Что видят провайдер, DNS и сайт при открытии страницы
При открытии страницы через HTTPS данные видны не только сайту, но и провайдеру, DNS-резолверу и сторонним сервисам. Что именно — зависит от этапа маршрута.
Что видит браузер и сайт
Браузер знает полный адрес, включая путь и параметры запроса. Он также хранит куки, историю и данные авторизации, но отправляет их только по правилам. Сайт получает URL, заголовки HTTP, куки, данные от скриптов и введённые пользователем данные. Система может связывать запрос с учётной записью, если пользователь вошёл в аккаунт.
Скрипты на странице могут собирать информацию о системе: язык, часовой пояс, размер экрана, поведение рендеринга. Это используется для формирования браузерного отпечатка, который помогает отслеживать пользователя при повторных визитах. Однако отпечаток не идентифицирует человека напрямую — он работает как вероятностный инструмент.
Что узнаёт DNS-резолвер
Перед подключением браузер запрашивает IP-адрес домена через DNS. Если DNS-запрос не зашифрован, провайдер и резолвер видят имя домена. Резолвер также получает IP-адрес клиента. Зашифрованные DNS-протоколы (DoH, DoT) скрывают имя домена от провайдера, но резолвер всё равно его получает.
Кэширование может уменьшить количество запросов. Если адрес уже в кэше, запрос не отправляется. Это меняет конкретный случай, но не принцип: имя домена остаётся доступным для резолвера, если запрос проходит.
Что видит провайдер
Провайдер отслеживает IP-адрес клиента, IP-адрес сервера, порт (обычно 443), объём трафика и время соединения. Он также может видеть DNS-запросы, если они не защищены. При отсутствии Encrypted Client Hello (ECH) провайдер узнаёт имя сервера через SNI в TLS-рукопожатии.
Даже при ECH провайдер видит IP-адрес назначения и метаданные. По ним можно сделать предположения, но не прочитать содержимое. Один IP-адрес может обслуживать множество доменов, особенно через CDN, поэтому по IP нельзя точно определить сайт.
Что это значит для владельца сайта
Сайт получает больше данных, чем кажется. URL, параметры, куки, заголовки, Referer, User-Agent, данные от скриптов — всё это доступно. Если пользователь авторизован, сайт может связывать запросы с учётной записью, независимо от смены IP.
Стоит проверить настройки политики Referer: она влияет на то, какие данные о предыдущей странице отправляются. Также важно учитывать, что сторонние сервисы (аналитика, реклама, CDN) получают отдельные запросы и могут собирать данные по своим правилам. Собственные куки и отпечатки могут быть использованы для отслеживания, но не дают полной идентификации.
Пользователь может видеть больше, чем думает. Важно понимать, что HTTPS не скрывает всё. Даже при зашифрованном трафике метаданные и поведенческие признаки остаются доступны. Это не означает, что данные утекают, но они не исчезают полностью.