Hur webbplatser vet var du är

Kanal 1: behörighetsfrågan (exakt, med ditt samtycke)

Det enda sättet för en webbplats att få din exakta position är webbläsarens Geolocation API — frågan 'Vill du tillåta att den här webbplatsen använder din plats?'. Bakom den väger operativsystemet ihop GPS-, Wi-Fi- och mobilsignaler (se hur GPS-noggrannhet fungerar) och lämnar över en uppsättning koordinater till sidan, normalt med några meters noggrannhet. Två saker missbedöms ofta: en sajt kan inte starta det här i smyg — behörigheten gäller per webbplats, går att återkalla och syns i adressfältet — och 'när appen används' betyder verkligen det; spårning i bakgrunden från en webbläsarflik tillåter API:et inte. Den här webbplatsen använder precis den här kanalen när du trycker på lokaliseringsknappen, och koordinaterna lämnar aldrig din webbläsare: uppslagssidorna är byggda så att positionen visas lokalt i webbläsaren och inte loggas.

Kanal 2: din IP-adress (grov, automatisk)

Varje server du kontaktar ser din IP-adress — den måste, annars kan den inte skicka svaret. Kommersiella databaser kopplar IP-block till platser, och det är så en sajt gissar din stad helt utan att fråga. Det är grovt och ofta fel: oftast rätt på landsnivå, hipp som happ på stadsnivå och aldrig på husnivå. Se vad din IP avslöjar på sidan Vad är min IP, och läs varför IP-platsen så ofta slår fel om du vill ha mekaniken. Det enda sättet att ändra vad den här kanalen visar är att ändra din synliga IP — med VPN eller Tor — eftersom den ligger under webbläsarens inställningar. Om ditt faktiskt döljer dig går att testa i VPN-kollen.

Kanal 3: det du laddar upp (foton, filer, inlägg)

Mobiler skriver som standard in GPS-koordinater i fotots metadata (EXIF). Delar du originalfilen delar du var bilden togs — ibland ända ner till vilket rum. Den goda nyheten: de stora meddelandeapparna och sociala nätverken tar bort EXIF vid uppladdning, så den vanliga läckan är direkta filöverföringar, e-postbilagor, molnlänkar och annonser på köp-och-sälj-sajter. Vårt verktyg för fotoplats läser ett fotos EXIF helt i din webbläsare, så att du ser vad en fil skulle avslöja, och laddar ner en rensad kopia utan GPS. GPX- och KML-export från träningsappar förtjänar samma försiktighet — en löparheatmap som börjar och slutar vid din ytterdörr är en adress.

Fingeravtryck: platsens tystare kusin

Utöver platsen kan sajter försöka känna igen dig mellan besöken genom att kombinera drag som din webbläsare lämnar ut fritt — skärmstorlek, typsnitt, GPU-sträng, tidszon, språklista, egenheter i canvas-renderingen. Inget enskilt drag pekar ut dig; kombinationen gör det ofta. Bara din tidszon avslöjar din region även bakom en VPN, och det är en av kontrollerna som vår VPN-koll gör. Kör integritetstestet för webbläsaren för att se hur stor din fingeravtrycksyta är och om WebRTC läcker din riktiga IP — de två tester som betyder mest, körda lokalt i din webbläsare.

En vettig checklista för inställningarna

Fem minuters hygien täcker det mesta. Gå igenom webbplatsernas platsbehörigheter (Chrome: Inställningar → Sekretess → Webbplatsinställningar → Plats; Safari: Inställningar → Webbplatser → Platstjänster; Firefox: Inställningar → Sekretess & säkerhet → Behörigheter) och ta bort sajter du inte känner igen. Ställ in kamerans GPS-märkning som du vill ha den — du kan lika gärna låta den vara på och rensa vid varje delning i stället. Använder du VPN, verifiera det med läcktesterna ovan i stället för att lita på appens gröna sköld. Och kalibrera hellre än att få panik: behörighetskanalen kräver ditt godkännande, IP-kanalen är grov på stadsnivå och uppladdningskanalen har du kontroll över. Att en webbplats exakt, tyst och ofrivilligt spårar din GPS — så fungerar inte webbplattformen.