Il banner dei cookie non è il primo atto del tracciamento dei siti nei nostri conformi. Quando fa la sua prima comparsa sullo sullo schermo, il portale ha già ricevuto almeno una richiesta dal browser. Basta aprire una pagina, anche solo per controllare gli orari degli uffici dell’INPS di Via Matteotti, perché cominci un vero e proprio scambio di informazioni di cui noi utenti sappiamo troppo poco.

Questo scambio non significa che il gestore sappia già il nome e il cognome del visitatore, ma che dagli altri può già ricavare diversi indizi. Con una rete privata virtuale possiamo ridurre la nostra visibilità, nascondendo ad esempio l'indirizzo IP della linea di casa, oppure con una VPN con IP statico possiamo tenere sempre lo stesso indirizzo (senza renderci irriconoscibili al browser).

L'indirizzo IP arriva prima dei clic

La prima traccia della nostra presenza digitale è l'IP pubblico, una stringa di numeri necessaria per far arrivare la risposta del sito al dispositivo. Questo codice permette di individuare il gestore della connessione e di stimare una zona geografica, con precisione che può variare a seconda dei casi, dato che non è accurato quanto il GPS e non rivela automaticamente l'indirizzo di casa. Un IP localizzato a Roma, per esempio, non prova che il visitatore si trovi lì: le banche dati geografiche possono sbagliare, soprattutto quando ci si collega a una rete cellulare.

Nella richiesta iniziale possono poi essere presenti altri dati come la lingua preferita dall’utente e altre informazioni sul browser. Come spiegato in questo approfondimento recente, questi dati sono soltanto il punto di partenza. Quando la pagina carica i propri script, può leggerne altri come dimensioni dello schermo, fuso orario, configurazione del software e capacità del dispositivo.

Se il fuso orario del computer è impostato su Roma, mentre l'IP risulta in un altro Paese, il sito può notare la differenza. Una discrasia che da sola non prova nulla, ma arricchisce il profilo.

Un'impronta digitale che non richiede cookie

Uno dei meccanismi alla base di questo tracciamento si chiama in gergo tecnico browser fingerprinting (ovvero l’impronta digitale che lasciamo sui motori di ricerca). Confrontando le caratteristiche che il browser lascia vedere su di noi, come la risoluzione dello schermo, magari abbinata alla versione del browser, alle lingue impostate e al modo in cui la scheda grafica, si riesce a tratteggiare un profilo che può diventare molto più riconoscibile.

C'è poi un’altra traccia, sicuramente meno evidente, ovvero i caratteri tipografici disponibili e il modo in cui vengono elaborati suoni o immagini. Il concetto è che ogni dispositivo presenta piccole caratteristiche tecniche che possono renderlo riconoscibile anche senza considerare i cookie. Quando visitiamo un sito, il browser può essere invitato a disegnare un'immagine (Canvas o WebGL) oppure a elaborare un suono (AudioContext). Il risultato può variare leggermente a seconda del processore, della scheda grafica, dei driver e del sistema operativo. Anche i caratteri tipografici disponibili possono fornire indizi sulla configurazione del dispositivo.

Quanto pesa l'incrocio dei dati? Uno studio pubblicato nel 2025 su una testata USA con 8.400 partecipanti ha rilevato che il 60,2% delle impronte ricavate dall’unione di 13 attributi era unico nel campione. Un risultato che non va letto come “sei persone su dieci sono identificabili con nome e cognome” ma che indica quanto fosse facile da distinguere il loro browser fra quelli esaminati.

Incognito non vuol dire invisibile

Cancellando la cronologia o rifiutando i cookie limitiamo senz’altro alcune forme di tracciamento, ma non cambiamo in alcun modo le specifiche di schermo e scheda grafica. Anche aprendo una finestra di navigazione privata, il browser resta riconoscibile (almeno nella maggior parte delle circostanze). Installando decine di estensioni non troviamo automaticamente una risposta a questa problema, perché se la nostra configurazione diventa ancora più insolita rischiamo, paradossalmente, di aggiungere dettagli all'impronta.

Conviene partire dalle soluzioni già disponibili. Firefox, per esempio, blocca i sistemi di fingerprinting noti e limita le informazioni che vengono esposte all’esterno. Mozilla suggerisce di utilizzare prima le normali protezioni antitracciamento di Firefox, che limitano il fingerprinting senza compromettere il funzionamento della maggior parte dei siti.

C’è poi anche una funzione più aggressiva, chiamata Resist Fingerprinting, che nasconde o modifica molte informazioni sul dispositivo. Detto questo, abbiamo il dovere di sottolineare che può causare alcuni problemi come, ad esempio, orari visualizzati nel fuso sbagliato, immagini alterate, mappe sfocate o siti nella lingua errata.

Per verificare quanto ci si distingue dagli altri si può effettuare un test di fingerprinting e ripeterlo in una finestra privata. Il risultato è indicativo ma non va preso come un certificato attendibile al 100%. Meglio anche sfoltire le estensioni superflue e aggiornare il browser; i permessi per posizione, microfono e fotocamera vanno concessi soltanto quando servono.

IP dedicato: utile ma per un altro motivo

Se ci colleghiamo a internet con VPN, l'IP di casa viene rimpiazzato da quello del server, ma non cancelliamo la nostra impronta del browser. L'IP dedicato dà sicuramente stabilità: torna utile per entrare in reti aziendali che autorizzano soltanto determinati indirizzi e può ridurre i CAPTCHA (che vengono mostrati più spesso agli IP condivisi).

C’è però uno svantaggio: un IP dedicato, non cambiando mai, facilita la vita a tutti quei soggetti interessati a riconoscerci fra più visite. Chi preferisce confondersi tra gli altri può scegliere un IP VPN condiviso. Come abbiamo già anticipato più in alto, nascondendo il nostro indirizzo IP, non blocchiamo il fingerprinting: per limitare quest’ultimo servono protezioni specifiche del browser.