, TLS Client Hello и HTTP/2 SETTINGS идентичны в обычном режиме и инкогнито. Определяются софтом, не режимом.

Какой браузер лучше защищает? Tor Browser нормализует TLS-отпечаток. Но HTTP/2 и priority-фреймы Firefox остаются. Ни один браузер не модифицирует все три уровня.

Читать далее

Режим инкогнито: штора, а не стена > что бывает, когда протокольный фингерпринтинг встречается с сигналами браузера
WebRTC и DNS: утечки, которые никто не закрывает > сетевые дыры, которые VPN не латает
WebGPU, QUIC, eBPF: три технологии, которые изменят фингерпринтинг к 2027 > следующее поколение протокольного фингерпринтинга
Рандомизация Canvas побеждена > почему защиты уровня приложений не спасают

Источники: FoxIO JA4+, сентябрь 2023 и апрель 2024. Cloudflare JA4 Signals, август 2024. Stamus Networks, анализ рандомизации TLS. Альберто Вентафридда, eBPF TCP fingerprinting, 2025. TU Munich, HTTP/2 fingerprinting. Midtlien и Palma, Fingerprint-resistant Dtls for Snowflake, FOCI 2025. Fastly, The State of TLS Fingerprinting. Михал Залевски, p0f v3. lwthiker, curl-impersonate, 2022. Turner et al., Evaluating QUIC for Privacy, UC San Diego, 2022. Smith et al., Website Fingerprinting in the Age of QUIC, PETS 2021. Refraction Networking, uQUIC. Brave GitHub issue #21625. Akamai, HTTP/2 fingerprinting, Black Hat EU 2017.